Fałszywe .gov.pl. Oszuści chcą przejąć dane do bankowości

Fałszywe .gov.pl, czyli strony podszywające się pod strony rządowe służą do wyłudzania danych osobowych i informacji potrzebnych do logowania w bankowości elektronicznej. CSIRT KNF ostrzega przed kolejną metodą cyberprzestępców. Sprawa ma również szerszy wymiar – podobne działania mogą wpisywać się w schemat cyberataków i operacji hybrydowych wymierzonych w Polskę.

Oszuści coraz częściej wykorzystują zaufanie, jakim użytkownicy darzą strony administracji publicznej. Zamiast próbować od razu podszyć się pod bank, najpierw tworzą witrynę przypominającą oficjalny serwis rządowy. Dopiero później próbują przejąć kolejne informacje.

Taki schemat wykorzystują fałszywe .gov.pl, przed którymi ostrzegają służby zajmujące się cyberbezpieczeństwem. Użytkownik może otrzymać komunikat sugerujący konieczność potwierdzenia lub aktualizacji danych. Wiadomość ma wyglądać na oficjalną i skłonić odbiorcę do szybkiego działania.

Najpierw dane osobowe, później bank

Mechanizm ataku został skonstruowany etapami. Na początku ofiara trafia na formularz, w którym ma podać swoje dane osobowe. Po jego wypełnieniu zostaje przekierowana na kolejną stronę.

Ta ma sprawiać wrażenie następnego elementu procedury administracyjnej. W rzeczywistości użytkownik trafia na stronę przygotowaną przez cyberprzestępców. W kolejnym kroku pojawia się prośba o wskazanie banku, a następnie o podanie danych potrzebnych do logowania do bankowości elektronicznej.

To właśnie wtedy oszustwo może stać się szczególnie niebezpieczne. Przejęte dane mogą posłużyć do dalszych prób uzyskania dostępu do konta lub przeprowadzenia kolejnych działań socjotechnicznych.

CSIRT KNF od lat wskazuje na podszywanie się pod banki i instytucje jako jeden z istotnych sposobów wyłudzania danych. W raporcie dotyczącym oszustw bankowych opisano przypadki tworzenia stron niemal nieodróżnialnych od prawdziwych serwisów, których celem było zdobycie danych do bankowości elektronicznej.

Jak rozpoznać fałszywą stronę gov.pl?

W przypadku takich ataków szczególne znaczenie ma adres strony internetowej. Sama grafika, logo czy wygląd formularza nie wystarczą, aby potwierdzić autentyczność witryny.

Cyberprzestępcy mogą bardzo dokładnie kopiować wygląd prawdziwych serwisów. Dlatego przed wpisaniem danych warto sprawdzić cały adres strony, a nie tylko jej początkowy fragment.

Nie należy również ufać wiadomościom, które wywołują presję czasu. Informacja o konieczności natychmiastowej weryfikacji danych, blokadzie konta czy innej pilnej czynności może być elementem socjotechniki.

Jeżeli strona wymaga podania loginu, hasła lub innych danych bankowych, warto przerwać proces i samodzielnie wejść na oficjalną stronę banku albo skontaktować się z jego infolinią.

To nie jest pojedynczy problem

Skala podobnych kampanii pokazuje, że cyberprzestępcy nie ograniczają się do jednego sposobu działania. CSIRT KNF w swoich regularnych zestawieniach opisuje kolejne przypadki podszywania się pod banki, administrację, firmy energetyczne, operatorów transportowych czy instytucje publiczne. W 2026 r. służby zwracały uwagę m.in. na fałszywe komunikaty dotyczące Krajowej Administracji Skarbowej, NFZ, opłat oraz usług finansowych.

W marcu Ministerstwo Cyfryzacji ostrzegało również przed kampanią, w której przestępcy podszywali się pod Ministerstwo Finansów i Krajową Administrację Skarbową. Ofiary były kierowane na fałszywy formularz logowania do Profilu Zaufanego.

Schemat jest podobny: wykorzystać wiarygodny wizerunek znanej instytucji, zdobyć zaufanie użytkownika i nakłonić go do wykonania czynności, której normalnie nie powinien wykonywać na przypadkowej stronie.

Fałszywe .gov.pl mogą być częścią większego zagrożenia

W przypadku stron podszywających się pod polską administrację pojawia się również szerszy kontekst bezpieczeństwa państwa. Nie ma podstaw, aby automatycznie przypisywać każdą kampanię phishingową rosyjskim służbom, ale tworzenie fałszywych stron rządowych jest metodą, którą polskie władze wcześniej wskazywały jako element rosyjskich działań w cyberprzestrzeni.

Polskie służby już wcześniej informowały o rosyjskich cyberatakach wymierzonych w Polskę. Wśród wykorzystywanych metod znajdowały się również fałszywe strony podszywające się pod serwisy administracji publicznej. W jednym z opisanych przypadków strona udawała rządowy serwis i prowadziła użytkowników przez proces wyłudzania danych osobowych oraz informacji dotyczących płatności. Służby wskazywały wówczas, że takie operacje mogą służyć nie tylko kradzieży danych i pieniędzy, ale także destabilizacji oraz podważaniu zaufania do państwa.

To właśnie dlatego fałszywe .gov.pl warto postrzegać nie tylko jako zwykłą próbę oszustwa. W zależności od źródła i celu kampanii podobne działania mogą łączyć cyberprzestępczość finansową z szerszymi operacjami wpływu i działaniami hybrydowymi.

Cyberataki stają się coraz bardziej wieloetapowe

Współczesne kampanie nie zawsze kończą się na jednorazowym wyłudzeniu hasła. CSIRT KNF zwraca uwagę na coraz częstsze łączenie kradzieży tożsamości, socjotechniki, fraudu finansowego i przejmowania danych dostępowych. W najnowszym opracowaniu dotyczącym cyberzagrożeń w polskim sektorze finansowym wskazano właśnie na rosnące znaczenie takich wieloetapowych scenariuszy.

Dla użytkownika oznacza to jedno: ostrożność trzeba zachować już przy pierwszym kontakcie z podejrzaną wiadomością. Jeśli ktoś próbuje przekonać nas, że musimy natychmiast „zweryfikować dane”, „potwierdzić tożsamość” albo zalogować się przez przesłany link, najlepiej nie korzystać z podanego odnośnika.

Adres strony można skopiować bardzo łatwo. Znacznie trudniej odzyskać pieniądze lub dane po udanym ataku.