„Obiecują pieniądze z NFZ i straszą mandatami”. Prawie 1000 szkodliwych 30 tys. niebezpiecznych stron dziennie. Oszuści podszywają się pod NFZ, InPost i parkingi w miesiąc! - Dziennik.pl
Zwrot pieniędzy z NFZ, zaległa opłata nieopłacony bilet za parking albo czy problem z doręczeniem paczki. Wiadomość wygląda znajomo, kwota często nie budzi podejrzeń, a za linkiem czeka strona przypominająca prawdziwy serwis. Najnowsze dane paczki, oszuści właśnie znaleźli nowy sposób na czyszczenie naszych kont bankowych. Zamiast tylko straszyć karami, coraz częściej obiecują rzekome wypłaty. Najnowszy raport CERT Polska pokazują ujawnia porażającą skalę problemu: procederu: tylko w lipcu jednym miesiącu na Listę Ostrzeżeń trafiło aż 29,6 tys. szkodliwych domen, a liczba zarejestrowanych groźnych incydentów wzrosła w ciągu miesiąca skoczyła aż o 37 proc. procent.
±Liczby z najnowszego miesięcznego raportu CERT Polska zwracają uwagę. nie pozostawiają złudzeń. Od początku stycznia do końca lipca 2026 roku na Listę Ostrzeżeń wpisano czarną listę niebezpiecznych stron trafiło już 158,3 tys. szkodliwych ponad 158 tysięcy domen. Sam lipiec przyniósł aż 29,6 tys. nowych wpisów. To wpisów – to średnio około blisko 955 domen dziennie. Co ważniejsze, w porównaniu z czerwcem ich liczba zwiększyła się aż fałszywych witryn rejestrowanych każdego dnia i wzrost o 39 proc. m/m.
−Równocześnie CERT Polska otrzymał w lipcu 56,2 tys. zgłoszeń i na ich podstawie zarejestrował 31,2 tys. incydentów cyberbezpieczeństwa. To o 37 proc. więcej niż miesiąc wcześniej.
−Warto jednak zachować precyzję: 31,2 tys. incydentów nie oznacza 31,2 tys. okradzionych osób. CERT definiuje je jako zdarzenia, które miały lub mogły mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Jeden incydent może być również powiązany z kilkoma zgłoszeniami. Od kwietnia 2026 r. zmieniły się ponadto przepisy i zasady klasyfikacji, dlatego dane z wcześniejszymi okresami nie zawsze są w pełni porównywalne.
−Jedna z kampanii odnotowanych w lipcu wykorzystuje coś, co dla wielu osób może wyglądać jak dobra wiadomość. Oszuści podszywają się pod Narodowy Fundusz Zdrowia i wysyłają e-maile informujące o rzekomym zweryfikowaniu wniosku. Odbiorca ma kliknąć link i podać kod otrzymany w wiadomości.
−Strona przypomina serwis NFZ, ale jej prawdziwy cel jest zupełnie inny. Formularz służy do przejęcia danych osobowych i danych karty płatniczej, a przynętą jest rzekomy zwrot należnych pieniędzy. To właśnie ta konstrukcja jest szczególnie niebezpieczna: oszust nie straszy karą. Obiecuje pieniądze.
−Drugi scenariusz może zadziałać praktycznie na każdego kierowcę korzystającego ze stref płatnego parkowania. SMS informuje o nieuregulowanej opłacie parkingowej. Link prowadzi do strony imitującej oficjalny serwis płatności. Wprowadzone tam dane pojazdu i karty mogą następnie posłużyć do kradzieży pieniędzy albo kolejnych prób wyłudzeń.
−Jest tu jeszcze jeden ciekawy szczegół. CERT zwraca uwagę, że przestępcy próbują omijać mechanizmy telefonów ostrzegające przed podejrzanymi linkami. Użytkownik może zostać poproszony o odpowiedzenie na wiadomość albo ręczne skopiowanie adresu i wklejenie go do przeglądarki.
−Jeżeli SMS instruuje, jak ominąć zabezpieczenie telefonu, lampka ostrzegawcza powinna zapalić się natychmiast.
