Kilka lat temu uczyliśmy pracowników rozpoznawać phishingowe maile po prostych oznakach: błędy ortograficzne, niezgrabny język, ogólnikowe powitanie typu „Szanowny kliencie”, podejrzany adres nadawcy. To działało, bo większość wiadomości była tłumaczona maszynowo i pisana przez ludzi, którzy nie znali języka odbiorcy.
W 2026 roku ta zasada już nie działa. Modele językowe AI piszą płynnie w Twoim języku, dopasowują ton do publicznych tekstów firmy i wiedzą, jak nazywa się Twój szef i kiedy przypada zamknięcie roku. E-mail, który dawniej wyglądałby na oczywiste oszustwo, dziś wygląda jak zwykła prośba od kolegi z pracy.
W tym artykule opisujemy, jak wyglądają dzisiejsze wiadomości, jakie scenariusze są najczęstsze w firmach, z którymi pracujemy, jakie zabezpieczenia techniczne zatrzymują większość z nich, zanim dotrą do pracownika, oraz jak szkolić ludzi, żeby zgłaszali, a nie ukrywali.
Dlaczego dawne oznaki już nie działają
Zmieniły się cztery rzeczy.
Język. Model tworzy wiadomość bez błędów, z poprawną gramatyką i żargonem firmowym. Jeśli publikujesz aktualności lub ogłoszenia o pracę, skopiuje Twój styl.
Kontekst. Z mediów społecznościowych, strony firmy i publicznych rejestrów atakujący w kilka minut dowiaduje się, kto jest kierownikiem finansów, kto księgowym, a kto nowym pracownikiem (który zatem jeszcze nie zna zwykłych procesów). Wiadomość zwraca się do osoby po imieniu i wspomina prawdziwy projekt.
Skala. Wcześniej spersonalizowana wiadomość wymagała czasu człowieka, więc zarezerwowana była dla dużych firm. Teraz personalizacja jest automatyczna, więc firma z 15 pracownikami dostaje wiadomość tej samej jakości co bank.
Kanały. E-mail jest coraz częściej tylko początkiem: po nim przychodzi wiadomość w Teams, telefon lub SMS, żeby prośba wyglądała na potwierdzoną z kilku stron. Pracownik przyzwyczajony do sprawdzania tylko poczty nie weryfikuje pozostałych kanałów.
Wniosek dla szkoleń: przestań uczyć ludzi szukania błędów. Ucz ich rozpoznawać sytuację: nietypową prośbę, pośpiech i zmianę kanału.
Trzy scenariusze, które widzimy najczęściej
Podszywanie się pod członka zarządu
Księgowa dostaje e-mail od „dyrektora”: jestem na spotkaniu i nie mogę rozmawiać, trzeba pilnie opłacić fakturę dla partnera, przesyłam ją w załączniku, potwierdź po wykonaniu. Adres nadawcy jest albo bardzo podobny do prawdziwego (różni się jedną literą), albo prawdziwy, ale ze zmienionym adresem odpowiedzi (Reply-To). Coraz częściej wiadomość jest kontynuowana SMS-em, a nawet telefonem z syntetyzowanym głosem przełożonego. Warto zapamiętać jedną oznakę: prawdziwy przełożony, który potrzebuje pilnej płatności, zadzwoni osobiście. E-mail z prośbą, żeby nie dzwonić, jest już podejrzany.
Zmienione dane bankowe
Dostawca, z którym współpracujesz od roku, wysyła e-mail: nasz numer konta się zmienił, prosimy o kierowanie przyszłych płatności na nowy. Często wiadomość przychodzi z prawdziwej skrzynki dostawcy, bo atakujący najpierw włamał się do dostawcy i przez kilka tygodni czytał korespondencję. Wie, jakich faktur się spodziewasz i kiedy.
Kody QR
E-mail z kodem QR: Twoje hasło do Microsoft 365 wkrótce wygaśnie, zeskanuj kod i odnów je. Filtry poczty sprawdzają linki, ale kod QR to obraz, a link w nim ukryty jest dla filtra niewidoczny. Pracownik skanuje go telefonem, który często nie jest zarządzany przez firmę i nie ma ochrony, i trafia na fałszywą stronę logowania. Podobnie działają załączniki HTML i linki do legalnych serwisów wymiany plików, na których umieszczono fałszywy formularz logowania: filtr widzi znaną domenę i przepuszcza wiadomość.
Co mają wspólnego: żaden z tych scenariuszy nie wymaga podatności technicznej. Wystarczy jedna osoba w pośpiechu.
Zabezpieczenia techniczne, które zatrzymują większość z nich
Pracownik powinien być ostatnią linią obrony, a nie pierwszą. U naszych klientów standardowo wdrażamy:
- Uwierzytelnianie poczty: SPF, DKIM i DMARC z polityką reject dla Twojej domeny. Zapobiega to wysyłaniu wiadomości w Twoim imieniu z obcych serwerów i odwrotnie, pozwala Twojemu filtrowi odrzucać wiadomości podszywające się pod dostawców, którzy zabezpieczyli własną domenę.
