Jeśli kliknąłeś w link z podejrzanego e-maila, masz mniej więcej kwadrans, żeby ograniczyć szkody — i nie chodzi w nim o dzwonienie na policję. Poniżej znajdziesz kolejność działań zależną od tego, jak daleko zaszedłeś, a niżej trzy oficjalne miejsca, w których zgłosisz oszustwo w Polsce. Zacznij od tego, że nie panikujesz: samo kliknięcie w link jest znacznie mniej groźne niż wpisanie czegokolwiek na stronie, która się otworzyła.
Najpierw ustal, co się właściwie stało
Skala reakcji zależy od jednej rzeczy — co zdążyłeś zrobić po kliknięciu.
| Co zrobiłeś | Poziom zagrożenia | Od czego zacząć |
|---|---|---|
| Kliknąłeś w link, strona się otworzyła, nic nie wpisałeś | niski | skan urządzenia, zgłoszenie |
| Wpisałeś login i hasło | wysoki | natychmiastowa zmiana hasła wszędzie gdzie występuje |
| Podałeś dane karty lub zalogowałeś się do „banku” | krytyczny | telefon do banku, teraz |
| Pobrałeś i uruchomiłeś załącznik | krytyczny | odłączenie od sieci, skan |
| Podałeś PESEL i dane z dowodu | wysoki | zastrzeżenie PESEL |
Sytuacja 1: tylko kliknąłeś
Samo otwarcie strony rzadko wystarcza do przejęcia konta. Zrób jednak trzy rzeczy:
- Zamknij kartę i nie wracaj na tę stronę. Nie „żeby sprawdzić, jak wygląda”.
- Uruchom pełne skanowanie antywirusem. W Windowsie wystarczy wbudowany Microsoft Defender: Zabezpieczenia Windows → Ochrona przed wirusami → Opcje skanowania → Skanowanie pełne.
- Zgłoś adres strony do CERT Polska (jak — niżej). To zajmuje minutę i realnie chroni kolejne osoby.
Sytuacja 2: podałeś login i hasło
Liczy się kolejność, bo napastnik działa równolegle z Tobą.
- Zmień hasło do tej usługi — z innego, zaufanego urządzenia, wpisując adres serwisu ręcznie w przeglądarce, nie z linku.
- Zmień hasło wszędzie tam, gdzie było takie samo lub podobne. To najczęstszy sposób, w jaki jedno wyłudzenie zamienia się w pięć przejętych kont.
- Wyloguj wszystkie sesje. Większość serwisów ma w ustawieniach bezpieczeństwa opcję „wyloguj na wszystkich urządzeniach”. Bez tego zmiana hasła nie wyrzuci kogoś, kto jest już w środku.
- Włącz weryfikację dwuetapową, jeśli jeszcze jej nie masz. To jedyny mechanizm, który sprawia, że samo skradzione hasło przestaje wystarczać — opisaliśmy go dokładnie w tekście o weryfikacji dwuetapowej.
Sytuacja 3: podałeś dane karty albo dane logowania do banku
Tu nie ma listy kroków, jest jeden krok: zadzwoń na infolinię banku natychmiast. Numer znajdziesz na odwrocie karty albo na oficjalnej stronie banku — nigdy w mailu, który dostałeś.
Bank zablokuje kartę i dostęp, a zgłoszenie przed wystąpieniem szkody ma znaczenie przy późniejszej reklamacji transakcji. Dopiero potem zajmij się resztą: zgłoszeniem na policję i zastrzeżeniem PESEL.
Sprawdź, czy nie zostawili sobie furtki
To najczęściej pomijany etap, a w przypadku skrzynki pocztowej najważniejszy. Kiedy ktoś przejmie dostęp do poczty choćby na kilka minut, zwykle nie kradnie wiadomości — zakłada sobie stałe wejście, żeby czytać korespondencję po tym, jak zmienisz hasło. Zajrzyj w ustawienia swojej skrzynki i sprawdź cztery miejsca:
- Reguły i filtry — czy nie pojawiła się reguła przenosząca maile od banku do kosza albo oznaczająca je jako przeczytane.
