Z raportu CERT Polska 2025 jasno wynika, że w Polsce dominują dziś oszustwa komputerowe, a ich najczęstszą postacią pozostaje phishing. Dla CISO i zespołów bezpieczeństwa to wyraźny sygnał, że programy edukacyjne powinny koncentrować się na praktycznym przygotowaniu pracowników do rozpoznawania i zgłaszania takich ataków – na przykład za pomocą spersonalizowanych symulacji phishingowych. Zwłaszcza że wiadomości phishingowe coraz rzadziej wyglądają jak prymitywna próba oszustwa. Przeciwnie – nie mają typowych błędów, są bardziej wiarygodne oraz dobrze dopasowane do kontekstu i roli odbiorcy.

Wśród najczęściej opisywanych przez CERT Polska schematów znalazły się kampanie podszywające się pod zwrot podatku, niedostarczone paczki, korespondencję z serwisów w domenie gov.pl, świadczenia socjalne oraz opłaty e-TOLL. Raport pokazuje też, że wiele z tych kampanii miało charakter wieloetapowy – łączyły e-mail lub SMS z presją czasu, fałszywą stroną do wyłudzania danych albo próbą skłonienia ofiary do rozmowy telefonicznej i instalacji złośliwego oprogramowania.

Nie ulega wątpliwości, że sztuczna inteligencja napędza coraz bardziej wyrafinowane cyberataki. To, jak cyberprzestępcy wykorzystują AI do skalowania, uwiarygadniania i automatyzacji ataków, pokazaliśmy podczas naszego bezpłatnego cyklu webinarów AI vs Cybersecurity. Cykl dobiegł końca, ale dostęp do nagrań i materiałów nadal jest dostępny tutaj.

Ataki socjotechniczne w Polsce – kluczowe statystyki z raportu CERT Polska 2025

• 260 783 – tyle unikalnych incydentów bezpieczeństwa zarejestrował CERT Polska w 2025 roku.
• 253 238 – tyle z nich zaklasyfikowano jako oszustwa komputerowe, czyli 97% wszystkich obsłużonych zdarzeń.
• 78 391 – tyle incydentów dotyczyło ataków typu phishing, co odpowiadało za 30% wszystkich zarejestrowanych zdarzeń.
• Prawie 245 tys. – tyle domen trafiło w 2025 roku na Listę Ostrzeżeń CERT Polska.
• 141,1 mln – tyle wejść na niebezpieczne strony zablokowano dzięki Liście Ostrzeżeń.
• 295 169 – tyle zgłoszeń podejrzanych SMS-ów przyjął zespół CERT Polska.
• 1 883 610 – tyle złośliwych SMS-ów zablokowali operatorzy na podstawie wzorców publikowanych w tym systemie.

Czym jest CERT Polska i czym się zajmuje?

CERT Polska to pierwszy w kraju zespół reagowania na incydenty cyberbezpieczeństwa. Działa od 1996 roku w strukturach NASK, a w 2026 roku obchodzi 30-lecie działalności. To właśnie ten zespół od lat monitoruje zagrożenia w polskim internecie, obsługuje zgłoszenia i publikuje raporty, które dobrze pokazują, jak naprawdę wygląda krajobraz incydentów w Polsce.

W praktyce CERT Polska zajmuje się przede wszystkim:

• monitorowaniem zagrożeń i incydentów na poziomie krajowym,
• reagowaniem na zgłoszone incydenty i koordynacją ich obsługi,
• analizą złośliwego oprogramowania i podatności,
• rozwijaniem narzędzi i metod wykrywania zagrożeń,
• budowaniem świadomości w obszarze cyberbezpieczeństwa.

CERT Polska realizuje też część zadań CSIRT NASK zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa (KSC). Obsługuje incydenty zgłaszane przez instytucje publiczne, dostawców usług cyfrowych, firmy i osoby fizyczne.

Phishing i oszustwa komputerowe – statystyki zagrożeń cybernetycznych w Polsce w 2025 roku

Skala problemu: oszustwa komputerowe były główną kategorią incydentów bezpieczeństwa

W 2025 roku oszustwa komputerowe zdominowały krajobraz incydentów w Polsce. Zespół CERT Polska zarejestrował 260 783 incydenty bezpieczeństwa, a 253 238 z nich zakwalifikowano jako oszustwa komputerowe. To oznacza 97% wszystkich obsłużonych zdarzeń. Sam CERT odnotował też wzrost tej kategorii o 158% rok do roku, co dobrze pokazuje, że mówimy nie o chwilowym skoku, ale o trwałym trendzie.

