Kiedy wszystko wygląda tak, jak powinno. Jak rozpoznać fałszywą stronę banku?

Logo na swoim miejscu. Znajome kolory. Formularz logowania wygląda dokładnie tak, jak go pamiętasz. Nawet adres strony nie wzbudza żadnych podejrzeń. Co mogłoby pójść nie tak?

To właśnie dlatego rozpoznawanie fałszywych stron internetowych może być dziś tak trudne. Przyzwyczailiśmy się szukać tego, co nie pasuje - literówki, dziwne grafiki, podejrzany nadawca... Tymczasem cyberprzestępcy coraz częściej dbają o to, żeby wszystko pasowało.

Według Raportu Rocznego Cyberbezpieczeństwa CSIRT KNF w 2025 roku zgłoszono do zablokowania 256 stron związanych z oszustwami bankowymi. Powstawały po to, by przypominać prawdziwe serwisy bankowości elektronicznej i przejmować m.in. loginy, hasła oraz dane kart płatniczych.

Zaufanie można podrobić

Fałszywa strona banku nie pojawia się jednak na ekranie bez powodu. Najpierw trzeba na nią trafić. Jak to się zwykle odbywa? Może przyjść e-mail z informacją, że konieczna jest aktualizacja danych. Może przyjść SMS o problemie z kontem. Komunikat o odrzuconym przelewie, który uda się zrealizować dopiero po wykonaniu dodatkowej czynności. Wiadomość brzmi na tyle prawdopodobnie, żeby kliknięcie w dołączony link wydawało się naturalną reakcją.

Potem pozostaje już tylko dobrze przygotowana scenografia. CSIRT KNF opisuje przypadek, w którym oszuści w fałszywej reklamie umieszczali prawdziwą domenę banku. Po jej kliknięciu użytkownik był jednak przekierowywany na inną, niebezpieczną stronę. Wykorzystywano również adresy internetowe zawierające znaki z innych alfabetów, które wyglądały niemal identycznie jak znane nam litery. W efekcie różnica między prawdziwym i fałszywym adresem może być naprawdę bardzo trudna do wychwycenia.

Na takich stronach przestępcy próbowali pozyskiwać nie tylko dane logowania, ale również dane osobowe, m.in. numer PESEL czy nazwisko panieńskie matki. Te z kolei mogą zostać wykorzystane do kolejnych prób oszustwa.

Wyszukiwarka też może zaprowadzić pod niewłaściwy adres

Nie zawsze potrzebny jest SMS czy e-mail. Czasem wystarczy zwykłe wyszukiwanie. Zamiast wpisywać pełny adres banku, wiele osób podaje jego nazwę w wyszukiwarce i przechodzi do serwisu z poziomu wyników. Cyberprzestępcy wykorzystują już także i tę ścieżkę.

Jak wskazuje CSIRT KNF, złośliwe witryny były pozycjonowane w taki sposób, aby pojawiały się wysoko w wynikach wyszukiwania. Po kliknięciu użytkownik widział stronę będącą wizualną kopią prawdziwego serwisu bankowego.

To ważna zmiana w myśleniu o bezpieczeństwie. Nie wystarczy, że strona wygląda profesjonalnie. Nie wystarczy też, że znaleźliśmy ją w miejscu, z którego korzystamy każdego dnia. Do bankowości elektronicznej lepiej przechodzić przez oficjalną aplikację albo samodzielnie wpisany, wcześniej zweryfikowany adres.

Kilka złotych, które ma nie wzbudzić podejrzeń

Inny, niebezpieczny scenariusz zaczyna się pozornie daleko od bankowości. Czekasz na przesyłkę i dostajesz informację, że do jej doręczenia brakuje niewielkiej opłaty. Kilka złotych nie brzmi szczególnie niepokojąco. Wręcz przeciwnie – to kwota na tyle mała, że łatwo potraktować ją jak drobną niedogodność.

W kampaniach opisanych przez CSIRT KNF takie wiadomości prowadziły do podstawionych bramek płatności, których zadaniem było pozyskanie pełnych danych karty. Po ich przejęciu mogło dochodzić do nieautoryzowanych transakcji na kwoty znacznie przekraczające rzekomą niedopłatę.
To pokazuje coś jeszcze: phishing nie zawsze prosi od razu o login do banku. Czasem są to dane karty. Innym razem dane osobowe. Wspólny pozostaje jednak sposób działania – stworzyć sytuację, która wygląda na wystarczająco zwyczajną, żeby nie budzić żadnych wątpliwości.

Nie oceniaj strony tylko po tym, jak wygląda

W internecie nauczyliśmy się ufać wielu drobnym sygnałom. Rozpoznajemy logo, układ strony, sposób komunikacji marki. To wygodne – dzięki temu nie analizujemy od początku każdej witryny, którą odwiedzamy. Problem pojawia się wtedy, gdy ktoś bardzo dobrze nauczy się te sygnały naśladować.

Dlatego wiadomość dotyczącą konta warto zweryfikować bezpośrednio w oficjalnym kanale banku, zamiast korzystać z przesłanego linku. Podobnie z niespodziewaną prośbą o płatność czy podanie danych. Presja na szybką reakcję nie powinna decydować o tym, gdzie wpisujemy login, hasło, numer karty czy PESEL.

Dlatego w przypadku bankowości elektronicznej nie warto polegać wyłącznie na tym, co widzimy na ekranie. Nawet znajomy wygląd strony nie zastąpi sprawdzenia, czy korzystamy z właściwego adresu.

Źródło: Raport Roczny Cyberbezpieczeństwa 2025, KNF.