−Kolejna kampania wykorzystuje mechanizm, który oszuści stosują od lat, ale stale go modyfikują: oczekiwanie na paczkę. W lipcu CERT Polska obserwował kampanię podszywającą się pod InPost. Wiadomość informowała o rzekomo nieudanej próbie dostarczenia przesyłki i konieczności potwierdzenia danych adresowych.
−Link ponownie prowadził do przygotowanej przez oszustów strony, której zadaniem było przejęcie danych osobowych i danych karty płatniczej. To może być szczególnie skuteczny wabik, bo przy ogromnej popularności zakupów internetowych prawdopodobieństwo, że odbiorca rzeczywiście czeka właśnie na jakąś przesyłkę, jest duże.
−Lipcowy raport pokazuje, jak szeroko rozstawiona jest sieć przynęt. CERT wykrył także SMS-y wykorzystujące wizerunek gov.pl. Oszuści informowali o konieczności uzupełnienia danych we wniosku mieszkaniowym. Na fałszywej stronie pojawiała się nawet kwota rzekomego dofinansowania. Aby dostać pieniądze, użytkownik miał wpisać dane karty.
−W innych kampaniach cyberprzestępcy podszywali się pod LUX MED, administrację poczty Onet czy popularnych rejestratorów domen. Pojawiały się fałszywe zwroty kosztów leczenia, prośby o „weryfikację bezpieczeństwa” konta czy komunikaty o wygasającej domenie. Schemat się zmienia. Cel pozostaje podobny: przekonać odbiorcę, żeby sam wpisał swoje dane.
−Osobną skalę problemu pokazują dane dotyczące wiadomości tekstowych. W lipcu do CERT Polska zgłoszono 13 tys. podejrzanych SMS-ów. 11 proc. z nich stanowiły wiadomości, w których nadawca podszywał się pod inny podmiot, aby skłonić odbiorcę np. do podania danych, przekazania pieniędzy, wejścia na stronę lub instalacji oprogramowania.
−Na podstawie przygotowanych przez CERT wzorców operatorzy zablokowali w lipcu szacunkowo 6,2 tys. fałszywych SMS-ów.
−CERT Polska od dawna wskazuje na charakterystyczny element wielu takich ataków: link przesłany w wiadomości, który ma umożliwić płatność, odebranie pieniędzy albo potwierdzenie danych.
−Nawet jeśli chodzi o kilka złotych, nie należy zakładać, że ryzykujemy tylko taką kwotę. Fałszywy formularz może służyć do przejęcia danych potrzebnych do znacznie poważniejszej operacji. CERT zaleca również uważne czytanie komunikatów autoryzacyjnych z banku i sprawdzanie, jaka operacja oraz jaka kwota są faktycznie zatwierdzane.
−Bezpieczniejsza zasada jest prosta: jeśli wiadomość dotyczy paczki, opłaty, banku czy urzędu, nie wchodź do serwisu przez przesłany link. Otwórz oficjalną aplikację albo samodzielnie wpisz adres instytucji w przeglądarce. Logo można skopiować w kilka sekund. Adres strony znacznie trudniej podrobić bez pozostawienia śladu.
−Każdy podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080. Podejrzane strony wyłudzające dane można natomiast zgłaszać poprzez formularz CERT.
−Takie zgłoszenia mają praktyczne znaczenie. Lista Ostrzeżeń CERT Polska jest wykorzystywana do automatycznego blokowania dostępu do szkodliwych stron. Domeny są na niej standardowo utrzymywane przez sześć miesięcy, a jeśli po tym czasie nadal zawierają niebezpieczne treści, mogą zostać wpisane ponownie.
−29,6 tys. domen w ciągu jednego miesiąca pokazuje jednak najważniejszą rzecz: blokowanie działa, ale oszuści mogą błyskawicznie przenosić kampanie pod kolejne adresy. Dlatego najskuteczniejszym filtrem nadal pozostaje użytkownik, który przed podaniem danych sprawdzi, dokąd naprawdę prowadzi otrzymany link.
