CERT Polska w ostrzeżeniu z 13 października 2026 r. opisuje phishing wymierzony w klientów Alior Banku: fałszywe przypomnienie żąda pilnego potwierdzenia danych, a przycisk prowadzi do strony wyłudzającej dane logowania. Odbiorca powinien sprawdzić żądanie przez oficjalną aplikację albo samodzielnie znaleziony kontakt do banku, zgodnie z zaleceniem CERT.

Gdzie potwierdzisz żądanie banku, jeśli nie ufasz wiadomości, która je przyniosła? Odpowiedź „sprawdzę przez przycisk w mailu” pozostawia Cię na drodze wskazanej przez nadawcę. W kampanii opisanej przez CERT Polska właśnie ten przycisk prowadzi do wyłudzenia. Proponujemy zadać to pytanie także osobom obsługującym firmowe płatności: niech wskażą sposób samodzielnego wejścia do bankowości oraz osobę, do której skierują wątpliwości. To propozycja ćwiczenia, bez założenia, że ktokolwiek w konkretnej firmie złamał procedurę. Jego celem jest ustalenie, czy odbiorca potrafi sprawdzić rzekomy obowiązek bez korzystania z odnośnika dostarczonego razem z żądaniem. Taka odpowiedź powinna być gotowa przed następnym podejrzanym przypomnieniem.

Regulacje są pretekstem do zdobycia danych logowania

Według komunikatu CERT Polska 189/2026 oszuści powołują się na regulacje i przedstawiają potwierdzenie danych jako pilną formalność. Sugerują również konieczność wizyty w oddziale, jeśli odbiorca nie zareaguje. Przywołany obowiązek jest elementem wiadomości sprawców; ostrzeżenie nie potwierdza, że bank rzeczywiście wymaga takiego działania.

Opisany przez CERT przycisk kieruje do strony, której celem jest pozyskanie danych logowania do bankowości internetowej. Treść i odnośnik działają razem: nadawca przedstawia formalność do wykonania i jednocześnie dostarcza drogę jej rzekomego załatwienia. Redakcyjny wniosek dotyczy momentu decyzji: sprawdzenie pochodzenia żądania powinno poprzedzać podanie danych, niezależnie od pilności deklarowanej w mailu.

Pilność wiadomości nie zastępuje potwierdzenia jej pochodzenia.

Marka Alior Banku występuje w ostrzeżeniu jako marka, pod którą podszywają się sprawcy. Komunikat nie potwierdza włamania do banku, strat finansowych, obejścia uwierzytelniania wieloskładnikowego ani liczby ofiar. Nie znamy początku kampanii ani dat, w których komuś wyłudzono dane. Data 13 października odnosi się do publikacji ostrzeżenia, którego godziny nie podano.

Ćwiczenie powinno sprawdzić drogę poza mailem

CERT Polska zaleca użycie oficjalnej aplikacji lub danych kontaktowych znalezionych samodzielnie na stronie banku. Przełóżmy tę wskazówkę na ćwiczenie dla osób zajmujących się płatnościami: uczestnik ma wskazać kanał, którym sprawdzi żądanie, bez otwierania strony z podejrzanej wiadomości. Nie wymagajmy od niego rozstrzygnięcia, czy przywołana regulacja brzmi przekonująco. Sprawdzajmy, czy umie skierować pytanie do banku niezależną drogą.

To własne zalecenie redakcji dotyczące organizacji pracy. Komunikat 189/2026 nie opisuje zachowania pracowników ani działania firmowych procedur. Zamiast przypisywać im uchybienia, proponujemy porównać treść własnej instrukcji z odpowiedzią udzieloną podczas ćwiczenia. Czy dokument wskazuje konkretną drogę wejścia do bankowości? Czy uczestnik potrafi ją odnaleźć bez podpowiedzi zawartej w mailu?

Zespołom edukacji bezpieczeństwa proponujemy wykorzystać ostrzeżenie CERT do rozmowy o tej jednej decyzji. Wynikiem ćwiczenia powinien być zapis sposobu weryfikacji i ewentualnej luki w instrukcji. Samo rozpoznanie słowa „phishing” nie odpowiada na pytanie, gdzie sprawdzić żądanie potwierdzenia danych.

