Pytanie o to, jak rozpoznać phishing w mailu, wraca za każdym razem, gdy w skrzynce ląduje wiadomość o zablokowanym koncie, niedopłacie 1,29 zł do przesyłki albo o „nietypowym logowaniu z Rosji”. Odpowiedź na to, jak rozpoznać phishing w mailu, nie sprowadza się do jednego triku — to sekwencja pięciu szybkich sprawdzeń, którą da się wykonać w kilkanaście sekund, zanim ręka odruchowo kliknie przycisk. Sprawdzasz kolejno: rzeczywisty adres nadawcy, domenę ukrytą pod linkiem, nagłówki uwierzytelniające, sposób sformułowania prośby oraz to, czego wiadomość od ciebie oczekuje. Oszust musi wygrać wszystkie pięć rund naraz, ty wystarczy, że wygrasz jedną. Poniżej znajdziesz konkretne wartości, nazwy pól technicznych i progi, po których wiadomość trafia do kosza — bez ogólników w stylu „uważaj na podejrzane maile”, bo takie rady nie działają o 8:15 w poniedziałek.
Jak rozpoznać phishing w mailu po adresie nadawcy i nagłówkach
Pierwszy odruch to spojrzenie na nazwę nadawcy — i to jest właśnie błąd, bo pole wyświetlane („Display Name”) ustawia sam wysyłający. Klient pocztowy pokaże „ING Bank Śląski”, a pod spodem może kryć się adres [email protected]. Rozwiń pełny adres na telefonie, nie tylko etykietę.
Drugi krok to analiza samej domeny po znaku @. Oszuści stosują trzy schematy: subdomenę udającą markę (mbank.bezpieczne-logowanie.xyz), literówkę (allegrro.pl, paypa1.com) oraz znaki z innych alfabetów, gdzie cyrylickie „а” wygląda identycznie jak łacińskie. Domena rejestrowana pod phishing ma zwykle kilka dni.
Pole „Od” kontra prawdziwa koperta SMTP
W nagłówkach technicznych — w Gmailu „Pokaż oryginał”, w Outlooku „Właściwości wiadomości” — porównaj pola From, Return-Path i Reply-To. Jeżeli From wskazuje bank, a Return-Path prowadzi do przypadkowego serwera na współdzielonym hostingu, koperta SMTP zdradza prawdziwe źródło. Rozbieżność tych trzech pól to sygnał alarmowy numer jeden.
Zwróć uwagę także na łańcuch Received, czytany od dołu do góry. Pokazuje on serwery, przez które przeszła wiadomość. Legalna korespondencja z dużej instytucji przechodzi przez ich własną infrastrukturę lub znany serwis transakcyjny. Skok przez serwer w egzotycznej lokalizacji, bez rekordu odwrotnego DNS, przesądza sprawę.
Domena z linku: kto ją zarejestrował i jak długo istnieje
Zanim klikniesz, skopiuj adres i sprawdź samą domenę. Pytanie, jak sprawdzić kto jest właścicielem domeny, rozwiązują publiczne bazy WHOIS oraz RDAP — dla końcówek .pl serwis WHOIS działa w NASK. Interesuje cię jedno pole: data rejestracji. Domena założona 3 dni temu nie obsługuje bankowości od dwudziestu lat.
Osoby prywatne w Unii mają dane ukryte przez RODO, więc puste pole „Registrant” samo w sobie nic nie przesądza. Znaczenie ma za to status. Domeny w okresie kwarantanny bywają przejmowane przez oszustów — dlatego administratorzy pytający, jak przedłużyć domenę po wygaśnięciu, powinni działać w ciągu 30 dni, bo po tym czasie adres wraca do puli i może posłużyć do podszywania się pod firmę.
Rekordy SPF, DKIM i DMARC w praktyce
W nagłówku Authentication-Results znajdziesz trzy werdykty. SPF sprawdza, czy serwer nadawczy figuruje na liście dozwolonych adresów IP domeny. DKIM weryfikuje podpis kryptograficzny treści. DMARC łączy jedno z drugim i mówi, co zrobić z wiadomością, która testów nie przeszła. Trzy wyniki „fail” przy rzekomym mailu z banku oznaczają fałszerstwo.