Liczba ataków phishingowych w 2025 roku

Phishing był najczęściej rejestrowanym typem oszustwa komputerowego. Według raportu CERT Polska odnotowano 78 391 incydentów phishingowych w 2025 roku. To aż 30% wszystkich zarejestrowanych zdarzeń co pokazuje, że phishing pozostaje jednym z najważniejszych mechanizmów wykorzystywanych przez cyberprzestępców do wyłudzania poufnych danych, a w wielu scenariuszach także do uzyskiwania dostępu do pieniędzy ofiar.

Jakie marki i scenariusze były najczęściej wykorzystywane w kampaniach phishingowych?

Im bardziej rozpoznawalny serwis i im bardziej naturalny kontekst wiadomości, tym większa szansa, że użytkownik zareaguje bez dokładnej weryfikacji. Najczęściej obserwowane kampanie phishingowe dotyczyły nieuprawnionego wykorzystania wizerunku OLX – 28 462 zdarzenia i Allegro – 22 513 zdarzeń. Osobną kategorię stanowiły też próby pozyskania poświadczeń do skrzynek elektronicznych – 2519 zdarzeń.

Smishing nadal istotnym kanałem oszustw

SMS pozostał w 2025 roku ważnym kanałem wykorzystywanym w oszustwach socjotechnicznych. Zespól CERT Polska przyjął 295 169 zgłoszeń podejrzanych wiadomości SMS, a raport wskazuje, że większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania wiadomości. To pokazuje, jak silnie tego typu kampanie wykorzystują szybkość reakcji i impulsywne działanie odbiorców.

Liczba blokad pokazuje, że phishing działał w masowej skali

W 2025 roku na Listę Ostrzeżeń CERT Polska trafiło prawie 245 tys. domen. Raport wskazuje też, że lista była pobierana prawie 1,3 mld razy, dzięki czemu zablokowano około 141,1 mln wejść na niebezpieczne strony. Dodatkowo, w obszarze SMS-ów, 790 wzorców doprowadziło do zablokowania 1 883 610 złośliwych wiadomości.

Dane z raportu CERT Polska pokazują, że organizacje powinny traktować odporność na socjotechnikę jako stały element strategii bezpieczeństwa, a nie jednorazową kampanię edukacyjną. Same zabezpieczenia technologiczne nie wystarczą. Organizacje potrzebują regularnych testów phishingowych, które pokazują rzeczywistą podatność pracowników na cyberataki, oraz prostego procesu zgłaszania podejrzanych wiadomości, który przyspiesza reakcję i pozwala zablokować zagrożenie. To szczególnie ważne w otoczeniu coraz większych wymagań prawnych i regulacyjnych, takich jak AI Act, KSC 2.0, RODO, DORA czy NIS2.

W SECAWA zaopatrzyliśmy te potrzeby w jednej usłudze – Praktycznym Treningu Antyphishingowym, który łączy edukację w kontrolowanym środowisku, mierzalne wyniki dla zarządu lub audytorów i wygodne raportowanie incydentów. To autorska platforma do symulacji cyberataków (m.in. phishing, smishing, quishing, a wkrótce także symulacje Microsoft Teams i vishing zintegrowany z AI) w pełni obsługiwana przez nasz zespół. Dzięki temu polskie organizacje mogą wzmocnić swoją cyberodporność bez obciążania zasobów, ale także spełnić wymogi regulacyjne jak AI Act, KSC 2.0, RODO, DORA czy NIS2 w zakresie security awareness.

Najczęściej obserwowane kampanie socjotechniczne w Polsce w 2025 roku

Jak wynika z raportu CERT Polska, oszuści najczęściej wykorzystywali w 2025 roku scenariusze oparte na zaufaniu do znanych instytucji i codziennych usług. Szczególnie często pojawiały się kampanie nastawione na przejmowanie haseł do skrzynek mailowych i kont społecznościowych, a także fałszywe witryny udające serwisy państwowe oraz firmy kurierskie, zwłaszcza Pocztę Polską i InPost.

Zwrot podatku: e-Urząd Skarbowy oraz KAS

Oszuści rozsyłali wiadomości o rzekomym zwrocie oczekującym na zatwierdzenie, wykorzystując przy tym wizerunek Ministerstwa Finansów i stylistykę oficjalnej korespondencji. Celem nie było samo kliknięcie, ale przeprowadzenie ofiary przez cały proces wyłudzenia – od wejścia na spreparowaną stronę po podanie danych do bankowości elektronicznej i danych karty płatniczej.