- Ochronę antyphishingową Microsoft 365: przepisywanie linków i sprawdzanie ich w chwili kliknięcia, otwieranie załączników w izolowanym środowisku, wykrywanie podszywania się pod członków zarządu po podobieństwie nazwy oraz baner ostrzegawczy na wiadomościach zewnętrznych. Opisujemy to na stronie bezpieczeństwo Microsoft 365.
- Uwierzytelnianie wieloskładnikowe z metodami odpornymi na phishing i dostęp warunkowy przez Microsoft Entra ID. Nawet jeśli pracownik wpisze hasło na fałszywej stronie, atakujący nie zaloguje się bez drugiego składnika.
- Przycisk zgłaszania w kliencie poczty. Jedno kliknięcie „Zgłoś phishing” wysyła wiadomość do naszego zespołu, który ją sprawdza i w razie potrzeby usuwa ze wszystkich skrzynek. To najważniejsze zabezpieczenie dla kultury organizacyjnej: zgłoszenie musi być łatwiejsze niż zignorowanie.
- Proces płatności poza pocztą. Zmianę danych bankowych potwierdza się telefonem na znany numer, a nie odpowiedzią na e-mail. To zasada finansowa, nie IT, ale zatrzymuje najwięcej szkód.
Żadne z tych zabezpieczeń nie działa w stu procentach, ale razem zmniejszają liczbę wiadomości docierających do pracownika na tyle, że resztę można omawiać na szkoleniach jako konkretne przykłady, a nie abstrakcyjne zagrożenia. W przypadku urządzeń mobilnych, na których skanuje się kody QR, to samo dotyczy zarządzania urządzeniami i ochrony przeglądarki na telefonie.
Symulacje i szkolenia bez zawstydzania
Symulacje phishingu, w których firma wysyła pracownikom fałszywe wiadomości i mierzy, kto kliknął, są przydatne, ale często źle prowadzone. Źle, czyli tak: niezapowiedziana symulacja z bardzo przekonującą wiadomością, publiczna lista osób, które kliknęły, obowiązkowe szkolenie jako kara. Efekt jest taki, że pracownicy boją się działu IT, a gdy naprawdę klikną prawdziwą wiadomość, milczą, co jest najgorszym, co może się zdarzyć.
Z naszego doświadczenia sprawdza się inne podejście:
- Najpierw ogłoś, że symulacje będą się odbywać, i wyjaśnij dlaczego. Zaskoczenie nie jest celem.
- Mierz nie kliknięcia, lecz odsetek zgłoszeń. Celem jest, żeby więcej osób naciskało „Zgłoś”, a nie żeby mniej osób klikało link.
- Osobie, która kliknęła, od razu pokaż krótkie wyjaśnienie na miejscu: co było nietypowe w wiadomości. Dwie minuty w tym momencie są warte więcej niż godzina szkolenia miesiąc później.
- Wyniki publikuj tylko na poziomie działu lub firmy, nigdy imiennie.
- Szkolenia prowadź krótkie i częste: 10 minut co kwartał z prawdziwymi przykładami z Twojej własnej poczty, a nie godzinny wykład raz w roku.
- Gdy pracownik zgłosi prawdziwą wiadomość, podziękuj mu publicznie. To jedyny sposób na więcej zgłoszeń.
W prawdziwym incydencie najważniejsza jest pierwsza reakcja: pracownik, który zadzwonił w ciągu 10 minut i powiedział „chyba wpisałem hasło”, daje czas na zmianę hasła i zakończenie sesji. Taki, który milczał przez dwa dni, nie daje.
Dlatego pierwsza zasada, którą powtarzamy na każdym szkoleniu, brzmi: nikt nie jest karany za zgłoszenie własnego błędu. Gdy pracownicy w to wierzą, incydent kosztuje godziny, a nie tygodnie.
Od czego zacząć
- Sprawdź politykę DMARC swojej domeny. Jeśli jej nie ma lub jest ustawiona tylko na monitorowanie, każdy może pisać w Twoim imieniu.
- Włącz przycisk zgłaszania dla wszystkich i ustal, kto przegląda zgłoszenia tego samego dnia.
- Uzgodnij z działem finansów pisemną zasadę: dane bankowe zmienia się wyłącznie po telefonie na znany numer.
- Zaplanuj pierwszą symulację z wcześniejszym ogłoszeniem i krótkim wyjaśnieniem dla osób, które klikną.
- Jeśli nie masz kogo oddelegować do stałej opieki nad tym, konfiguracja ochrony poczty, przegląd zgłoszeń i kwartalne symulacje wchodzą w skład naszego wsparcia IT, a szerszą ocenę ludzi i procesów przeprowadzamy jako audyt bezpieczeństwa IT.