+Eksperci odebrali w ciągu miesiąca ponad 56 tys. zgłoszeń od czujnych internautów, co przełożyło się na 31,2 tys. zarejestrowanych incydentów cyberbezpieczeństwa (skok o 37 proc.).
+Warto pamiętać: 31,2 tys. incydentów to nie liczba okradzionych osób, lecz zdarzeń, które mogły naruszyć bezpieczeństwo danych. Od kwietnia 2026 r. obowiązują nowe zasady klasyfikacji zgłoszeń, stąd widoczny przeskok w statystykach.
+Jedna z najbardziej podstępnych kampanii uderza w pacjentów. Oszuści wysyłają wiadomości e-mail z informacją o rzekomo pozytywnie rozpatrzonym wniosku o zwrot środków z NFZ.
+Aby odebrać pieniądze, należy kliknąć w link i podać kod autoryzacyjny. Przygotowana strona łudząco przypomina portal państwowej instytucji, jednak formularz służy wyłącznie do wyłudzenia danych osobowych i numerów karty płatniczej. To groźny zwrot w strategii cyberprzestępców – zamiast zastraszać, budzą pozytywne emocje i uśpią czujność oferowaną gotówką.
+Kolejna pułapka celuje w kierowców. Wiadomość SMS informuje o nieopłaconym bilecie parkingowym i rzekomym ryzyku naliczenia kary. Dołączony link kieruje do sfałszowanej bramki płatniczej.
+CERT Polska zwraca uwagę na nową przestępczą sztuczkę: aby ominąć filtry antywirusowe wbudowane w nowoczesne telefony, oszuści proszą w wiadomości, by czytelnik odpisał na SMS-a lub ręcznie skopiował link do przeglądarki. Pamiętaj: jeśli SMS instruktażowo każe omijać zabezpieczenia telefonu, to w 100% próba oszustwa.
+W lipcu wzrosła też liczba fałszywych wiadomości podszywających się pod firmę InPost. Mechanizm jest dobrze znany, ale stale skuteczny: informacja o „problemie z doręczeniem przesyłki” oraz prośba o weryfikację adresu. Link kieruje do fałszywego formularza, który wyłudza dane karty pod pretekstem drobnej dopłaty. Przy skali zakupów online w Polsce, prawdopodobieństwo trafienia na osobę, która faktycznie czeka na paczkę, jest ogromne.
+Oszuści nie ograniczają się do najpopularniejszych usług. W lipcu odnotowano również:
+Aż 13 tys. wiadomości tekstowych zgłoszonych w lipcu do CERT miało charakter podejrzany. W 11% przypadków nadawca podszywał się pod inną firmę lub osobę. Dzięki szybkiej reakcji i przygotowanym wzorcom, operatorzy telekomunikacyjni zablokowali w tym czasie ponad 6,2 tys. szkodliwych wiadomości SMS, zanim trafiły do odbiorców.
+Większość ataków opiera się na jednym elemencie: przesyłaniu linku do płatności lub logowania. Nawet jeśli chodzi o rzekomą dopłatę w wysokości 2 zł, wpisanie danych na fałszywej stronie pozwala oszustom na wyczyszczenie całego konta bankowego.
+Nigdy nie klikaj w linki do płatności, logowania czy weryfikacji danych przesłane w SMS-ach lub e-mailach. Jeśli dostaniesz wiadomość o paczce, mandacie czy z zyskiem z banku – wejdź na stronę danej firmy wpisując jej adres ręcznie lub otwórz jej oficjalną aplikację.
+Każdy podejrzany SMS z linkiem warto bezpłatnie przekazać do analizy pod bezpłatny numer 8080. Zgłoszone niebezpieczne strony www można z kolei przesyłać bezpośrednio przez formularz zgłoszeniowy CERT Polska.
+Wszystkie potwierdzone adresy trafiają na oficjalną Listę Ostrzeżeń, która automatycznie blokuje dostęp do groźnych domen u polskich operatorów internetowych.
+Źródła: Dane CERT Polska / CSIRT NASK (Raport miesięczny nr 7/2026).