1. Strona główna
  2. Audyt
  3. Phishing w firmie
1-dniowy audyt IT · 1 500 zł netto · stała cena

Phishing w firmie: 17 sygnałów ostrzegawczych i checklista dla zespołu

Jak rozpoznać fałszywą wiadomość, co zrobić po kliknięciu i jakie proste zasady wprowadzić w firmie.

Umów audyt 1 500 zł → Zobacz spis treści

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja:

Spis treści

1. Sygnały ostrzegawcze 2. Linki i adresy, analiza URL 3. Nadawca i nagłówki e-mail 4. Załączniki i typowe pułapki 5. Główne rodzaje phishingu 6. Checklisty (pracownik / właściciel) 7. Drzewko decyzyjne (co robić?) 8. Kliknąłem, co teraz? 9. Edukacja i polityki w firmie

TL;DR (najważniejsze w 60 sekund)

  • Phishing działa na ludzi, a nie na system, dlatego tak często zaczyna się od niego atak na małą firmę.
  • Skuteczna obrona to proste procedury i szybka reakcja po kliknięciu.
  • Kliknięcie ≠ katastrofa, jeśli wiesz co zrobić w pierwszych 15 minutach.

Chcesz to wdrożyć szybko? Zobacz jak wygląda audyt w 1 dzień i plan naprawy.

1. Sygnały ostrzegawcze w wiadomości

  • Presja czasu / strach: „Ostatnie ostrzeżenie”, „natychmiast”.
  • Nietypowy nadawca: literówki / dziwne domeny (np. gov-pl.support).
  • Prośba o dane / płatność: hasła, kody 2FA, numery kart.
  • Załączniki wysokiego ryzyka: .html, .htm, .zip, .iso, makra Office.
  • Link maskowany: tekst „bank.pl”, a faktyczny URL prowadzi gdzie indziej.
  • Błędy językowe lub niepasujący styl.
Uwaga: poprawny język i logo NIE gwarantują autentyczności. Decyduje domena docelowa, spójność treści i kontekst.

2. Linki i adresy, analiza URL w praktyce

Przykłady dobrych vs. podejrzanych URL 
DOBRY: https://secure.bank.pl/login
ZŁY:   https://secure.bank.pl.account-verify.io/login
ZŁY:   http://bank-pl-security.com/
ZŁY:   https://xn--bnik-0db.pl/ (podejrzane punycode)

3. Nadawca i nagłówki e-mail, jak szybko ocenić

Dla ciekawych technikaliów: proste rzeczy, które można sprawdzić bez specjalistycznych narzędzi.

Szybkie kroki

  • Rozwiń szczegóły nadawcy: porównaj nazwę z faktycznym adresem (np. „Bank” <no-reply@bank.pl> vs. <bank@support-pay.xyz>).
  • Sprawdź „Reply-To”: czy odpowiadasz do innej domeny?
  • Sprawdź SPF, DKIM i DMARC (ustawienia potwierdzające, że wiadomość naprawdę wyszła z podanej domeny) w wierszu „Authentication-Results” w nagłówkach.
Fragment nagłówków: co warto zobaczyć 
Authentication-Results: yourdomain.pl;
 spf=pass smtp.mailfrom=bank.pl;
 dkim=pass header.d=bank.pl;
 dmarc=pass (p=reject) header.from=bank.pl

From: "Bank" <no-reply@bank.pl>
Reply-To: support@bank-secure.help  ← podejrzane
Return-Path: bounce@mailer-other.tld
Ważne: SPF/DKIM/DMARC „pass” nie wyklucza socjotechniki, ale „fail/none” to czerwone światło.

4. Załączniki, które są ryzykowne i dlaczego

Zasada: jeśli nie oczekiwałeś dokumentu: nie otwieraj. Potwierdź u nadawcy innym kanałem (np. telefon).

5. Główne rodzaje phishingu (z przykładami)

Wyłudzanie haseł (credential harvesting)

Fałszywe logowanie (Microsoft 365, Google, bank). Link prowadzi do strony imitującej oryginał.

BEC / „na prezesa”

Podszycie pod szefa / kontrahenta z prośbą o pilny przelew lub zmianę konta.

Zmęczenie powiadomieniami (MFA fatigue)

„Bombardowanie” powiadomieniami 2FA: ofiara akceptuje znużona ciągłymi prośbami.

Smishing (SMS) i vishing (telefon)

SMS/telefon: np. „dopłata do paczki”, „kurier”, „bank”, „policja/US”.

Zgoda dla fałszywej aplikacji (OAuth)

Aplikacja prosi o dostęp do konta (mail, dysk). Po akceptacji atak bez hasła.

QR-phishing

Skany kodów z naklejek/plakatów prowadzą na fałszywe portale płatności/logowania.

6. Checklisty

Pracownik: 10 sekund przed kliknięciem

  • Czy znam nadawcę i oczekiwałem wiadomości?
  • Czy domena jest prawidłowa (nie subdomena-pułapka)?
  • Czy jest presja czasu lub groźba?
  • Czy link wygląda naturalnie po najechaniu?
  • Czy załącznik ma bezpieczny format?
  • Czy mogę potwierdzić innym kanałem?