Po stronie własnej firmy sprawa sprowadza się do tego, jak skonfigurować rekordy DNS domeny w panelu operatora: TXT z polityką v=spf1, selektor DKIM oraz _dmarc z polityką p=reject. Warto tu wiedzieć, co to jest rekord CNAME — to alias wskazujący jedną nazwę na drugą, którym dostawcy poczty transakcyjnej delegują klucze DKIM bez podawania ci wartości do ręcznego wklejania.
Linki, przekierowania i załączniki — anatomia pułapki
Najazd kursorem na link pokazuje docelowy adres w pasku statusu; na smartfonie zadziała długie przytrzymanie. Uwaga na skracacze i na łańcuchy przekierowań: ktoś, kto wie, jak ustawić przekierowanie 301 w htaccess, może przepuścić ofiarę przez przejętą, całkowicie wiarygodną stronę firmową, zanim wyląduje ona na fałszywym panelu logowania.
Kłódka w pasku adresu nie jest dowodem uczciwości. Każdy potrafi sprawdzić, jak zainstalować certyfikat SSL na serwerze, a darmowy certyfikat SSL Let’s Encrypt wydawany jest w 90-dniowym cyklu bez weryfikacji tożsamości firmy. Szyfrowanie chroni transmisję, nie intencje. Znaczenie ma nazwa domeny w certyfikacie, a nie sama obecność HTTPS.
Załączniki oceniaj po rozszerzeniu i wadze. Faktura jako .html, .iso, .img albo archiwum ZIP chronione hasłem podanym w treści maila to klasyka omijania skanerów antywirusowych. Plik XLSM z prośbą o „włączenie edycji” uruchamia makro pobierające ładunek. Realna faktura z systemu księgowego ma format PDF i zwykle 60–400 kB.
| Element | Sygnał phishingu | Wiadomość wiarygodna |
|---|---|---|
| Domena nadawcy | Marka w subdomenie lub literówka | Marka bezpośrednio przed końcówką |
| Authentication-Results | spf=fail, dkim=none | spf=pass, dkim=pass, dmarc=pass |
| Powitanie | „Drogi Kliencie”, brak danych | Imię, nazwisko, 4 cyfry numeru umowy |
| Link | Skracacz lub adres IP | Domena zgodna z nadawcą |
| Załącznik | .html, .iso, ZIP z hasłem | PDF, 60–400 kB |
Socjotechnika: presja czasu, autorytet i strach
Techniczna warstwa to połowa obrazu. Druga połowa to psychologia, bo phishing sprzedaje emocję, nie treść. Wiadomość ma wywołać reakcję szybszą niż namysł: „konto zostanie zamknięte w ciągu 24 godzin”, „nieopłacona należność 3,50 zł”, „potwierdź przelew na 4 899 zł, którego nie zlecałeś”.
Drugi mechanizm to autorytet. Nadawca podszywa się pod prezesa, dział IT, kancelarię komorniczą albo urząd skarbowy. W wariancie BEC, wymierzonym w firmy, prośba brzmi zupełnie zwyczajnie: zmiana numeru konta kontrahenta tuż przed przelewem. Średnia strata w takim ataku bywa liczona w dziesiątkach tysięcy złotych.
Trzeci sygnał to niedopasowanie kanału do sprawy. Żaden bank nie prosi mailem o pełne dane karty, kod CVV ani kod BLIK. Żaden dostawca nie każe „potwierdzić hasła” przez formularz w wiadomości. Prośba o dane, które instytucja już posiada, jest logicznie pusta.
- Termin krótszy niż 48 godzin połączony z groźbą blokady konta
- Kwota drobna, poniżej 10 zł, mająca uśpić czujność przy płatności
- Prośba o zachowanie sprawy w tajemnicy przed współpracownikami
- Błędy w odmianie, kalki z angielskiego, brakujące polskie znaki
- Adres zwrotny w domenie darmowej poczty przy rzekomo firmowym nadawcy
Co zrobić po kliknięciu i jak zabezpieczyć własną infrastrukturę
Jeśli podałeś dane, licz czas w minutach. Zmień hasło na urządzeniu, którego nie dotyczył atak, wyloguj wszystkie sesje, zadzwoń na infolinię banku i zastrzeż dostęp. Zgłoś adres na listę CERT Polska. Pełne skanowanie systemu wykonaj offline, bo część ładunków blokuje aktualizacje sygnatur.
