Phishing celowany. Mail od „szefa”, w którym zgadza się wszystko oprócz adresu

Tak wygląda phishing celowany, czyli fałszywa wiadomość przygotowana pod konkretną firmę i konkretną osobę. W mIT group dostajemy co najmniej pięć takich maili w miesiącu. Oszuści podszywają się pod naszego szefa albo pod prezesów znanych firm, które rzekomo chcą z nami współpracować. Te same schematy widzimy w skrzynkach firm, którym prowadzimy obsługę informatyczną. Jeden z naszych klientów był już o krok od przelewu.

Pokazujemy, jak rozpoznać taki mail w kilkanaście sekund, co zrobić, gdy już przyszedł, i jakie ustawienia poczty firmowej zatrzymują większość podróbek, zanim trafią do pracownika.

Czym jest phishing celowany i czym różni się od zwykłego

Phishing celowany (ang. spear phishing) to atak przygotowany dla jednej osoby albo jednego działu. Zwykły phishing wysyła ten sam tekst do tysięcy adresów, np. „dopłać 1,99 zł do przesyłki”, i liczy na to, że ktoś kliknie. Celowany zaczyna się od rozpoznania. Oszust sprawdza, kto w firmie płaci faktury, kto jest prezesem i z jakimi kontrahentami firma pracuje.

Najgroźniejsza odmiana to oszustwo „na prezesa” albo „na kontrahenta”. W raportach nazywa się je BEC (Business Email Compromise), czyli wyłudzeniem przez firmową pocztę. Celem prawie zawsze są pieniądze: przelew na nowe konto, opłacenie „pilnej” faktury albo karty podarunkowe kupione rzekomo dla klienta.

Skąd oszuści znają szczegóły? Z publicznych źródeł. Zarząd i prokurentów pokazuje KRS. Imiona handlowców i księgowych są na stronie firmy w zakładce „Zespół” i na LinkedInie. Autoodpowiedź „jestem na urlopie do 15 listopada” mówi, kiedy szef nie odbierze telefonu. Resztę uzupełniają stare wycieki danych.

Phishingu jest coraz więcej. Liczby za 2025 rok

CERT Polska obsłużył w 2025 roku 260 783 incydenty. Około 30% z nich, czyli blisko 78 tys., to próby wyłudzenia danych, głównie loginów i haseł do poczty. Na listę ostrzeżeń przed niebezpiecznymi stronami trafiło prawie 250 tys. domen, o 166% więcej niż rok wcześniej (dane z raportu CERT Polska za 2025 rok).

FBI liczy straty z oszustw na firmową pocztę osobno. W 2025 roku wyniosły w USA ponad 3 mld dolarów (3,05 mld wobec 2,77 mld rok wcześniej). To druga najbardziej kosztowna kategoria przestępstw w raporcie IC3 za 2025 rok, zaraz po oszustwach inwestycyjnych.

Polskie statystyki nie wyodrębniają osobno maili „od prezesa”. Wiemy tyle, ile widzimy sami: w samej mIT group to minimum pięć prób w miesiącu.

Jak wygląda taki mail. Przykład na wzór tych, które dostajemy

Nazwy w przykładzie są zmyślone, ale układ jest prawdziwy. Tak wyglądają wiadomości, które regularnie trafiają do naszej skrzynki.

• Adres nadawcy to „abc-logistyca.pl” zamiast „abc-logistyka.pl”. Różnica to jedna litera.
• Zmiana konta przez maila. Uczciwy kontrahent nie zmienia rachunku jednym mailem z prośbą o przelew „na dziś”.
• Pośpiech i prośba, żeby nie dzwonić. Oszust wie, że jeden telefon go zdemaskuje.
• „RE:” w temacie przy nowym wątku. Ma udawać ciąg dalszy prawdziwej rozmowy.
• Imiona Twoich pracowników. Oszust wziął je ze strony firmy albo z LinkedIna.

Gdzie szukać podróbki: siedem sztuczek z adresem

Oszust nie musi się nigdzie włamywać. Wystarczy, że zarejestruje domenę podobną do prawdziwej, a to kosztuje kilkadziesiąt złotych. Tak mogą wyglądać podróbki adresu na przykładzie naszej domeny:

Na telefonie zwykle widać tylko nazwę nadawcy, np. „Tomasz Nowak”, bez adresu. Dlatego w biegu, między spotkaniami, najłatwiej się nabrać. W Outlooku i Gmailu wystarczy dotknąć albo kliknąć nazwę, żeby zobaczyć pełny adres.

Najgroźniejszy wariant: adres jest prawdziwy, bo skrzynkę przejęto

Bywa, że w adresie nie ma żadnej literówki. Mail przychodzi z prawdziwej skrzynki kontrahenta, bo ktoś wcześniej ukradł do niej hasło. Oszust czyta starą korespondencję, czeka na moment wystawienia faktury i odpisuje w tym samym wątku. Dopisuje tylko jedno zdanie o nowym numerze konta.