Właściciel / IT: minimum techniczne

  • MFA wszędzie + menedżer haseł (np. KeePassXC/Bitwarden).
  • Blokada makr, sprawdzanie załączników w izolowanym środowisku, tzw. sandbox (jeśli możliwe).
  • Szkolenie kwartalne + symulacje phishingu.
  • Procedura zgłoszeń + kanał kontaktu (e-mail/Teams).
  • Backup 3-2-1 + test przywracania.

7. Drzewko decyzyjne: co robić z podejrzanym mailem?

[Wiadomość podejrzana?] → TAK
  ├─→ NIE klikaj linków / NIE otwieraj załączników
  ├─→ Zrób zrzut ekranu / przekaż do wskazanego adresu (IT)
  ├─→ Potwierdź u nadawcy innym kanałem (telefon/Teams)
  └─→ Oznacz jako spam/phishing zgodnie z instrukcją firmową

→ NIE (wiadomość zwykła)
  └─→ Nadal zachowaj czujność: sprawdź domenę, link po najechaniu.

8. Kliknąłem, co teraz? Plan reakcji

Najważniejsze: nie panikuj i nie wyłączaj komputera (chyba że wymaga tego polityka). Natychmiast zgłoś incydent.
  1. Odłącz internet (jeśli to malware) lub zmień hasło (jeśli podałeś dane), od razu.
  2. Włącz MFA (jeżeli jeszcze nie było) i unieważnij sesje / tokeny logowania.
  3. Zgłoś do wyznaczonej osoby/adresu: dołącz zrzuty, nagłówki, czas.
  4. IT: reset haseł, sprawdzenie logów, blokada domen/URL, skan programem ochronnym (antywirus lub EDR).
  5. Sprawdź skrzynkę „Wysłane” i reguły poczty (przekierowania, reguły usuwania).
Szablon zgłoszenia incydentu (do skopiowania) 
Temat: [INCYDENT] Podejrzana wiadomość / kliknięty link, [Twoje imię]

Kiedy: 2026-01-10, ok. 10:24
Co: Kliknięty link w wiadomości od "Faktury 2026"
Objawy: Przeniosło mnie do strony logowania Microsoft; wpisałem login, NIE hasło.
Działania: Zmieniłem hasło, włączyłem MFA, odłączyłem VPN. Załączam zrzuty i nagłówki.

9. Edukacja i polityki w firmie

Opracowanie: AudytBiura.pl, praktyczny poradnik dla małych firm. Aktualizacja: 25.01.2026 r.

FAQ

Czy samo kliknięcie w link jest groźne?

Czasem nie, ale bywa. Najgorsze jest podanie hasła lub uruchomienie załącznika. Liczy się szybka reakcja.

Co zrobić w pierwszych 15 minutach po kliknięciu?

Odłącz urządzenie od sieci (jeśli uruchomiłeś plik), zmień hasło, zgłoś incydent, sprawdź logowania i MFA.

Jak rozpoznać fałszywą stronę logowania?

Sprawdź domenę znak po znaku, certyfikat, nietypowe subdomeny i błędy językowe. Uważaj na klony M365/Google.

Czy QR phishing jest realny?

Tak. QR kieruje na fałszywą stronę, a użytkownik nie widzi domeny. Traktuj QR jak link.

Jak ograniczyć phishing w firmie bez drogich narzędzi?

MFA, menedżer haseł, szkolenie 30 min/kwartał, prosty proces zgłaszania podejrzanych maili.

Zobacz też

Sprawdź, czy Twoja firma jest narażona

W 1 dzień sprawdzam, gdzie Twoja firma może stracić dane, pieniądze albo dostęp do poczty.

Audyt kosztuje 1 500 zł netto i kończy się prostym raportem z listą rzeczy do poprawy.

Zobacz audyt za 1 500 zł

Radek Rzążewski - audyt bezpieczeństwa IT

Autor: Radek Rzążewski (AudytBiura.pl)
Zobacz profil na LinkedIn

Na co dzień zajmuję się cyberbezpieczeństwem (SOC / monitoring / analiza zagrożeń). W audytach pokazuję właścicielom małych firm, gdzie mogą stracić dane, pieniądze albo dostęp do poczty i co trzeba poprawić.

Ostatnia aktualizacja:

Phishing w Twojej branży

Phishing wygląda inaczej w zależności od tego, czym zajmuje się Twoja firma. Zobacz najczęstsze scenariusze i jak je zamykamy w audycie:

Biuro rachunkowe

Fałszywe e-maile o zmianie numeru konta i podszywanie się pod klientów (BEC).

Kancelaria prawna

Podszywanie się pod sąd, klienta lub kontrahenta w toczących się sprawach.

Gabinet medyczny

Fałszywe wiadomości o wynikach, NFZ lub aktualizacji systemu gabinetowego.