phishing

Phishing to atak, w którym przestępca podszywa się pod znaną firmę albo zaufaną osobę, żeby wyłudzić wrażliwe dane, najczęściej przez fałszywą wiadomość e-mail albo stronę WWW ^[1]. W słowniku NIST phishing opisano też jako cyfrową odmianę socjotechniki, w której autentycznie wyglądające, ale fałszywe wiadomości kierują ofiarę na podrobioną stronę ^[1]. MITRE ATT&CK traktuje każdą formę phishingu jako socjotechnikę dostarczaną drogą elektroniczną ^[2]. W Polsce to najczęściej rejestrowany rodzaj oszustwa internetowego ^[3].

Jak działa

Atak składa się z kilku stałych elementów. Przestępca przygotowuje wiadomość i stronę, które kopiują wygląd prawdziwej usługi. CERT Polska zwraca uwagę, że fałszywa strona może mieć skopiowany każdy element wizualny: logo, kolory i układ ^[4]. O oszustwie zdradza wtedy głównie adres. Stosuje się w nim znaki Unicode łudząco podobne do liter łacińskich, czyli atak homograficzny, albo umieszcza nazwę prawdziwej marki na początku adresu, przed właściwą domeną atakującego ^[4]. Pokrewną techniką jest typosquatting.

Ofiara wpisuje na fałszywej stronie login i hasło, dane karty albo kod jednorazowy. Atakujący przekazuje je od razu do prawdziwej usługi. NIST opisuje phishing w kontekście uwierzytelniania jako atak, w którym użytkownik trafia do podrobionego weryfikatora i ujawnia dane pozwalające podszyć się pod niego u weryfikatora prawdziwego ^[1].

RYS. 1Phishing z fałszywą stroną logowania

Odmiany

MITRE ATT&CK wyróżnia cztery techniki szczegółowe: załącznik (T1566.001), link (T1566.002), wiadomość przez usługę zewnętrzną (T1566.003) oraz kontakt głosowy (T1566.004) ^[2]. W praktyce odmiany nazywa się też od kanału i od celu.

Z phishingiem łączy się też BEC, czyli podszycie się pod kontrahenta albo przełożonego w poczcie firmowej, na przykład fałszywe polecenie przelewu „od prezesa”.

W WordPressie

Właściciele i administratorzy stron WordPress bywają celem kampanii szytych pod ich rolę. W grudniu 2023 roku singapurska agencja CSA ostrzegała przed wiadomościami, które informowały o rzekomej podatności zdalnego wykonania kodu i nosiły fałszywy identyfikator CVE-2023-45124 ^[7]. Wiadomość namawiała do pobrania wtyczki, która miała usuwać lukę ^[7]. Patchstack opisał, że atakujący sklonowali witrynę WordPress.org w domenach podobnych do oryginału, a wtyczka po instalacji zakładała ukryte konto administratora wpsecuritypatch i plik z tylną furtką w katalogu głównym strony ^[8]. To przykład fałszywej wtyczki, która daje nieautoryzowane konto administratora i tylną furtkę. Patchstack przypomina, że poprawki bezpieczeństwa WordPress wydaje jako nową wersję rdzenia, a nie jako wtyczkę przesyłaną mailem ^[8]; zob. aktualizacja rdzenia WordPressa.

Druga strona zagadnienia to strony, które same stają się narzędziem phishingu. W 2024 roku CERT Polska otrzymał 235 618 zgłoszeń phishingu w polskich sieciach, dotyczących 64 844 adresów URL w 62 952 domenach ^[3]. W zestawieniu dziesięciu dostawców z największą liczbą takich stron przeważają firmy hostingowe ^[3]. Przejęta strona może więc hostować fałszywą bramkę płatności albo formularz logowania, a jej domena może trafić na Listę Ostrzeżeń.

Zagrożenia i skutki

W 2024 roku CERT Polska odnotował 40 120 incydentów phishingu, czyli 39% wszystkich zarejestrowanych incydentów ^[3]. Najczęściej wykorzystywano wizerunek OLX (9865 przypadków), Allegro (4053) i Facebooka (3871) ^[3]. Na Listę Ostrzeżeń trafiło w tym roku 92 647 domen, a najczęstszym celem były oszustwa inwestycyjne, związane z 42 172 domenami ^[3].

• Przejęcie konta poczty, bankowości albo panelu strony.
• Kradzież danych uwierzytelniających i ich dalsza sprzedaż lub użycie w credential stuffing.
• Instalacja złośliwego oprogramowania z załącznika ^[2].
• Wyłudzenie pieniędzy przez fałszywą bramkę płatności.

Jak się bronić

MITRE wymienia jako środki zaradcze m.in. szkolenie użytkowników w rozpoznawaniu wiadomości phishingowych, blokowanie ryzykownych załączników i stron oraz wdrożenie SPF, DKIM i DMARC ^[2]. SPF, DKIM i DMARC działają po stronie domeny nadawcy. DMARC, opisany w RFC 7489 z marca 2015 roku, pozwala właścicielowi domeny ogłosić, co odbiorca ma zrobić z wiadomością, która nie przeszła uwierzytelnienia: nic, skierować ją do kwarantanny albo odrzucić ^[5]. To utrudnia podszywanie się pod domenę strony, ale nie blokuje domen łudząco podobnych.

Drugi filar to uwierzytelnianie odporne na phishing. NIST definiuje odporność na phishing jako zdolność protokołu do niewydania sekretów i wyników uwierzytelnienia podszywającemu się weryfikatorowi ^[6]. Metody wymagające ręcznego przepisania wyniku, takie jak kody jednorazowe z aplikacji albo SMS, nie są uznawane za odporne, bo nie wiążą kodu z konkretną sesją ^[6]. Odporne są uwierzytelniacze kryptograficzne, w tym FIDO2 / WebAuthn i passkey ^[6]. Dlatego uwierzytelnianie wieloskładnikowe z kodem SMS nie zatrzyma ataku phishing AiTM.

Dla osób zarządzających stroną praktyczne zasady są proste: nie instalować wtyczek z linków w poczcie, sprawdzać adres przed zalogowaniem i zgłaszać podejrzane wiadomości. Organizacje stosują też testy phishingowe jako część szkoleń.

Historia i przykłady

We wrześniu 2025 roku CERT Polska omówił dwa prawdziwe adresy fałszywych stron ^[4]. Pierwszy zaczynał się od fragmentu account.booking.com, po którym stał znak „ん” udający ukośnik; właściwą domeną była www-account-booking.com ^[4]. Drugi udawał ogłoszenie Allegro Lokalnie, a prawdziwą domeną była pl-oferta5815015105198474.cfd ^[4]. CERT Polska zaleca wyodrębnić nazwę hosta do pierwszego ukośnika i czytać ją od prawej do lewej, zaczynając od domeny najwyższego poziomu ^[4].

Dane za 2024 rok pokazują zmiany celów. Liczba domen podszywających się pod Allegro spadła z 11 015 w 2023 roku do 4074, a pod OLX wzrosła z 4564 do 9714 ^[3]. Najczęstszą domeną najwyższego poziomu na Liście Ostrzeżeń była .com z 38 321 domenami, a .pl zajęła trzecie miejsce z 7231 ^[3]. CERT Polska tłumaczy popularność tych dwóch rozszerzeń większą skutecznością podszywania się pod oryginalną domenę ^[3]. Z 29 780 adresów IP, na które wskazywały wpisane domeny, 25 276 należało do Cloudflare, co ukrywało prawdziwą lokalizację serwerów ^[3].