Tu nie pomoże żaden filtr ani wpatrywanie się w adres. Pomaga jedna zasada: każdą zmianę numeru rachunku potwierdzasz telefonicznie, pod numerem, który już znasz. Z umowy, z wcześniejszej korespondencji albo z systemu. Nigdy z tej samej wiadomości, w której jest prośba o zmianę.

W Polsce jest jeszcze jedno sito: biała lista podatników VAT. Jeśli kontrahent jest czynnym podatnikiem VAT, sprawdź nowy rachunek w wyszukiwarce na podatki.gov.pl. Numer, którego nie ma przy jego NIP, to poważny sygnał ostrzegawczy. Przy płatności powyżej 15 000 zł na rachunek spoza wykazu firma traci prawo do zaliczenia wydatku do kosztów. Może też odpowiadać solidarnie za VAT kontrahenta, chyba że w ciągu 3 dni zawiadomi urząd skarbowy.

Klient, który był o krok od przelewu

Jeden z klientów, którym prowadzimy obsługę IT, był o krok od przelania pieniędzy oszustowi. Mail podszywał się pod znaną osobę z innej firmy i wyglądał jak zwykła korespondencja handlowa. Przelew nie wyszedł, ale niewiele brakowało.

Do takiego błędu nie trzeba naiwności. Wystarczy pośpiech i brak w firmie prostej reguły: przy zmianie konta najpierw telefon, potem przelew.

Co zrobić, gdy taki mail już przyszedł

1. Nie odpowiadaj i nie klikaj w linki ani załączniki. Odpowiedź potwierdza oszustowi, że adres działa i ktoś czyta pocztę.
2. Zadzwoń do rzekomego nadawcy na numer, który masz z wcześniejszych kontaktów, a nie ze stopki maila.
3. Zgłoś wiadomość swojemu opiekunowi IT. W Outlooku służy do tego przycisk „Zgłoś”.
4. Jeśli ktoś kliknął link i wpisał hasło: zmień hasło, wyloguj wszystkie sesje i sprawdź reguły w skrzynce. Oszuści często ustawiają regułę, która przekierowuje albo ukrywa część poczty.
5. Jeśli przelew już wyszedł, natychmiast dzwoń do banku. Im szybciej, tym większa szansa na zatrzymanie pieniędzy. Potem zgłoś sprawę na policję i do CERT Polska przez formularz incydent.cert.pl.
6. Jeśli wyciekły dane osobowe, pamiętaj o RODO: na zgłoszenie naruszenia do UODO masz 72 godziny od jego stwierdzenia.

Jedna procedura, która zatrzymuje przelew nawet przy idealnym mailu

Filtry pocztowe ograniczają liczbę podróbek. Przelew chroni dopiero procedura, której pracownicy trzymają się zawsze, także wtedy, gdy mail jest „od prezesa”.

• Zmiana numeru konta tylko po telefonie na znany numer. Bez wyjątków.
• Dwie osoby przy przelewach powyżej ustalonej kwoty. Jedna przygotowuje, druga zatwierdza w banku.
• „Pilne i poufne” znaczy: sprawdź dwa razy. Prośba o pośpiech i dyskrecję to najczęstszy znak oszustwa.
• Zgoda szefa na sprawdzanie. Prezes wie, że księgowa zadzwoni przed nietypowym przelewem, i nie traktuje tego jak braku zaufania.

Ta sama procedura zatrzymuje kolejny krok oszustów, czyli telefon albo wideorozmowę z podrobionym głosem. Opisaliśmy go w artykule o deepfake’u prezesa i oszustwie na głos. Podobny schemat działa też w komunikatorach, o czym piszemy przy okazji phishingu na WhatsAppie i Signalu.

Co da się ustawić w poczcie firmowej

Technika nie zastąpi procedury, ale sprawia, że do pracownika dociera dużo mniej podróbek. W Microsoft 365 i Google Workspace warto sprawdzić:

• SPF, DKIM i DMARC dla własnej domeny. Utrudniają wysyłanie maili, które udają dokładnie Twój adres. Nie zatrzymają domeny z literówką, bo to inna, normalnie zarejestrowana domena.
• Oznaczenie wiadomości z zewnątrz. Outlook może pokazywać etykietę „Zewnętrzne” przy mailach spoza firmy. Mail „od prezesa” z taką etykietą powinien zapalić lampkę.
• Ochronę przed podszywaniem. W Microsoft Defender for Office 365 (jest m.in. w planie Microsoft 365 Business Premium) można wskazać do 350 osób, np. zarząd i księgowość, oraz domeny najważniejszych kontrahentów. System wyłapuje wtedy maile podszywające się pod te nazwiska i podobne domeny.
• Ostrzeżenie przy pierwszym kontakcie. Informuje, że ktoś pisze do Ciebie po raz pierwszy. Działa nawet w podstawowej ochronie poczty Microsoft 365.
• MFA na wszystkich kontach. Skradzione hasło bez drugiego składnika nie otworzy skrzynki, więc trudniej zrobić z niej narzędzie do kolejnych ataków.
• Szkolenia i testowe kampanie phishingowe. Pracownik, który przeszedł kontrolowany test, wie, czego szukać w prawdziwym mailu. Takie testy socjotechniczne prowadzimy dla firm.