Niedostarczone paczki: InPost, Poczta Polska, e-Doręczenia

Klasyczny przykład kampanii, która działa dlatego, że dobrze wpisuje się w codzienny kontekst użytkownika. CERT Polska opisuje zarówno wiadomości e-mail z załącznikami instalującymi złośliwe oprogramowanie, jak i SMS-y kierujące do fałszywych stron służących do wyłudzania danych osobowych i danych kart płatniczych. Co ważne, raport zwraca też uwagę na warianty omijające zabezpieczenia telefonu – np. przez nakłonienie użytkownika do odpowiedzi na wiadomość, co ułatwia aktywację linku.

Sprawy urzędowe: serwisy w domenie gov.pl

Oszuści rozsyłali wiadomości o nowej korespondencji urzędowej, aktywności na koncie albo logowaniu z nieznanego urządzenia. W tym scenariuszu wiadomość często była tylko pierwszym krokiem. Kolejnym było nakłonienie odbiorcy do kontaktu telefonicznego, a następnie – podczas rozmowy – przekonanie go do instalacji narzędzia umożliwiającego zdalny dostęp do komputera (vishing).

Weryfikacja uprawnień do świadczeń socjalnych

Schemat, w którym reklama lub komunikat kierował użytkownika do fałszywej strony internetowej stylizowanej na gov.pl, a następnie do formularza podszywającego się pod operatora płatności. Ten przykład pokazuje, że cyberatak nie musi zaczynać się od maila – równie skutecznie może wykorzystywać reklamę, prosty formularz i naturalny dla użytkownika kontekst finansowy.

Opłata e-TOLL

W 2025 roku CERT obserwował też kampanie wykorzystujące motyw nieuregulowanej opłaty drogowej. Ten scenariusz opierał się na presji czasu i na ryzyku konsekwencji finansowych. Atak był dwuetapowy: najpierw wyłudzano dane osobowe, w tym numer dowodu, a następnie dane karty płatniczej.

Urząd Statystyczny i złośliwy załącznik

Raport CERT Polska opisuje też kampanie podszywające się pod Urząd Statystyczny w Warszawie. W tym przypadku socjotechnika była nośnikiem dla malware. Wiadomość wyglądała wiarygodnie, zawierała formalną treść i szczegółową stopkę, a załącznik prowadził do uruchomienia oprogramowania typu RAT. Skutkiem mogło być zarówno wykradzenie zapisanych haseł, jak i przejęcie kontroli nad urządzeniem ofiary.

Fałszywe inwestycje w social mediach

Jednym z najbardziej dotkliwych finansowo scenariuszy były oszustwa inwestycyjne. Oszuści masowo rejestrowali fałszywe witryny inwestycyjne i często posługiwali się wizerunkiem osób publicznych albo znanych marek. Mechanizm nie opierał się tylko na samej obietnicy zysku. Istotną rolę odgrywały też sfałszowane wykresy, presja czasowa i przekonanie ofiary, że ma do czynienia z ograniczoną okazją przy minimalnym ryzyku.

NFZ i zwrot kosztów zakupu leków

Przestępcy podszywali się pod NFZ i informowali o możliwości odzyskania kosztów zakupu leków. Użytkownik był kierowany do strony służącej do wyłudzenia danych osobowych i haseł.Mamy tutaj ważny element psychologiczny: krótkie terminy odbioru środków, które miały ograniczyć czas na zastanowienie i weryfikację komunikatu.

Zwrot nadpłaty za energię elektryczną

Raport opisuje też kampanie podszywające się pod dostawców energii elektrycznej. Ich skuteczność wynikała z połączenia aktualnego tematu – kosztów energii – z bardzo dopracowaną formą. Wiadomości były napisane poprawną polszczyzną, zachowywały formalny styl i wiernie odwzorowywały wygląd legalnych serwisów operatorów energetycznych. Wniosek jest prosty: współczesny phishing, który często jest wspierany AI, już nie zdradza się prostymi błędami językowymi.

Co łączy te kampanie socjotechncizne?

Choć różnią się tematyką, ich mechanizm zwykle pozostaje podobny: najpierw zbudować wiarygodność, potem dodać presję czasu i osadzić komunikat w sytuacji, która wyda się odbiorcy znajoma. Szczególnie często wykorzystywano autorytet instytucji lub usług obecnych w codziennym życiu użytkowników, bo to zwiększa szansę na kliknięcie, przekazanie danych albo wykonanie innego ryzykownego działania.