- Przekazywanie (forwarding) — czy kopia poczty nie leci na nieznany adres.
- Adresy alternatywne i numery odzyskiwania — czy ktoś nie dopisał swojego adresu jako zapasowego.
- Hasła aplikacji i połączone urządzenia — usuń wszystko, czego nie rozpoznajesz.
Jeśli znajdziesz cokolwiek z powyższych, zmień hasło jeszcze raz, po usunięciu reguły. W odwrotnej kolejności napastnik zdąży odczytać kod resetu.
Gdzie zgłosić — trzy adresy, które warto znać
CERT Polska (CSIRT NASK)
Zespół działający przy NASK — Państwowym Instytucie Badawczym, od 1996 roku odpowiedzialny za reagowanie na incydenty w polskiej sieci. To najskuteczniejsze miejsce zgłoszenia, bo CERT nie tylko przyjmuje zgłoszenie, ale też realnie wyłącza stronę z obiegu.
- Podejrzana strona lub e-mail: formularz na incydent.cert.pl — jest osobna, uproszczona ścieżka dla phishingu, dostępna pod adresem
incydent.cert.pl/phishing. - Podejrzany SMS: przekaż go bezpośrednio na numer 8080. Usługa jest bezpłatna we wszystkich sieciach.
Do zgłoszenia dołącz jak najwięcej z tej listy: pełny adres podejrzanej strony, nagłówki wiadomości, zrzut ekranu i dokładną godzinę zdarzenia. Nagłówki są tu kluczowe, bo zawierają całą trasę wiadomości i pozwalają ustalić jej rzeczywiste pochodzenie — sam przeklejony tekst maila mówi analitykom niewiele. W Gmailu znajdziesz je pod trzema kropkami przy wiadomości, w opcji „Pokaż oryginał”. Formularz CERT ma zresztą osobne instrukcje przekazywania wiadomości dla poszczególnych dostawców poczty.
Co się dzieje ze zgłoszeniem.
Potwierdzone domeny trafiają na Listę Ostrzeżeń przed niebezpiecznymi stronami, prowadzoną nieprzerwanie od marca 2020 roku na podstawie ustawy z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Listę stosują wszyscy czterej najwięksi operatorzy w Polsce — Orange, Plus, Play i T-Mobile — a także prywatni dostawcy DNS. W praktyce oznacza to, że w ciągu kilku godzin strona przestaje się otwierać milionom osób. Blokada obejmuje też subdomeny i trwa sześć miesięcy. Twoje zgłoszenie ma więc bardzo konkretny skutek.
Bank i operator
Jeśli sprawa dotyczy pieniędzy — infolinia banku, zawsze pierwsza. Jeśli dotyczy przejęcia numeru telefonu lub podejrzanej zmiany na koncie abonenckim — biuro obsługi operatora.
Policja
Zgłoszenie na komisariacie lub przez formularz online ma sens wtedy, gdy doszło do straty finansowej albo do wyłudzenia danych z dowodu osobistego. Weź ze sobą wydruk wiadomości z nagłówkami, potwierdzenia transakcji i zrzuty ekranu. Jeśli zastanawiasz się, czy taki wydruk cokolwiek znaczy, rozstrzygamy to w tekście o tym, czy warto drukować e-maile.
Zastrzeż PESEL, jeśli podałeś dane z dowodu
Zastrzeżenie numeru PESEL jest bezpłatne, natychmiastowe i odwracalne. Blokuje możliwość wzięcia na Ciebie kredytu lub pożyczki, sprzedaży nieruchomości u notariusza, zawarcia umowy telekomunikacyjnej oraz wypłaty dużej gotówki w oddziale banku. Nie blokuje płatności kartą, BLIK-a, przelewów ani dostępu do konta.
