Jak chronić się przed phishingiem? Poradnik 2026

Szybka odpowiedź

Ile ataków phishingowych było w Polsce w 2025 roku?

Phishing nie jest abstrakcją z zagranicznych raportów. To najczęstszy typ ataku, z jakim mierzą się polscy użytkownicy. Dane z raportu CERT Polska za 2025 rok pokazują skalę, która robi wrażenie.

Przestępcy najczęściej podszywali się pod serwisy, które wszyscy znamy. Pod logo i wygląd OLX podszyto się ponad 28 tysięcy razy, pod Allegro ponad 22 tysiące. Do tego dochodzi phishing SMS-owy, czyli fałszywe wiadomości o paczkach, dopłatach i blokadach konta. CERT Polska przyjął w 2025 roku blisko 300 tysięcy zgłoszeń podejrzanych SMS-ów.

Wniosek jest prosty. Prędzej czy później taka wiadomość trafi do ciebie. Pytanie nie brzmi "czy", tylko "czy będziesz przygotowany".

Źródło danych: Raport roczny CERT Polska za 2025 rok.

Jak rozpoznać phishing?

Większość ataków zdradza się tymi samymi sygnałami. Jeśli nauczysz się ich wypatrywać, odsiejesz zdecydowaną większość oszustw jeszcze przed kliknięciem.

• Adres nadawcy i adres strony nie zgadzają się z prawdziwym. Phishing używa domen łudząco podobnych: allegro-pl.com zamiast allegro.pl, inpost-paczka.info zamiast inpost.pl. Jedna literka różnicy wystarczy.
• Presja czasu i straszenie. Konto zostanie zablokowane, paczka wróci do nadawcy, dopłać 1,80 zł w ciągu godziny. Pośpiech ma wyłączyć twoje myślenie.
• Prośba o dane, których nikt normalnie nie zbiera przez link. Bank nigdy nie poprosi cię mailem o pełne hasło, PIN czy kod BLIK.
• Link, który wygląda inaczej niż tekst. Najedź kursorem na odnośnik (na telefonie przytrzymaj), zanim klikniesz. Adres docelowy bywa zupełnie inny niż napis.
• Drobne błędy językowe i dziwne sformułowania. Coraz rzadsze, bo oszuści używają translatorów, ale wciąż się zdarzają.

Filar 1: Menedżer haseł, który nie da się nabrać

To najbardziej niedoceniana obrona przed phishingiem, a przy tym jedna z najskuteczniejszych. Menedżer haseł uzupełnia dane logowania automatycznie, ale tylko wtedy, gdy adres strony dokładnie zgadza się z tym, dla którego hasło zostało zapisane.

Na czym polega sztuczka? Człowiek patrzy na stronę, widzi logo banku, znajome kolory i wpisuje hasło, bo "wygląda dobrze". Program nie patrzy na wygląd, tylko na adres. Jeśli zapisałeś hasło dla allegro.pl, na allegro-pl.com automatyczne uzupełnianie po prostu się nie uruchomi. Brak podpowiedzi to dla ciebie czerwona lampka: coś tu jest nie tak. W ten sposób menedżer haseł wyłapuje literówki w adresach, których oko nie zauważa.

Przy okazji rozwiązujesz drugi problem: przestajesz używać tego samego hasła w wielu miejscach. Gdy jedno wycieknie, reszta kont zostaje bezpieczna. Jak wybrać konkretny program, rozkładam w rankingu menedżerów haseł.

Filar 2: Dwuetapowe uwierzytelnianie

Załóżmy, że mimo wszystko ktoś wyłudzi twoje hasło. Dwuetapowe uwierzytelnianie sprawia, że samo hasło mu nie wystarczy. Przy logowaniu z nowego urządzenia trzeba podać drugi składnik: kod z aplikacji, klucz sprzętowy albo potwierdzenie w telefonie.

Ważna uwaga: nie wszystkie formy są równie odporne. Kody SMS są lepsze niż nic, ale da się je przechwycić. Lepsza jest aplikacja uwierzytelniająca generująca kody w telefonie (na przykład Google Authenticator albo otwartoźródłowy Aegis na Androida). Najmocniejszy jest fizyczny klucz bezpieczeństwa (na przykład w standardzie FIDO2), bo nie da się go wyłudzić przez fałszywą stronę. Wiele menedżerów haseł potrafi też przechowywać i podawać te kody w jednym miejscu.