Google Workspace ma podobne ustawienia w konsoli administratora, m.in. ochronę przed podszywaniem się pod nazwiska pracowników i pod domeny podobne do Twojej. Uczciwie trzeba dodać, że żaden filtr nie zatrzyma maila z prawdziwej, przejętej skrzynki kontrahenta. Dlatego zabezpieczenia poczty zawsze idą w parze z procedurą przelewów. Szczegóły ustawień opisuje dokumentacja Microsoft.

Jak to robimy w mIT group: najpierw obsługa IT, potem zabezpieczenia

Zabezpieczeń nie dobieramy w ciemno. Zaczynamy od przejęcia obsługi informatycznej, bo dopiero wtedy widzimy, jak firma naprawdę działa. Sprawdzamy konfigurację poczty, rekordy SPF, DKIM i DMARC, uprawnienia do kont i to, czy wszyscy logują się z MFA.

Na tej podstawie wdrażamy cyberbezpieczeństwo dopasowane do firmy: ustawienia poczty, ochronę kont, szkolenia pracowników i procedurę weryfikacji płatności. Potem pilnujemy tego na co dzień w ramach stałej opieki. Pracownik, który dostanie podejrzany mail, wie, do kogo napisać.

Chcesz sprawdzić, jak to wygląda u Ciebie? Zapytaj o obsługę informatyczną firmy z wdrożeniem cyberbezpieczeństwa. Przejmiemy opiekę nad IT, zbadamy Twoją pocztę i powiemy, co poprawić w pierwszej kolejności.

Phishing celowany: pytania, które słyszymy od klientów

Jak odróżnić phishing celowany od zwykłego spamu?

Zwykły spam jest ogólny i masowy. Phishing celowany zna Twoje imię, nazwę firmy, kontrahentów i bieżące sprawy. Jeśli mail wie o Tobie dużo, a prosi o pieniądze, dane albo hasło, potraktuj go jak podejrzany i sprawdź nadawcę telefonicznie.

Czy SPF, DKIM i DMARC chronią przed takimi mailami?

Częściowo. Utrudniają podszywanie się pod dokładnie Twoją domenę, więc oszust nie wyśle maila z prawdziwego adresu prezesa. Nie zatrzymają jednak domeny z literówką ani maila z przejętej skrzynki kontrahenta. Do tego potrzebna jest ochrona przed podszywaniem i procedura weryfikacji przelewów.

Pracownik zrobił przelew na konto oszusta. Co teraz?

Od razu zadzwoń do banku i poproś o zatrzymanie przelewu, bo liczą się godziny. Potem zgłoś sprawę na policję i do CERT Polska. Nie kasuj oryginalnego maila: jego nagłówki pomogą ustalić, skąd przyszedł.

Skąd oszuści wiedzą, kto w firmie płaci faktury?

Z KRS, ze strony firmy, z LinkedIna i z autoodpowiedzi o urlopach. Czasem z wcześniejszego wycieku danych albo z przejętej skrzynki, w której czytają prawdziwą korespondencję.

Czy małej firmie też to grozi?

Tak. Mała firma rzadko ma procedurę przelewów i osobę od bezpieczeństwa, więc wystarczy jedna księgowa i jeden przekonujący mail. Oszuści wybierają cel po tym, gdzie najłatwiej wejść.

Skontaktuj się z mIT group

Autor artykułu

Michał Szapiel

W zalewie informacji czuję się jak ryba w wodzie. Uwielbiam wyszukiwać technologiczne perełki i nietuzinkowe rozwiązania, które realnie usprawniają biznes. Praca w Agile i SCRUM to dla mnie standard, ale to pasja do pisania o technologii, grafice i programowaniu napędza mnie do działania. Codziennie czytam, testuję i wdrażam nowinki, którymi dzielę się tutaj z Tobą.

Opublikowano: 4 listopada 2026

Zobacz także

CyberbezpieczeństwoBoty na stronie: jak sprawdzić, ile ich jest, i zablokować szkodliwe4.11.2026

CyberbezpieczeństwoDeepfake prezesa dzwoni do księgowej. Jak firma ma się obronić przed oszustwem na głos i wideo24.10.2026

CyberbezpieczeństwoMSP GLOBAL 2026: mIT group i Blackwall o ochronie stron przed botami22.10.2026