Jak rozpoznać phishing w e-mailu i SMS-ie: praktyczny przewodnik dla mieszkańców USA

Większość z nas dostaje takie wiadomości co tydzień: „Twoja paczka czeka na dopłatę”, „Nieopłacony przejazd autostradą”, „Podejrzane logowanie do konta, potwierdź dane”. Niektóre są nieporadne, inne wyglądają jak prawdziwe. Ten poradnik uczy rozpoznawać jedne i drugie, krok po kroku, na przykładach z amerykańskiej codzienności, i mówi, co zrobić, jeśli już kliknąłeś.

Przegląd aktualnych kampanii podszywających się pod IRS, USCIS i banki znajdziesz w poradniku Phishing 2026: fake IRS, USCIS, bank. Tu skupiamy się na samej umiejętności rozpoznawania i na zgłaszaniu.

Skala problemu

W raporcie FBI Internet Crime Complaint Center (IC3) za 2025 r. kategoria „phishing/spoofing” miała 191 561 skarg, najwięcej ze wszystkich rodzajów przestępstw. Osoby po 60. roku życia złożyły 48 064 takie skargi. Bezpośrednie straty przypisane do phishingu wyniosły około 216 mln USD, ale to tylko część obrazu: wyłudzone hasło czy dane karty to zwykle pierwszy krok do innych oszustw, które w statystykach trafiają do innych kategorii.

Jak FBI definiuje phishing

IC3 opisuje phishing jako niezamówione e-maile, SMS-y i telefony rzekomo od uczciwej firmy, w których ktoś prosi o dane osobowe, finansowe lub dane logowania. W praktyce spotkasz trzy cele:

• Wyłudzenie danych logowania. Link prowadzi do kopii strony banku lub poczty. Wpisane hasło trafia do oszusta.
• Wyłudzenie pieniędzy. Strona „dopłaty” za paczkę lub przejazd zbiera numer karty.
• Zainstalowanie złośliwego oprogramowania. Załącznik albo link instaluje program, który kradnie dane.

Sygnały ostrzegawcze w e-mailu

FTC i agencja cyberbezpieczeństwa CISA wymieniają podobne sygnały. Zebraliśmy je w kolejności, w jakiej najlepiej je sprawdzać:

1. Czy się tego spodziewałeś? Wiadomość jest niespodziewana i wygląda, jakby była od znanej firmy: banku, dostawcy prądu, wydawcy karty, aplikacji płatniczej.
2. Czy jest presja? Pilny ton, groźba zablokowania konta, „ostatnie wezwanie”, termin 24 godzin.
3. Czego chce? Potwierdzenia danych osobowych lub finansowych, kliknięcia w link „aktualizacji płatności”, otwarcia faktury, której nie kojarzysz. FTC zauważa, że uczciwe firmy nie wysyłają e-mailem ani SMS-em linków do aktualizacji danych płatniczych.
4. Kto naprawdę wysłał? Rozwiń pełny adres nadawcy. Nazwa wyświetlana może brzmieć „Bank Support”, a adres kończyć się zupełnie inną domeną.
5. Dokąd prowadzi link? CISA ostrzega przed skróconymi adresami i adresami z drobnymi zmianami liter. Na komputerze najedź kursorem na link (bez klikania), na telefonie przytrzymaj go, żeby zobaczyć adres.
6. Czy jest dziwny załącznik? Faktura w pliku ZIP, dokument, który „wymaga włączenia makr”, plik HTML.
7. Czy obiecuje coś za darmo? Zwrot od rządu, darmowe kupony, nagroda. FTC wymienia to jako typowy sygnał.

Jak czytać adres strony

Najwięcej oszustw rozpoznasz po adresie w linku. Kilka praktycznych reguł:

• Liczą się dwa ostatnie człony nazwy przed pierwszym pojedynczym ukośnikiem „/”. W adresie https://irs.gov.refund-check.com/login właścicielem strony jest refund-check.com, a „irs.gov” na początku to tylko przebranie.
• Strony agencji federalnych USA kończą się na .gov. Domena .com lub .net podająca się za IRS, USPS czy Social Security to sygnał alarmowy.
• Uważaj na zamienione litery: „rn” zamiast „m”, cyfra „1” zamiast „l”, dodatkowe słowa typu „-secure”, „-verify”, „-support”.
• Kłódka i „https” oznaczają tylko szyfrowane połączenie. Oszuści też mają strony z kłódką. To nie jest dowód, że strona jest prawdziwa.
• Najbezpieczniej w ogóle nie korzystać z linku: wpisz adres firmy sam albo użyj jej oficjalnej aplikacji.

