Prawie 1000 szkodliwych domen dziennie. Oszuści podszywają się pod NFZ, InPost i parkingi

Prawie 1000 szkodliwych domen dziennie. W lipcu nastąpił mocny skok

Liczby z najnowszego miesięcznego raportu CERT Polska zwracają uwagę. Od początku stycznia do końca lipca 2026 roku na Listę Ostrzeżeń wpisano już 158,3 tys. szkodliwych domen. Sam lipiec przyniósł 29,6 tys. nowych wpisów.

To średnio około 955 domen dziennie. Co ważniejsze, w porównaniu z czerwcem ich liczba zwiększyła się aż o 39 proc.

Równocześnie CERT Polska otrzymał w lipcu 56,2 tys. zgłoszeń i na ich podstawie zarejestrował 31,2 tys. incydentów cyberbezpieczeństwa. To o 37 proc. więcej niż miesiąc wcześniej.

Warto jednak zachować precyzję: 31,2 tys. incydentów nie oznacza 31,2 tys. okradzionych osób. CERT definiuje je jako zdarzenia, które miały lub mogły mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Jeden incydent może być również powiązany z kilkoma zgłoszeniami. Od kwietnia 2026 r. zmieniły się ponadto przepisy i zasady klasyfikacji, dlatego dane z wcześniejszymi okresami nie zawsze są w pełni porównywalne.

„NFZ zwróci pieniądze”. Wystarczy kliknąć w link

Jedna z kampanii odnotowanych w lipcu wykorzystuje coś, co dla wielu osób może wyglądać jak dobra wiadomość.

Oszuści podszywają się pod Narodowy Fundusz Zdrowia i wysyłają e-maile informujące o rzekomym zweryfikowaniu wniosku. Odbiorca ma kliknąć link i podać kod otrzymany w wiadomości.

Strona przypomina serwis NFZ, ale jej prawdziwy cel jest zupełnie inny. Formularz służy do przejęcia danych osobowych i danych karty płatniczej, a przynętą jest rzekomy zwrot należnych pieniędzy.

To właśnie ta konstrukcja jest szczególnie niebezpieczna: oszust nie straszy karą. Obiecuje pieniądze.

Nieopłacony parking. SMS prowadzi do fałszywej płatności

Drugi scenariusz może zadziałać praktycznie na każdego kierowcę korzystającego ze stref płatnego parkowania.

SMS informuje o nieuregulowanej opłacie parkingowej. Link prowadzi do strony imitującej oficjalny serwis płatności. Wprowadzone tam dane pojazdu i karty mogą następnie posłużyć do kradzieży pieniędzy albo kolejnych prób wyłudzeń.

Jest tu jeszcze jeden ciekawy szczegół. CERT zwraca uwagę, że przestępcy próbują omijać mechanizmy telefonów ostrzegające przed podejrzanymi linkami. Użytkownik może zostać poproszony o odpowiedzenie na wiadomość albo ręczne skopiowanie adresu i wklejenie go do przeglądarki.

Jeżeli SMS instruuje, jak ominąć zabezpieczenie telefonu, lampka ostrzegawcza powinna zapalić się natychmiast.

InPost też na celowniku. „Nie udało się doręczyć przesyłki”

Kolejna kampania wykorzystuje mechanizm, który oszuści stosują od lat, ale stale go modyfikują: oczekiwanie na paczkę.

W lipcu CERT Polska obserwował kampanię podszywającą się pod InPost. Wiadomość informowała o rzekomo nieudanej próbie dostarczenia przesyłki i konieczności potwierdzenia danych adresowych.

Link ponownie prowadził do przygotowanej przez oszustów strony, której zadaniem było przejęcie danych osobowych i danych karty płatniczej.

To może być szczególnie skuteczny wabik, bo przy ogromnej popularności zakupów internetowych prawdopodobieństwo, że odbiorca rzeczywiście czeka właśnie na jakąś przesyłkę, jest duże.

Nie tylko NFZ i InPost. Podszywają się nawet pod gov.pl

Lipcowy raport pokazuje, jak szeroko rozstawiona jest sieć przynęt.

CERT wykrył także SMS-y wykorzystujące wizerunek gov.pl. Oszuści informowali o konieczności uzupełnienia danych we wniosku mieszkaniowym. Na fałszywej stronie pojawiała się nawet kwota rzekomego dofinansowania. Aby dostać pieniądze, użytkownik miał wpisać dane karty.

W innych kampaniach cyberprzestępcy podszywali się pod LUX MED, administrację poczty Onet czy popularnych rejestratorów domen. Pojawiały się fałszywe zwroty kosztów leczenia, prośby o „weryfikację bezpieczeństwa” konta czy komunikaty o wygasającej domenie.

Schemat się zmienia. Cel pozostaje podobny: przekonać odbiorcę, żeby sam wpisał swoje dane.

13 tys. podejrzanych SMS-ów w miesiąc

Osobną skalę problemu pokazują dane dotyczące wiadomości tekstowych.

W lipcu do CERT Polska zgłoszono 13 tys. podejrzanych SMS-ów. 11 proc. z nich stanowiły wiadomości, w których nadawca podszywał się pod inny podmiot, aby skłonić odbiorcę np. do podania danych, przekazania pieniędzy, wejścia na stronę lub instalacji oprogramowania.

Na podstawie przygotowanych przez CERT wzorców operatorzy zablokowali w lipcu szacunkowo 6,2 tys. fałszywych SMS-ów.

Jedna rzecz powinna szczególnie wzbudzić podejrzenia

CERT Polska od dawna wskazuje na charakterystyczny element wielu takich ataków: link przesłany w wiadomości, który ma umożliwić płatność, odebranie pieniędzy albo potwierdzenie danych.

Nawet jeśli chodzi o kilka złotych, nie należy zakładać, że ryzykujemy tylko taką kwotę. Fałszywy formularz może służyć do przejęcia danych potrzebnych do znacznie poważniejszej operacji. CERT zaleca również uważne czytanie komunikatów autoryzacyjnych z banku i sprawdzanie, jaka operacja oraz jaka kwota są faktycznie zatwierdzane.

Bezpieczniejsza zasada jest prosta: jeśli wiadomość dotyczy paczki, opłaty, banku czy urzędu, nie wchodź do serwisu przez przesłany link. Otwórz oficjalną aplikację albo samodzielnie wpisz adres instytucji w przeglądarce.

Logo można skopiować w kilka sekund. Adres strony znacznie trudniej podrobić bez pozostawienia śladu.

Podejrzany SMS można przesłać na numer 8080

Każdy podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080. Podejrzane strony wyłudzające dane można natomiast zgłaszać poprzez formularz CERT.

Takie zgłoszenia mają praktyczne znaczenie. Lista Ostrzeżeń CERT Polska jest wykorzystywana do automatycznego blokowania dostępu do szkodliwych stron. Domeny są na niej standardowo utrzymywane przez sześć miesięcy, a jeśli po tym czasie nadal zawierają niebezpieczne treści, mogą zostać wpisane ponownie.

29,6 tys. domen w ciągu jednego miesiąca pokazuje jednak najważniejszą rzecz: blokowanie działa, ale oszuści mogą błyskawicznie przenosić kampanie pod kolejne adresy. Dlatego najskuteczniejszym filtrem nadal pozostaje użytkownik, który przed podaniem danych sprawdzi, dokąd naprawdę prowadzi otrzymany link.