Czym jest phishing AI i jak go rozpoznać?
·Do księgowej przychodzi mail: „Dzień dobry, przesyłamy skorygowaną fakturę za marzec. Prosimy o opłacenie jej jeszcze dziś, żebyśmy nie musieli wstrzymać dostaw”. Uprzejmy ton, żadnych literówek, nazwa prawdziwego dostawcy, poprawna stopka. Nic tu nie krzyczy „oszustwo”.
Kiedyś phishing rzucał się w oczy: koślawy język, dziwne formatowanie, nieznany nadawca, wygląd zrobiony na kolanie. Dziś jest inaczej. Sztuczna inteligencja potrafi napisać za atakującego tekst, który brzmi naturalnie i wiarygodnie – i wygląda na pisany do konkretnej osoby.
Phishing AI to phishing wzmocniony sztuczną inteligencją. Nie chodzi o to, że cały e-mail napisał robot. Atakujący ma po prostu pod ręką narzędzie, które napisze tekst, przetłumaczy go, dopasuje do odbiorcy, wymyśli pretekst, podrobi styl wypowiedzi albo przygotuje całą kampanię.
Szerszy obraz tego, do czego atakujący wykorzystują AI, znajdziesz w artykule AI jako narzędzie atakującego: phishing, deepfake i nowe cyberzagrożenia.
Phishing rzadko działa sam – zwykle to jeden z elementów szerszego ataku socjotechnicznego. O atakach głosowych piszemy w tekście o deepfake’ach i vishingu, a o tym, skąd atakujący biorą szczegóły do wiarygodnej przynęty – w artykule o OSINT i AI.
Jak działa phishing
Phishing opiera się na jednym mechanizmie: atakujący podszywa się pod kogoś, komu ufasz.
Może to być bank, firma kurierska, operator komórkowy, urząd, znana marka, współpracownik, przełożony albo klient. Wiadomość zwykle popycha do szybkiego działania.
Atakujący chce najczęściej:
- skłonić do kliknięcia w link,
- przekierować na fałszywą stronę logowania,
- nakłonić do otwarcia załącznika,
- wyłudzić dane karty,
- zdobyć kod jednorazowy,
- doprowadzić do wykonania przelewu,
- dostać się do firmowego systemu.
Największy problem polega na tym, że phishing rzadko wygląda dramatycznie. Czasem niczym nie różni się od zwykłej wiadomości służbowej.
Najczęstsze rodzaje phishingu
Phishing e-mailowy
Najbardziej znana odmiana. Mail wygląda jak wiadomość z banku, od kuriera, z Microsoftu, od Google, od dostawcy albo od kolegi z zespołu. W środku jest link, załącznik albo prośba o pilne działanie.
Przykład: „Twoje hasło wkrótce wygaśnie. Zaloguj się i potwierdź konto”.
Smishing
Smishing to phishing przez SMS lub komunikator. Najczęściej dotyczy paczek, dopłat, mandatów i kont bankowych.
Przykład: „Paczka czeka na dopłatę. Kliknij w link, żeby dokończyć doręczenie”.
Vishing
Vishing to phishing przez telefon. Ktoś dzwoni i próbuje nakłonić do konkretnego działania. Podaje się za pracownika banku, wsparcie techniczne, policjanta, kuriera albo przełożonego.
Z AI vishing robi się groźniejszy, bo głos da się zsyntetyzować albo sklonować.
Spear phishing
Spear phishing to phishing wymierzony w konkretną osobę lub firmę, a nie masowa wysyłka na tysiące adresów.
Atakujący sprawdza imię i nazwisko, stanowisko, projekty, współpracowników, klientów i dostawców. Potem pisze wiadomość, która pasuje do zwykłego dnia pracy adresata.
Tu do gry wchodzi OSINT: publiczne profile, strona firmowa i posty w mediach społecznościowych zamieniają ogólny phishing w wiarygodny pretekst.
Business Email Compromise (BEC)
Atak wymierzony w firmy, w Polsce znany przede wszystkim jako „oszustwo na prezesa”. Atakujący podszywa się pod prezesa, przełożonego, dostawcę albo partnera biznesowego i próbuje nakłonić pracownika do opłacenia faktury albo do zmiany numeru konta.
To rzadko bywa atak techniczny. Znacznie częściej – dobrze przygotowana manipulacja.
Jak AI zmienia phishing
AI poprawia phishing dokładnie tam, gdzie do tej pory się sypał.
Poprawny język
Oszukańcze wiadomości nie muszą już brzmieć jak tekst z translatora. AI pisze poprawną polszczyzną i dopasowuje ton tak, żeby wiadomość wyglądała jak z banku, od kuriera, z urzędu albo od współpracownika.