Smishing: fałszywe SMS-y w USA

SMS jest krótki, więc oszust ma mniej miejsca na pomyłki, a Ty mniej wskazówek. Dlatego tu jeszcze ważniejsza jest zasada „nie klikam, sprawdzam sam”. FTC mówi wprost, że uczciwe firmy nie pytają SMS-em o dane konta. Najczęstsze tematy:

Coraz częściej zamiast linku jest kod QR, w liście, na ulotce albo w e-mailu. IRS Criminal Investigation w lipcu 2026 r. ostrzegało przed fałszywymi listami z kodem QR prowadzącym do podrobionej strony IRS. Rada jest prosta: nie skanuj kodów QR z niezamówionych listów, e-maili i SMS-ów.

Dostałem podejrzaną wiadomość: co dalej

Schemat pomoże zdecydować, co zrobić w zależności od tego, jak daleko zaszła sprawa.

Gdzie zgłosić phishing

CISA ma też formularz zgłaszania incydentów, ale jest on przeznaczony głównie dla organizacji. Osoby prywatne najlepiej zgłaszają phishing do FTC, APWG, przez 7726 i do IC3.

Jak się zabezpieczyć na przyszłość

• Uwierzytelnianie wieloskładnikowe (MFA). FTC wyjaśnia, że drugi składnik, np. kod jednorazowy, klucz bezpieczeństwa albo odcisk palca, chroni konto nawet wtedy, gdy oszust zdobędzie hasło.
• Automatyczne aktualizacje telefonu, komputera i programu zabezpieczającego.
• Kopie zapasowe na dysku zewnętrznym albo w chmurze.
• Menedżer haseł i inne hasło do każdego konta. CISA zaleca menedżer haseł jako prosty sposób ochrony. Zob. poradnik Hasła, menedżer haseł, 2FA i passkeys.
• Zakładki zamiast linków. Zapisz w przeglądarce adresy banku, IRS, USPS i operatora płatności i wchodź tylko przez nie.
• Powiadomienia z banku w aplikacji. Gdy wiesz, jak wygląda prawdziwe powiadomienie, łatwiej odróżnisz podróbkę.

Mity i fakty

Najczęściej zadawane pytania

Czy samo otwarcie e-maila jest niebezpieczne?

Zwykle samo przeczytanie nie szkodzi. Ryzyko pojawia się przy kliknięciu linku, otwarciu załącznika albo odpowiedzi. Jeśli wiadomość budzi wątpliwości, zgłoś ją i usuń.

Wiadomość wygląda na prawdziwą i dotyczy mojego banku. Jak sprawdzić?

Nie korzystaj z linków ani numerów z wiadomości. Zaloguj się przez oficjalną aplikację lub adres wpisany ręcznie albo zadzwoń na numer z karty. Jeśli bank nic o sprawie nie wie, wiadomość była fałszywa.

Odpowiedziałem na SMS „TAK” albo „NIE”. Co teraz?

Nie odpowiadaj dalej i nie rozmawiaj z nikim, kto teraz zadzwoni „z banku”. FTC radzi nie odpowiadać na niespodziewane SMS-y i kontaktować się z bankiem tylko przez numer, który sam znasz. Przekaż SMS na 7726 i zgłoś go na ReportFraud.ftc.gov.

Podałem dane, ale nic złego się nie stało. Czy muszę coś robić?

Tak. Zmień hasła, włącz MFA, sprawdzaj wyciągi i rozważ zamrożenie raportów kredytowych. Dane bywają wykorzystywane po tygodniach. Zobacz jak zamrozić raport kredytowy i co zrobić z przejętym kontem.

Źródła

Stan na 23 października 2026 r. Poradnik ma charakter informacyjny i nie stanowi porady prawnej. Adresy i numery do zgłoszeń mogą się zmieniać, dlatego sprawdzaj je na stronach FTC i FBI IC3.