Policja i instytucje finansowe ostrzegają przed nową falą wyrafinowanych ataków phishingowych, które wykorzystują tematy Krajowego Systemu e-Faktur oraz bankowości mobilnej. Przestępcy wysyłają masowo wiadomości SMS i e-maile podszywające się pod banki, takie jak Revolut i Pekao, oraz podmioty związane z opłatami drogowymi i fakturami elektronicznymi. Celem jest wyłudzenie danych logowania lub zainfekowanie urządzenia złośliwym oprogramowaniem, co może prowadzić do utraty środków z konta. Eksperci wskazują, że oszuści wykorzystują strach przed konsekwencjami prawnymi oraz potencjalną utratą dostępu do usług finansowych, aby skłonić użytkowników do pochopnych działań.

Dwa główne wektory ataku

Pierwszym wektorem są fałszywe komunikaty o konieczności uregulowania opłaty drogowej, które rzekomo pochodzą od zarządców autostrad. Drugim są wiadomości podszywające się pod banki, w szczególności Revolut i Pekao, dotyczące weryfikacji konta, niestandardowej aktywności lub rzekomych błędów w systemie KSeF. W obu przypadkach kliknięcie w link przekierowuje na fałszywe strony lub uruchamia złośliwy załącznik.

Metoda działania oszustów

Przestępcy wysyłają SMS-y i e-maile z linkami prowadzącymi do stron łudząco podobnych do oficjalnych portali płatniczych lub bankowych. Na tych stronach ofiary są proszone o podanie loginów, haseł, kodów SMS lub danych karty płatniczej. W niektórych wariantach ataku, kliknięcie w link prowadzi do automatycznego pobrania złośliwego oprogramowania, które może przechwytywać dane wprowadzane na urządzeniu.

Apel policji i instytucji

Policja oraz Komisja Nadzoru Finansowego w specjalnych komunikatach przypominają, że żaden bank ani instytucja państwowa nigdy nie prosi o podanie poufnych danych drogą mailową lub SMS. Zalecają, aby w przypadku wątpliwości kontaktować się bezpośrednio z instytucją, korzystając z numerów telefonów i adresów e-mail podanych na ich oficjalnych stronach internetowych. W przypadku podejrzenia ataku należy natychmiast zgłosić to na policję.

Kontekst technologiczny

Ataki nasiliły się w okresie, gdy wśród Polaków rośnie świadomość obowiązku fakturowania elektronicznego poprzez Krajowy System e-Faktur. Oszuści wykorzystują ten społeczny niepokój. Ponadto, powszechność bankowości mobilnej i aplikacji takich jak Revolut sprawia, że wiele osób błyskawicznie reaguje na powiadomienia o problemach z kontem, co ułatwia działanie przestępcom.

Polska w ostatnich dniach lutego 2026 roku stała się celem zorganizowanej kampanii phishingowej, w której oszuści wykorzystują dwa aktualne i budzące niepokój tematy: obowiązkowy KSeF oraz powszechną bankowość mobilną. Przestępcy masowo rozsyłają wiadomości SMS i e-maile, które pozorują oficjalną komunikację od banków, zarządców autostrad czy organów podatkowych. Ich celem jest wyłudzenie poufnych danych lub zainfekowanie urządzeń ofiar złośliwym oprogramowaniem. Głównym wektorem ataku stały się fałszywe powiadomienia o konieczności uregulowania rzekomej opłaty drogowej lub dopłaty za przejazd. Wiadomości te zawierają linki prowadzące do stron łudząco podobnych do portali płatniczych operatorów autostrad. Kliknięcie w nie może skutkować utratą środków z konta bankowego. Drugi, równie niebezpieczny nurt, bezpośrednio dotyka użytkowników popularnych instytucji finansowych. Oszuści podszywają się pod bank Pekao S.A. oraz – co szczególnie podkreślają media – pod Revoluta, jedną z najpopularniejszych w Polsce platform finansowych typu neobank. Wiadomości rzekomo od Revoluta zawierają załączniki w formacie PDF lub odnośniki, a ich pretekstem jest „weryfikacja konta”, „aktualizacja danych” lub ostrzeżenie o „niestandardowej aktywności” lub problemach z integracją z KSeF. Eksperci ds. cyberbezpieczeństwa alarmują, że kliknięcie takiego załącznika może prowadzić do instalacji złośliwego oprogramowania typu keylogger lub przekierowania na fałszywą stronę logowania. Phishing, czyli wyłudzanie informacji poprzez podszywanie się pod godną zaufania osobę lub instytucję, jest jedną z najstarszych i najpowszechniejszych form cyberprzestępczości. Jego pierwsze udokumentowane przypadki sięgają połowy lat 90. XX wieku, a technika ta ewoluowała od prymitywnych e-maili po dzisiejsze wyrafinowane kampanie wykorzystujące socjotechnikę i personalizację.„„Klienci powinni pamiętać, że żaden bank, w tym Revolut, nie wysyła załączników z prośbą o kliknięcie w celu potwierdzenia danych. To zawsze jest próba wyłudzenia. Oficjalna komunikacja ogranicza się najczęściej do informacji w aplikacji.”” — Rafał Gębura, ekspert ds. cyberbezpieczeństwa Podobne apele kierują policja oraz KNF. Instytucje te przypominają podstawową zasadę bezpieczeństwa: banki i instytucje państwowe nigdy nie proszą klientów o podanie pełnych danych logowania, haseł jednorazowych (SMS), kodów autoryzacyjnych czy PIN-u do karty za pośrednictwem wiadomości e-mail lub SMS. Okres nasilenia tych ataków zbiega się z rosnącym napięciem wokół Krajowego Systemu e-Faktur, co zdaniem specjalistów jest przez przestępców świadomie wykorzystywane. Strach przed konsekwencjami prawnymi związanymi z nieprawidłowym rozliczeniem fakturowym lub błędami w systemie czyni użytkowników bardziej podatnymi na manipulację. Aby uniknąć strat, rekomendowane jest zachowanie czujności. Nie należy klikać w linki ani otwierać załączników z nieznanych lub budzących wątpliwość źródeł. Wszelkie informacje należy weryfikować, logując się bezpośrednio w oficjalnej aplikacji bankowej lub kontaktując się z instytucją pod numerem telefonu znanym z jej strony internetowej. W przypadku utraty pieniędzy lub danych, zdarzenie należy niezwłocznie zgłosić na policję oraz do banku, aby zablokować nieautoryzowane transakcje.

Mentioned People

  • Rafał Gębura — Ekspert ds. cyberbezpieczeństwa, cytowany w kontekście ostrzeżeń przed phishingiem.

Sources: 3 articles from 3 sources