Więcej szczegółów o odbiorcy
Atakujący zbiera publiczne informacje o firmie i jej ludziach, a AI zamienia je w wiadomość z konkretnym kontekstem.
Na przykład: „Cześć Marto, wysyłam zaktualizowane dokumenty do przetargu, nad którym pracujesz w tym tygodniu”. To znacznie groźniejsze niż masowy spam.
Szybsze przygotowanie kampanii
AI tworzy kilkadziesiąt wariantów wiadomości – osobno dla księgowości, HR, sprzedaży i IT.
Podrobiony styl wypowiedzi
Jeśli atakujący ma publiczne teksty konkretnej osoby, może spróbować podrobić jej styl. Wiadomość może wtedy brzmieć jak zwykły mail od przełożonego albo od koleżanki z zespołu.
Lista kontrolna: jak rozpoznać phishing
Przy podejrzanej wiadomości najważniejsze jest jedno: zwolnić. Nie trzeba być specjalistą od IT. Wystarczy zadać sobie kilka pytań.
1. Czy wiadomość popycha mnie do pośpiechu?
Phishing gra na czasie: „natychmiast”, „w ciągu 24 godzin”, „ostateczne wezwanie”, „pilne”, „konto zostanie zablokowane”. Im mocniejsza presja, tym więcej powodów, żeby sprawdzić nadawcę.
2. Czy ktoś prosi o hasło, kod albo przelew?
Haseł i kodów jednorazowych nie wysyła się mailem, SMS-em ani przez komunikator. Prośba o kod z SMS-a to sygnał alarmowy sam w sobie.
3. Czy adres nadawcy się zgadza?
Sprawdź nie tylko nazwę wyświetlaną, ale też sam adres. Atakujący podstawia znaną markę w nazwie nadawcy, a domena jest zupełnie inna. Zwróć uwagę na drobne zmiany w domenie: przestawione litery, dodatkowe myślniki, podejrzane końcówki.
4. Czy link prowadzi tam, gdzie powinien?
Nie klikaj odruchowo. Na komputerze najedź kursorem na link i sprawdź adres w pasku statusu. Na telefonie jest to trudniejsze, więc tym bardziej warto wejść na oficjalną stronę ręcznie.
5. Czy załącznik był zapowiedziany?
Nie otwieraj załączników, których nikt nie zapowiedział – zwłaszcza faktur, dokumentów, archiwów i plików, które proszą o włączenie makr albo o ponowne zalogowanie.
6. Czy taka wiadomość ma sens?
Czy spodziewam się takiej wiadomości? Czy to naturalne, że pisze do mnie akurat ta osoba? Czy zwykle prosi mnie o takie rzeczy? Jeśli coś się nie zgadza, zweryfikuj.
7. Czy mogę potwierdzić prośbę innym kanałem?
Przy przelewach, zmianie numeru konta, nadawaniu dostępów i danych wrażliwych weryfikuj zawsze drugim kanałem: zadzwoń pod znany numer, napisz na firmowym czacie albo zapytaj osobiście.
Co zrobić po kliknięciu w link phishingowy
Kliknąć może każdy. Liczy się to, żeby nie panikować i zareagować szybko.
Jeśli link tylko się otworzył, a w formularzu nic nie wylądowało, zamknij stronę i zgłoś wiadomość do działu IT lub do administratora. Jeśli hasło zdążyło trafić do formularza, zmień je natychmiast – a jeśli używasz go w innych serwisach, tam też. Przy danych karty zadzwoń do banku. Jeśli sprawa dotyczy konta firmowego, powiedz o tym w firmie od razu.
Najgorszy scenariusz to milczenie ze strachu albo ze wstydu. Atakujący właśnie na to liczą. Szybkie zgłoszenie potrafi uratować konto, pieniądze i firmowe dane.
Jak zabezpieczyć się na dłużej
Włącz uwierzytelnianie wieloskładnikowe (MFA). Aktualizuj urządzenia. Nie używaj jednego hasła w kilku miejscach – od tego jest menedżer haseł. Uważaj na publiczne Wi-Fi. I przede wszystkim: weryfikuj podejrzane prośby.
W firmie działa to, co powtarzalne: regularne szkolenia, prosty sposób zgłaszania podejrzanych wiadomości, kontrolowane kampanie phishingowe oraz jasna procedura przy przelewach i zmianie numeru konta.
Podsumowanie
Phishing AI jest groźny dlatego, że wygląda normalnie. Nie musi być technicznie efektowny – wystarczy, że korzysta ze zwykłej komunikacji, zwykłego pośpiechu i zwykłego zaufania.
Obrona brzmi banalnie, a i tak trudno zamienić ją w nawyk: zwolnij, sprawdź, nie klikaj odruchowo, nie ulegaj presji. Wiadomość, która wywołuje panikę albo prosi o dane wrażliwe, zasługuje na chwilę uwagi.