Właściciel płatności powinien wskazać odpowiedzialność

Ostrzeżenie CERT Polska dotyczy klientów Alior Banku; nie daje podstaw do ograniczenia kampanii wyłącznie do kont firmowych. Zastosowanie go do obsługi płatności jest perspektywą redakcyjną. Zalecamy, by właściciel tego procesu wskazał, kto pomaga pracownikowi zweryfikować wiadomość i skąd pracownik bierze kontakt do banku. Tych ustaleń nie odkładajmy do chwili otrzymania pilnego żądania.

Kanał weryfikacji powinien być znany odbiorcy przed pojawieniem się podejrzanego żądania.

Proponujemy prostą miarę przydatności instrukcji: osoba obsługująca płatności umie wskazać samodzielną drogę do banku oraz firmowy kontakt do wyjaśnienia wątpliwości. Właściciel procesu powinien zadbać, aby taki kontakt i sposób postępowania były zapisane w miejscu znanym zespołowi. To zalecenie przydziału odpowiedzialności, bez twierdzenia, że któraś organizacja nie miała procedury.

Do tej decyzji nie musimy szacować strat kampanii opisanej przez CERT. Źródło ich nie potwierdza, więc nie wyprowadzamy z niego kwot ani skali ryzyka finansowego. Uzasadnieniem przeglądu instrukcji jest udokumentowana próba pozyskania danych logowania pod pretekstem formalności.

Zgłoszenie wiadomości i podanie danych wymagają rozróżnienia

Według CERT Polska podejrzane strony i maile można zgłaszać przez incydent.cert.pl albo usługę „Bezpiecznie w sieci” w aplikacji mObywatel. W firmowej instrukcji proponujemy rozróżnić otrzymanie podejrzanego żądania od sytuacji, w której odbiorca podał już dane. To podział zaproponowany przez redakcję, a nie informacja o potwierdzonych skutkach tej kampanii.

W pierwszej sytuacji wskażmy niezależną weryfikację żądania oraz wymienione przez CERT kanały zgłoszenia. W drugiej zalecamy kontakt z bankiem i firmowym helpdeskiem, z wyraźną informacją, że odbiorca podał dane. Odzyskiwanie dostępu powinno przebiegać według aktualnej instrukcji banku. Nie podajemy własnej listy czynności odzyskiwania konta ani terminu, w którym miałoby się to udać.

Czytelników szukających wcześniejszych materiałów odsyłamy do tekstów „Fałszywe potwierdzenie wpłaty” oraz o wyłudzeniu danych w fałszywej ofercie rabatu. W komunikacie 189/2026 punktem decyzji pozostaje przejście z wiadomości na stronę żądającą danych logowania.

Co z tym zrobić w poniedziałek

  1. W 20 minut wskaż oficjalną drogę do bankowości. Z osobami obsługującymi płatności ustal sposób samodzielnego wejścia do banku, zgodny z zaleceniem CERT Polska. Zapisz, gdzie zespół znajdzie tę wskazówkę i kontakt do osoby pomagającej sprawdzić żądanie. Rezultatem ma być dostępna instrukcja, z której można skorzystać poza podejrzanym mailem.
  2. W 20 minut przećwicz sprawdzenie żądania poza wiadomością. Przedstaw opisane przez CERT przypomnienie jako scenariusz ćwiczenia. Poproś uczestnika o wskazanie drogi weryfikacji przez aplikację lub samodzielnie znaleziony kontakt do banku. Nie wpisujcie danych na stronie z wiadomości. Zanotuj, czy instrukcja wystarcza do wskazania następnego kroku.
  3. W 30 minut uzupełnij instrukcję na wypadek podania danych. Wpisz drogę kontaktu z bankiem i helpdeskiem oraz rozróżnienie między zgłoszeniem podejrzanej wiadomości a zgłoszeniem przekazania danych. Dodaj odesłanie do aktualnej instrukcji banku dotyczącej odzyskiwania dostępu. Limit 30 minut dotyczy przygotowania tego zapisu, nie odzyskania konta.

Właściciel procesu płatności powinien zapewnić szybkie sprawdzenie komunikatu bez presji użycia dostarczonego odnośnika. Ostrzeżenie CERT Polska 189/2026 daje konkretny punkt do przeglądu: drogę od pilnego żądania do niezależnego potwierdzenia jego pochodzenia. Za wynik przygotowań uznajmy sytuację, w której odbiorca wie, gdzie skierować pytanie, zanim poda dane logowania.

Źródła

  1. CERT Polska, komunikat 189/2026: „Ostatnie przypomnienie” zanim konto zostanie zablokowane. Chroń dane logowania do banku!, publikacja: 13 października 2026 r., godzina niepodana.

Redakcja cyberinsight.pl.