Dlatego organizacje powinny regularnie ćwiczyć bezpieczne reakcje na scenariuszach opartych o realne zagrożenia z polskiego internetu. W ramach Praktycznego Treningu Antyphishingowego przygotowujemy kampanie dopasowane do specyfiki danej firmy, procesów, wykorzystywanych narzędzi, stanowisk i branży, po to, aby nasze symulacje phishingowe możliwie najlepiej odwzorowywały ataki, które mogą być wymierzone w pracowników.

Incydenty bezpieczeństwa w Polsce w 2025 roku

Najważniejsze incydenty opisane w raporcie CERT Polska 2025 pokazują, że skuteczny atak coraz rzadziej opiera się na jednym kanale i jednym błędzie użytkownika. Coraz częściej mamy do czynienia z całym łańcuchem działań: phishingiem, przejęciem konta, wykorzystaniem legalnych mechanizmów logowania, wyłudzeniem danych o konkretnych osobach albo dalszym użyciem danych z wycieku.

Dla CISO oznacza to, że w organizacji trzeba równolegle ćwiczyć rozpoznawanie podejrzanych wiadomości, budować odporność na ataki wieloetapowe i wielokanałowe oraz przekazać zespołowi jasne procedury reagowania, które pozwolą przerwać incydent, zanim rozwinie się dalej.

Wybrane incydenty opisane w raporcie CERT Polska 2025

• UNC1151 i kampanie na skrzynki pocztowe
  CERT Polska opisał kampanie prowadzone przez wiele tygodni, wymierzone w setki osób korzystających z poczty w serwisach Interia, Onet i Wirtualna Polska. Atakujący wykorzystywali nie tylko własne domeny, ale też przejęte strony należące do polskich podmiotów, by zwiększyć wiarygodność ataku.
• Roundcube – phishing połączony z podatnością
  W kampaniach przeciwko polskim podmiotom wykorzystywano podatność w Roundcube do kradzieży poświadczeń – przykład pokazuje, że phishing może być tylko początkiem, a właściwy atak rozwija się dalej przez techniczne przejęcie dostępu.
• Device Code Phishing i Microsoft 365
  Atakujący podszywali się pod pracownika polskiego MSZ i próbowali uzyskać dostęp do zasobów Microsoft 365 należących do pracowników europejskich ambasad. Mechanizm nie polegał na klasycznym fałszywym loginie i haśle, tylko na nadużyciu legalnego procesu uwierzytelniania z użyciem wygenerowanego kodu.
• Wyłudzanie danych o osobach odpowiedzialnych za bezpieczeństwo
  CSIRT NASK zaobserwował kampanię podszywającą się pod Ministerstwo Cyfryzacji i wiceministra Pawła Olszewskiego. W jednym z wariantów celem było wyłudzenie danych kontaktowych osób odpowiedzialnych za bezpieczeństwo teleinformatyczne w JST, aby później prowadzić bardziej precyzyjne ataki kierunkowe.
• Przejęte konta Facebook i wyłudzanie kodów BLIK
  Raport opisuje też sprawę grupy, która najpierw phishingiem pozyskiwała loginy do Facebooka, a następnie przez komunikator wyłudzała kody BLIK od kolejnych osób. Zabezpieczono ponad 100 tys. wykra­dzionych loginów i haseł. To dobrze obrazuje, jak jedno przejęte konto może uruchomić dalszy łańcuch oszustw.
• Wycieki danych jako punkt wyjścia do kolejnych oszustw
  Dane zdobyte przez przestępców mogą później służyć do uwiarygadniania przyszłych ataków socjotechnicznych. To oznacza, że wyciek nie zamyka incydentu – często dopiero zwiększa skuteczność kolejnych kampanii phishingowych i prób podszycia się pod zaufane podmioty.

Podsumowanie

Raport CERT Polska 2025 bardzo wyraźnie pokazuje skalę ataków phishingowych w Polsce – ich liczbę i poziom dopracowania. Jednocześnie to nie jest raport wyłącznie o phishingu – znajdziemy w nim także szerszy obraz zagrożeń: od malware mobilnego i ransomware, po działania grup APT.

Co ważne, CERT Polska nie ogranicza się do opisywania problemu, ale aktywnie pomaga go ograniczać – przez Listę Ostrzeżeń, blokowanie złośliwych SMS-ów, portal moje.cert.pl, serwis bezpiecznedane.gov.pl, numer 8080 do zgłaszania podejrzanych wiadomości oraz bieżące komunikaty o kampaniach i podatnościach.