Zastrzeżenia dokonasz na cztery sposoby: w aplikacji mObywatel, na gov.pl (profil zaufany lub e-dowód), w dowolnym urzędzie gminy albo w aplikacji części banków.
Kluczowa jest jedna data: od 1 czerwca 2024 roku banki, notariusze i operatorzy telekomunikacyjni mają obowiązek sprawdzić status PESEL przed zawarciem zobowiązania. Jeśli mimo zastrzeżenia udzielą komuś kredytu na Twoje dane, odpowiedzialność finansowa spada na instytucję, nie na Ciebie. Wcześniej zastrzeżenie było gestem — teraz jest realną tarczą.
Sprawdź, czy Twoje dane już wcześniej wyciekły
Ministerstwo Cyfryzacji uruchomiło serwis bezpiecznedane.gov.pl, prowadzony technicznie przez NASK, w którym po zalogowaniu profilem zaufanym lub aplikacją mObywatel sprawdzisz, czy w potwierdzonych wyciekach znajdują się Twój adres e-mail, numer telefonu, login lub numer PESEL. To wersja publiczna i bezpłatna — w odróżnieniu od zagranicznych wyszukiwarek nie wymaga wpisywania własnych danych na cudzej stronie.
Jeśli okaże się, że Twój adres krąży w wyciekach, dwie rzeczy warto zrobić od razu: zmienić hasła wszędzie tam, gdzie były powtarzane, i ograniczyć dalsze rozsyłanie. Sposoby na to zebraliśmy w tekście o tym, jak chronić swój adres e-mail przed spamem.
Jak rozpoznać następny taki mail
Skoro jeden już przeszedł, warto wiedzieć, na czym się potknąłeś. Cztery sygnały, które występują niemal zawsze:
- presja czasu — „konto zostanie zablokowane w ciągu 24 godzin”,
- link, który nie prowadzi tam, gdzie twierdzi — najedź kursorem i przeczytaj adres w lewym dolnym rogu, zanim klikniesz,
- prośba o potwierdzenie danych, które usługodawca już ma,
- adres nadawcy różniący się jednym znakiem od prawdziwego — łatwo przeoczyć, bo program pocztowy domyślnie pokazuje nazwę, a nie adres.
Pełny rozbiór technik, którymi posługują się oszuści — łącznie z telefonicznym vishingiem, który często następuje po mailu — znajdziesz w tekście o phishingu i vishingu.
Najczęstsze pytania
Czy samo kliknięcie w link wystarczy, żeby stracić pieniądze?
W większości przypadków nie. Do szkody potrzebne jest podanie danych na fałszywej stronie albo uruchomienie pobranego pliku. Kliknięcie warto jednak potraktować jako ostrzeżenie i przeskanować urządzenie.
Gdzie zgłosić podejrzany e-mail?
Do CERT Polska przez formularz na incydent.cert.pl. Podejrzane SMS-y przekazuje się na numer 8080.
Czy zgłoszenie do CERT Polska coś daje?
Tak. Potwierdzone domeny trafiają na Listę Ostrzeżeń, którą stosują wszyscy najwięksi operatorzy telekomunikacyjni w Polsce — strona przestaje się otwierać milionom użytkowników na sześć miesięcy.
Otworzyłem załącznik, ale nic się nie stało. Czy to znaczy, że jest w porządku?
Nie. Złośliwe oprogramowanie z zasady nie wyświetla komunikatów. Wykonaj pełne skanowanie i zmień hasła do najważniejszych kont.
Czy muszę zgłaszać sprawę na policję, jeśli nie straciłem pieniędzy?
Nie musisz, ale możesz. Przy braku szkody zdecydowanie ważniejsze jest zgłoszenie do CERT Polska, bo to ono prowadzi do zablokowania strony.
Ile kosztuje zastrzeżenie PESEL i czy da się je cofnąć?
Jest bezpłatne i w każdej chwili odwracalne — również czasowo, na przykład na czas składania wniosku o kredyt.
