Deepfake w telefonie od szefa: jak AI zmieniło phishing i quishing w 2026 roku

Phishing nie jest nowym problemem, ale zmienił swój styl. W raporcie za 2025 rok CERT Polska zarejestrował 260 783 unikalne incydenty bezpieczeństwa, o 152 proc. więcej niż rok wcześniej. Aż 97 proc. z nich stanowiły oszustwa komputerowe. Te liczby nie znaczą, że każda firma padnie ofiarą ataku, ale pokazują skalę codziennych prób wyłudzenia pieniędzy i dostępu do kont.

Dla małej firmy najważniejsza zmiana jest prosta: przestępca nie musi już wysłać e-maila pełnego błędów. Może przygotować poprawną po polsku wiadomość, zadzwonić w chwili pośpiechu albo ukryć fałszywy adres za kodem QR. Dlatego sam filtr antyspamowy nie wystarcza jako jedyna ochrona.

AI wzmacnia stary scenariusz

Sztuczna inteligencja nie tworzy nowego rodzaju oszustwa od zera. Ułatwia jednak przygotowanie wiarygodnej treści i podszywanie się pod znaną osobę. Amerykańska agencja CISA ostrzega, że ogólnodostępne narzędzia mogą imitować głos lub obraz człowieka. W praktyce wystarczy krótki materiał z nagraniem głosu, aby rozmowa brzmiała bardziej przekonująco niż dawny, oczywisty scam.

Najgroźniejszy jest zestaw presji i autorytetu: „jestem na spotkaniu, zrób przelew”, „podaj kod logowania” albo „nie mów nikomu, to pilne”. Głos znanej osoby może obniżyć czujność, ale nie powinien zastępować procedury potwierdzania dyspozycji.

Vishing, czyli telefon, któremu nie warto ufać bez sprawdzenia

Vishing to wyłudzenie prowadzone przez rozmowę telefoniczną. W firmie jego celem może być przelew, dane klienta, hasło lub kod do uwierzytelniania wieloskładnikowego. Gdy rozmówca podaje się za właściciela, księgową albo dostawcę IT, naturalna reakcja bywa szybka pomoc zamiast weryfikacji.

Dobrą zasadą jest oddzwonienie na znany numer zapisany w kontaktach lub potwierdzenie prośby drugim, wcześniej ustalonym kanałem. Przy przelewach warto stosować zasadę dwóch osób i limitów akceptacji. To niewygodne przez kilka minut, ale chroni przed decyzją podjętą wyłącznie pod presją rozmówcy.

Quishing przenosi pułapkę na telefon

Quishing to phishing wykorzystujący kod QR. CERT Polska opisał w 2026 roku kampanię skierowaną do pracowników: wiadomość o rzekomej zmianie zasad zawierała kod prowadzący do strony przypominającej portal Microsoft 365. Po zeskanowaniu użytkownik był zachęcany do podania hasła.

Kod QR jest trudniejszy do oceny niż zwykły link, bo adresu nie widać od razu w treści wiadomości. Nie należy skanować kodu otrzymanego w nieoczekiwanej wiadomości, zwłaszcza gdy obiecuje szybkie logowanie, zmianę hasła albo dostęp do dokumentu. Lepiej otworzyć znany portal ręcznie lub sprawdzić komunikat w firmowym kanale.

Czerwone flagi dla każdego pracownika

Podejrzenie powinien wzbudzić przede wszystkim pośpiech, prośba o zachowanie tajemnicy, nietypowa zmiana danych do płatności oraz żądanie hasła lub kodu MFA. CERT Polska zwraca też uwagę na komunikaty podszywające się pod wykrycie problemu z kontem i grożące blokadą, jeśli odbiorca nie zareaguje szybko.

Nie chodzi o to, by każdy pracownik analizował techniczne nagłówki e-maili. Wystarczy prosta, znana wszystkim droga: zatrzymaj się, nie podawaj danych, potwierdź prośbę innym kanałem i przekaż podejrzaną wiadomość osobie odpowiedzialnej za IT. Dzięki temu pracownik nie musi sam decydować, czy ma do czynienia z oszustwem.

Co chroni firmę w praktyce

Podstawą pozostają unikalne hasła, uwierzytelnianie wieloskładnikowe, aktualne systemy i możliwość szybkiego zgłoszenia incydentu. CISA wymienia te działania jako podstawowe zachowania ochronne także w kontekście zagrożeń wykorzystujących AI. MFA nie zwalnia z ostrożności: fałszywa strona może próbować wyłudzić również jednorazowy kod, dlatego kodu nie wolno przekazywać przez telefon ani wpisywać po wejściu z podejrzanego linku.

Warto też sprawdzić, kto może zatwierdzać przelewy, czy skrzynki mają włączone MFA i czy firma potrafi odebrać dostęp do konta po incydencie. Krótkie ćwiczenie z rozpoznawania wiadomości zwykle daje więcej niż jednorazowe ostrzeżenie wysłane e-mailem.

Bezpieczeństwo to procedura, nie tylko program

Ochrona stacji roboczych i poczty jest potrzebna, ale nie zatrzyma każdej rozmowy telefonicznej ani każdego kodu QR. Najlepszym uzupełnieniem jest jasna procedura: kto potwierdza płatność, gdzie zgłasza się podejrzaną wiadomość i co robi się po ujawnieniu hasła. Taka procedura musi być zrozumiała również dla osoby, która nie zajmuje się informatyką.

W Gravis IT pomagamy małym firmom uporządkować te podstawy: zabezpieczyć konta i urządzenia, wdrożyć ochronę endpointów oraz przeszkolić zespół z realnych scenariuszy. Audyt istniejących ustawień pozwala zacząć od luk, które mają największe znaczenie w codziennej pracy.