Profilaktyka kosztuje mniej niż incydent. Menedżer haseł w planie rodzinnym to wydatek rzędu 150–250 zł rocznie, a jego przewaga jest techniczna: nie podpowie danych na domenie, która tylko wygląda podobnie. Klucz sprzętowy w standardzie FIDO2, w cenie 250–400 zł, zatrzymuje nawet phishing z serwerem pośredniczącym.
Właściciele stron powinni patrzeć na to jak na element bezpieczeństwa marki. Decydując, jak wybrać hosting pod WordPress, sprawdzaj nie cenę 99 zł za pierwszy rok, lecz obecność WAF, kopii dobowych i wsparcia DMARC. Pytanie, czym różni się VPS od hostingu współdzielonego, sprowadza się do izolacji: na VPS za 40–120 zł miesięcznie sąsiad z zainfekowanym skryptem nie psuje reputacji twojego adresu IP.
Gdy dostawca zawodzi, zaplanuj migrację — jak przenieść stronę na inny hosting, opisują dokumentacje panelu, a kluczowe jest obniżenie TTL przed zmianą delegacji. Kończąc porządki, sprawdź łącze: jak sprawdzić prędkość internetu rzetelnie, czyli kablem, przy wyłączonym VPN i kilku pomiarach o różnych porach. Osobno rozwiąż zasięg, bo to, jak wzmocnić sygnał WiFi w domu, zwykle sprowadza się do zestawu mesh za 400–900 zł zamiast wzmacniacza, który połowi przepustowość.
Jak sprawdzić podejrzany link, nie klikając w niego?
Skopiuj adres przez menu kontekstowe zamiast klikać — na komputerze „Kopiuj adres linku”, na telefonie długie przytrzymanie. Wklej go do notatnika i przeczytaj od lewej: liczy się fragment bezpośrednio przed pierwszym ukośnikiem, czyli domena właściwa z końcówką. Wszystko, co znajduje się przed nią, to subdomeny, które nadawca ustawia dowolnie. Następnie prześwietl domenę w bazie WHOIS lub RDAP i spójrz na datę rejestracji oraz serwery nazw. Adres założony w ostatnim tygodniu, obsługiwany przez darmowy DNS, przy rzekomej korespondencji od instytucji finansowej wystarcza do usunięcia wiadomości. Możesz też wkleić link do wieloskanerowego serwisu reputacyjnego, który rozwinie skracacz i pokaże pełny łańcuch przekierowań bez ładowania strony w twojej przeglądarce.
Czy kłódka HTTPS oznacza, że strona jest bezpieczna?
Nie. Kłódka potwierdza wyłącznie, że ruch między przeglądarką a serwerem jest szyfrowany oraz że certyfikat pasuje do domeny, którą właśnie odwiedzasz. Nie mówi nic o tym, kto tę domenę zarejestrował ani w jakim celu. Certyfikaty typu DV wydawane są automatycznie, w kilkadziesiąt sekund, po samej weryfikacji kontroli nad domeną — zwykle rekordem TXT lub plikiem w katalogu strony. W praktyce zdecydowana większość stron phishingowych działa dziś po HTTPS, bo brak kłódki wzbudzałby podejrzenia. Traktuj więc szyfrowanie jako minimum higieny, a decyzję opieraj na nazwie domeny w pasku adresu, dacie jej rejestracji i zgodności z kanałem, którym instytucja kontaktuje się z tobą na co dzień.
Co zrobić, gdy phishing trafił na firmową skrzynkę zespołu?
Zacznij od izolacji, nie od dyskusji. Zgłoś wiadomość do administratora, który usunie ją ze wszystkich skrzynek jednocześnie — w Microsoft 365 i Google Workspace służą do tego narzędzia wyszukiwania i czyszczenia treści. Zablokuj domenę nadawcy oraz adres docelowy linku na bramie pocztowej i na firewallu. Sprawdź logi logowań z ostatnich 72 godzin pod kątem nietypowych lokalizacji i wymuś reset haseł u osób, które otworzyły załącznik. Równolegle wyślij krótką informację do zespołu z konkretnym opisem wiadomości, bo świadomość rozchodzi się szybciej niż procedura. Na koniec włącz politykę DMARC p=reject dla własnej domeny i uzupełnij uwierzytelnianie wieloskładnikowe tam, gdzie go brakuje.