Filar 3: Antywirus z ochroną antyphishingową

Dobry pakiet antywirusowy ma moduł ochrony internetowej, który działa jak filtr między tobą a siecią. Gdy klikniesz w link prowadzący do znanej fałszywej strony, program blokuje ją, zanim się załaduje, i pokazuje ostrzeżenie. Skanuje też załączniki z poczty, bo phishing często doczepia plik z ukrytym złośliwym oprogramowaniem.

Bądźmy uczciwi: antywirus nie zatrzyma każdego ataku. Świeżo utworzone domeny phishingowe (a powstają tysiącami dziennie) nie zawsze są jeszcze na listach blokad. Dlatego antywirus to warstwa, nie cudowna tarcza. Ale warstwa wartościowa, zwłaszcza dla osób mniej technicznych i dla domowych komputerów, z których korzysta cała rodzina.

W ochronie antyphishingowej dobrze wypadają Bitdefender i Norton, oba z rozbudowanymi filtrami stron i wysokimi ocenami w testach laboratoriów. Jak wypadają w pełnym zestawieniu, sprawdzisz w rankingu programów antymalware.

Czy VPN chroni przed phishingiem?

Tu trzeba rozprawić się z mitem. Sam VPN nie chroni przed phishingiem. VPN szyfruje twoje połączenie i ukrywa adres IP, ale nie analizuje treści stron, które odwiedzasz. Jeśli sam wpiszesz hasło na fałszywej stronie, VPN nic na to nie poradzi.

Jest jednak haczyk na korzyść użytkownika. Najpopularniejsze usługi dorzucają osobny moduł, który blokuje znane złośliwe i phishingowe domeny na poziomie DNS, czyli zanim strona w ogóle się załaduje. NordVPN nazywa to Ochroną przed zagrożeniami, Surfshark to CleanWeb. To działa niezależnie od szyfrowania.

I nie są to puste deklaracje. W niezależnym teście antyphishingowym AV-Comparatives ze stycznia 2026 Ochrona przed zagrożeniami od NordVPN zablokowała 92 procent złośliwych stron, bez fałszywych alarmów. Jeśli masz już VPN albo i tak rozważasz jego zakup (do publicznego Wi-Fi czy prywatności), ta funkcja jest sensownym bonusem antyphishingowym. Pełne porównanie usług znajdziesz w rankingu VPN.

Kliknąłem w link. Co teraz?

Zdarza się każdemu, łącznie z ludźmi z branży. Jeśli kliknąłeś w link phishingowy, a tym bardziej jeśli podałeś dane, liczy się czas. Działaj po kolei.

• Zmień hasło do konta, którego dane podałeś. Jeśli używałeś tego samego hasła gdzie indziej, zmień je też tam.
• Włącz dwuetapowe uwierzytelnianie, jeśli jeszcze go nie miałeś na tym koncie.
• Wyloguj wszystkie sesje i sprawdź historię logowań pod kątem nieznanych urządzeń.
• Skontaktuj się z bankiem, jeśli w grę wchodziły dane karty lub logowania do bankowości. W razie potrzeby zastrzeż kartę.
• Przeskanuj urządzenie antywirusem, zwłaszcza jeśli pobrałeś jakiś plik z fałszywej strony.
• Zgłoś incydent do CERT Polska na stronie incydent.cert.pl. Pomagasz w ten sposób zablokować domenę dla innych.

Warto też sprawdzić, czy twoje dane nie krążą już po sieci po wcześniejszych wyciekach. Usługi monitoringu wycieków sprawdzają, czy twój adres e-mail lub numer telefonu pojawił się w wykradzionych bazach, i ostrzegają, gdy coś się zmieni. Taki monitoring jest częścią pakietu Surfshark One (funkcja Alert) oraz Norton 360 (monitoring dark webu). Jak ograniczyć swój cyfrowy ślad, opisuję w poradniku jak usunąć dane z internetu.

Lista kontrolna na dziś

Nie musisz wdrażać wszystkiego naraz. Zacznij od rzeczy, które dają najwięcej bezpieczeństwa najmniejszym wysiłkiem.

Najczęstsze pytania