Prawie 1000 szkodliwych stron dziennie. Oszuści podszywają się pod NFZ, InPost i parkingi - Dziennik.pl

± Liczby z najnowszego miesięcznego raportu CERT Polska zwracają uwagę. Od początku stycznia do końca lipca 2026 roku na Listę Ostrzeżeń wpisano już 158,3 tys. szkodliwych domen. Sam lipiec przyniósł 29,6 tys. nowych wpisów. To średnio około 955 domen dziennie. Co ważniejsze, w porównaniu z czerwcem ich liczba zwiększyła się aż o 39 proc.

± Jedna z kampanii odnotowanych w lipcu wykorzystuje coś, co dla wielu osób może wyglądać jak dobra wiadomość. Oszuści podszywają się pod Narodowy Fundusz Zdrowia i wysyłają e-maile informujące o rzekomym zweryfikowaniu wniosku. Odbiorca ma kliknąć link i podać kod otrzymany w wiadomości.

± Strona przypomina serwis NFZ, ale jej prawdziwy cel jest zupełnie inny. Formularz służy do przejęcia danych osobowych i danych karty płatniczej, a przynętą jest rzekomy zwrot należnych pieniędzy. To właśnie ta konstrukcja jest szczególnie niebezpieczna: oszust nie straszy karą. Obiecuje pieniądze.

± Drugi scenariusz może zadziałać praktycznie na każdego kierowcę korzystającego ze stref płatnego parkowania. SMS informuje o nieuregulowanej opłacie parkingowej. Link prowadzi do strony imitującej oficjalny serwis płatności. Wprowadzone tam dane pojazdu i karty mogą następnie posłużyć do kradzieży pieniędzy albo kolejnych prób wyłudzeń.

± Kolejna kampania wykorzystuje mechanizm, który oszuści stosują od lat, ale stale go modyfikują: oczekiwanie na paczkę. W lipcu CERT Polska obserwował kampanię podszywającą się pod InPost. Wiadomość informowała o rzekomo nieudanej próbie dostarczenia przesyłki i konieczności potwierdzenia danych adresowych.

± Link ponownie prowadził do przygotowanej przez oszustów strony, której zadaniem było przejęcie danych osobowych i danych karty płatniczej. To może być szczególnie skuteczny wabik, bo przy ogromnej popularności zakupów internetowych prawdopodobieństwo, że odbiorca rzeczywiście czeka właśnie na jakąś przesyłkę, jest duże.

± Lipcowy raport pokazuje, jak szeroko rozstawiona jest sieć przynęt. CERT wykrył także SMS-y wykorzystujące wizerunek gov.pl. Oszuści informowali o konieczności uzupełnienia danych we wniosku mieszkaniowym. Na fałszywej stronie pojawiała się nawet kwota rzekomego dofinansowania. Aby dostać pieniądze, użytkownik miał wpisać dane karty.

± W innych kampaniach cyberprzestępcy podszywali się pod LUX MED, administrację poczty Onet czy popularnych rejestratorów domen. Pojawiały się fałszywe zwroty kosztów leczenia, prośby o „weryfikację bezpieczeństwa” konta czy komunikaty o wygasającej domenie. Schemat się zmienia. Cel pozostaje podobny: przekonać odbiorcę, żeby sam wpisał swoje dane.

± Osobną skalę problemu pokazują dane dotyczące wiadomości tekstowych. W lipcu do CERT Polska zgłoszono 13 tys. podejrzanych SMS-ów. 11 proc. z nich stanowiły wiadomości, w których nadawca podszywał się pod inny podmiot, aby skłonić odbiorcę np. do podania danych, przekazania pieniędzy, wejścia na stronę lub instalacji oprogramowania.

± Bezpieczniejsza zasada jest prosta: jeśli wiadomość dotyczy paczki, opłaty, banku czy urzędu, nie wchodź do serwisu przez przesłany link. Otwórz oficjalną aplikację albo samodzielnie wpisz adres instytucji w przeglądarce. Logo można skopiować w kilka sekund. Adres strony znacznie trudniej podrobić bez pozostawienia śladu.

− To średnio około 955 domen dziennie. Co ważniejsze, w porównaniu z czerwcem ich liczba zwiększyła się aż o 39 proc.

− Oszuści podszywają się pod Narodowy Fundusz Zdrowia i wysyłają e-maile informujące o rzekomym zweryfikowaniu wniosku. Odbiorca ma kliknąć link i podać kod otrzymany w wiadomości.

− To właśnie ta konstrukcja jest szczególnie niebezpieczna: oszust nie straszy karą. Obiecuje pieniądze.

− Drugi scenariusz może zadziałać praktycznie na każdego kierowcę korzystającego ze stref płatnego parkowania.

− W lipcu CERT Polska obserwował kampanię podszywającą się pod InPost. Wiadomość informowała o rzekomo nieudanej próbie dostarczenia przesyłki i konieczności potwierdzenia danych adresowych.

− To może być szczególnie skuteczny wabik, bo przy ogromnej popularności zakupów internetowych prawdopodobieństwo, że odbiorca rzeczywiście czeka właśnie na jakąś przesyłkę, jest duże.

− Lipcowy raport pokazuje, jak szeroko rozstawiona jest sieć przynęt.

− Schemat się zmienia. Cel pozostaje podobny: przekonać odbiorcę, żeby sam wpisał swoje dane.

− Osobną skalę problemu pokazują dane dotyczące wiadomości tekstowych.

− Logo można skopiować w kilka sekund. Adres strony znacznie trudniej podrobić bez pozostawienia śladu.

− CERT Polska / CSIRT NASK: „Podsumowanie Miesiąca CERT Polska, nr 7/2026”, dane za 1-31 lipca 2026 r. Raport miesięczny CERT Polska za lipiec 2026 – PDF

− CERT Polska: Lista Ostrzeżeń przed niebezpiecznymi stronami. Lista Ostrzeżeń CERT Polska

− CERT Polska: poradnik dotyczący bezpiecznych płatności i phishingu. CERT Polska: (Nie)bezpieczne płatności

+ Najbezpieczniej nie korzystać z linku znajdującego się w wiadomości. Jeśli SMS dotyczy przesyłki, płatności lub urzędowej sprawy, należy samodzielnie otworzyć oficjalną aplikację albo wpisać adres strony danej instytucji w przeglądarce.

+ Nie zawsze. Największe zagrożenie pojawia się wtedy, gdy użytkownik poda na fałszywej stronie dane logowania, dane osobowe, numer karty albo zatwierdzi operację w banku. Po przypadkowym wejściu na podejrzaną stronę najlepiej ją zamknąć i niczego na niej nie wpisywać.

+ Należy jak najszybciej skontaktować się z bankiem i poinformować o możliwym przejęciu danych. W zależności od sytuacji konieczne może być zastrzeżenie karty, zmiana danych logowania lub zabezpieczenie dostępu do bankowości elektronicznej.

+ Podejrzaną wiadomość SMS można przekazać do CERT Polska na numer 8080. Zgłaszanie takich wiadomości pomaga w wykrywaniu nowych kampanii phishingowych i blokowaniu wykorzystywanych przez przestępców stron.

+ HTTPS nie potwierdza, że strona należy do prawdziwej firmy lub instytucji. Oznacza przede wszystkim, że połączenie z serwisem jest szyfrowane. Oszuści również mogą korzystać z certyfikatów HTTPS, dlatego trzeba sprawdzać przede wszystkim rzeczywisty adres domeny.