Narzędzia AI piszą teraz e-maile phishingowe bez błędów gramatycznych i w profesjonalnym tonie, przez co stara rada „szukaj literówek" jest już nieaktualna. Oszuści wciąż jednak zostawiają wykrywalne wzorce — w adresie nadawcy, adresach linków, języku wywołującym pilność i w tym, o co proszą. Sprawdzenie tych sześciu sygnałów zajmuje mniej niż minutę i zatrzymuje większość ataków.
Przez lata rada była prosta: jeśli e-mail ma błędy i niezgrabne sformułowania, to pewnie oszustwo. Ta rada jest już nieaktualna. Narzędzia AI piszą dopracowane, naturalnie brzmiące teksty w ciągu sekund, a e-maile phishingowe często są dziś nie do odróżnienia pod względem tonu i gramatyki od prawdziwej komunikacji firmowej.
Dobra wiadomość: oszuści nadal muszą obchodzić techniczne realia i mechanizmy psychologiczne, które pozostawiają wykrywalne wzorce. Te sześć sygnałów nie wymaga żadnego specjalnego oprogramowania — wystarczy chwila uwagi.
Sprawdź rzeczywisty adres nadawcy, nie tylko wyświetlaną nazwę
Każdy klient poczty pokazuje nazwę „od", którą może ustawić każdy na co chce. „Zespół Bezpieczeństwa PayPal" może być wyświetlane przez kogokolwiek wysyłającego ze skrzynki oszust123@losowadomena.xyz.
Kliknij lub stuknij nazwę nadawcy, żeby rozwinąć i zobaczyć pełny adres e-mail. Spójrz na domenę — część po znaku @. Jeśli e-mail rzekomo od Twojego banku pochodzi z domeny, która nie jest prawdziwym adresem strony internetowej banku, to fałszywy e-mail. Zwróć uwagę na subtelne podmiany, jak „pay-pal.com" albo dodatkowe słowa, np. „paypal-support.com".
Najedź kursorem na każdy link przed kliknięciem
Na komputerze umieść kursor myszy nad dowolnym linkiem w e-mailu bez klikania. Rzeczywisty docelowy adres URL pojawi się w lewym dolnym rogu przeglądarki lub klienta poczty. Na telefonie naciśnij i przytrzymaj link, żeby zobaczyć adres docelowy przed otwarciem.
Porównaj ten URL z prawdziwym adresem strony firmy. Jeśli się nie zgadzają, nie klikaj. Nawet jeśli tekst linku brzmi „bank.pl", rzeczywisty cel może być zupełnie inny.
Wypatruj języka pilności i strachu
AI sprawia, że e-maile oszustów są gramatycznie doskonałe, ale nie może usunąć fundamentalnego mechanizmu, który sprawia, że phishing działa: paniki. Oszuści potrzebują, żebyś działał/a zanim pomyślisz.
Uważaj na sformułowania takie jak „Twoje konto zostanie zamknięte w ciągu 24 godzin", „wymagane natychmiastowe działanie", „wykryto nieautoryzowany dostęp" lub „zweryfikuj teraz, żeby uniknąć zawieszenia". Prawdziwe firmy też wysyłają takie ostrzeżenia — ale dają Ci kilka dni na reakcję, a nie kilka godzin, i nie grożą trwałą utratą już w pierwszym zdaniu. Gdy e-mail próbuje Cię ponaglić, to właśnie wtedy powinieneś/powinnaś zwolnić.
Zwróć uwagę, jakich informacji naprawdę żądają
Prawdziwe firmy prawie nigdy nie proszą Cię o potwierdzenie pełnego hasła, numeru PESEL ani danych karty płatniczej przez link w e-mailu. Mają już Twoje konto w systemie. Gdy e-mail prosi Cię o „potwierdzenie danych" przez ich ponowne wpisanie gdzieś — to właśnie jest mechanizm oszustwa: zbieranie Twoich danych logowania.
Zwróć też uwagę na prośby, które wydają się nieco nie na miejscu w kontekście danej firmy: powiadomienie o przesyłce z prośbą o opłacenie cła, serwis streamingowy proszący o aktualizację płatności przez kliknięcie linku, lub dział IT proszący o dane logowania „w celach serwisowych".
Zweryfikuj bezpośrednio przez oficjalny kanał firmy
Jeśli e-mail twierdzi, że jest problem z Twoim kontem, nie używaj żadnego linku, numeru telefonu ani załącznika z tego e-maila. Zamiast tego:
Otwórz nową kartę przeglądarki i wpisz ręcznie adres firmy — albo użyj zakładki, którą sam/a wcześniej zapisałeś/aś. Zaloguj się tam i sprawdź, czy to samo ostrzeżenie pojawia się na Twoim koncie. Zadzwoń do obsługi klienta pod numer z oficjalnej strony firmy lub z odwrocia karty, a nie numer podany w e-mailu. Ten jeden krok zatrzymuje praktycznie wszystkie ataki phishingowe.
Użyj wbudowanych narzędzi do zgłaszania w swoim kliencie poczty
Każda duża usługa poczty — Gmail, Outlook, Apple Mail — ma opcję „zgłoś phishing" lub „oznacz jako spam". Korzystaj z niej. Te zgłoszenia pomagają trenować filtry, które chronią wszystkich innych przed tą samą kampanią.
Możesz też przekazać podejrzane e-maile na adres reportphishing@apwg.org — organizację non-profit śledzącą kampanie phishingowe na całym świecie. Jeśli e-mail podszywa się pod konkretną firmę, jej zespół ds. bezpieczeństwa chce o tym wiedzieć — wyszukaj „nazwa firmy zgłoś phishing", żeby znaleźć ich dedykowany adres.
Co warto sprawdzić dalej
E-maile phishingowe często są pierwszym krokiem w większym ataku. Fałszywe oszustwa obsługi klienta wyjaśniają, co dzieje się po kliknięciu — jak oszuści podszywają się pod prawdziwe zespoły wsparcia znanych marek i zbierają Twoje dane logowania — i jak znaleźć prawdziwe dane kontaktowe firmy. Aby dowiedzieć się, jak klonowanie głosu przez AI wpisuje się w te ataki, zajrzyj do artykułu o oszustwach z klonowaniem głosu AI.
