Phishing w sektorze usług finansowych: trendy ataków, koszty i środki obrony w 2026 r.

Branża usług finansowych jest jedną z najbardziej regulowanych, poddawanych audytom i zaawansowanych pod względem bezpieczeństwa branż na świecie. Mimo to kwartał po kwartale nadal przypada na nią jeden z największych udziałów w globalnej liczbie ataków phishingowych spośród wszystkich sektorów.

Chociaż banki, ubezpieczyciele i firmy z branży fintech wydają na środki bezpieczeństwa więcej niż niemal ktokolwiek poza sektorem rządowym i obronnym, ataki phishingowe w sektorze usług finansowych wciąż powodują głośne straty, nakładają się na nie ostrzeżenia organów regulacyjnych i prowadzą do naruszenia bezpieczeństwa kont klientów. Statystyki dotyczące cyberbezpieczeństwa w sektorze usług finansowych z lat 2025 i 2026 pokazują ten sam obraz: sektor ten nie jest celem ataków dlatego, że jego zabezpieczenia są słabe. Jest celem, ponieważ znajduje się najbliżej pieniędzy, a atakujący dostosowali się szybciej niż środki kontroli stosowane przez większość instytucji.

W niniejszym artykule wyjaśniono, dlaczego sektor finansowy cieszy się tak dużym zainteresowaniem, jakie konkretne rodzaje ataków są wobec niego skuteczne, ile kosztują te ataki w zweryfikowanych kwotach dolarowych oraz na podstawie rzeczywistych przypadków, a także jak wygląda nowoczesny zestaw rozwiązań obronnych w perspektywie roku 2026.

Dlaczego sektor usług finansowych jest głównym celem ataków phishingowych

W raporcie Verizon „Data Breach Investigations Report 2025”, w którym przeanalizowano 3 336 incydentów związanych z bezpieczeństwem oraz 927 potwierdzonych naruszeń w sektorze finansów i ubezpieczeń, korzyść finansowa była głównym motywem w 90% przypadków naruszeń. W sektorze tym rośnie również liczba ataków o charakterze szpiegowskim – ich odsetek wzrósł z 5% do 12% w ujęciu rok do roku, co wskazuje, że obok przestępców kierujących się motywami finansowymi zainteresowanie tym sektorem wykazują również podmioty powiązane z państwami. Za 78% naruszeń odpowiedzialni byli zewnętrzni napastnicy, a włamania do systemów, inżynieria społeczna oraz podstawowe ataki na aplikacje internetowe stanowiły łącznie 74% wszystkich naruszeń w tym sektorze.

W raporcie Anti-Phishing Working Group za pierwszy kwartał 2025 r. odnotowano 1 003 924 ataki phishingowe w tym kwartale – jest to największa liczba od końca 2023 r. – oraz stwierdzono, że sektory płatności internetowych i finansowy (bankowy) łącznie stanowiły 30,9% wszystkich ataków.

Ataki nie ograniczają się zresztą wyłącznie do poczty elektronicznej. W tym samym zbiorze danych DBIR branża finansowa była najczęściej atakowaną branżą w przypadku ataków typu „odmowa usługi” (DoS) na warstwach 3 i 4, odnotowując 35% wszystkich ataków tego typu, wyprzedzając tym samym branżę produkcyjną i sektor usług profesjonalnych. Atakujący wykorzystują każdy kanał, który prowadzi do pieniędzy lub danych, a phishing okazuje się najtańszym i najbardziej niezawodnym z nich.

Jak w rzeczywistości przebiegają ataki phishingowe wymierzone w instytucje finansowe

Ogólne porady dotyczące phishingu nie odzwierciedlają w pełni sposobu, w jaki ataki faktycznie dotykają sektor finansowy. Poniższe rodzaje ataków to te, które pojawiają się w aktualnych danych i rzeczywistych przypadkach.

Phishing mający na celu wyłudzenie danych uwierzytelniających w bankowości internetowej

Fałszywe strony logowania pozostają jednym z najczęściej stosowanych rodzajów ataków, skierowanych zarówno przeciwko klientom, jak i pracownikom. Przekonująca kopia portalu bankowości internetowej, udostępniana za pośrednictwem sfałszowanej lub łudząco podobnej domeny, wymaga jedynie, by niewielka część odbiorców wprowadziła swoje dane logowania, aby atakujący uzyskał dostęp do konta. Ponieważ strony te są tanie w tworzeniu i łatwe do modyfikowania, pozostają stałym zagrożeniem w tle, nawet gdy na pierwszych stronach gazet pojawiają się informacje o bardziej wyrafinowanych rodzajach ataków.

Oszustwa związane z przejęciem firmowych kont e-mailowych oraz oszustwa związane z przelewami bankowymi

Zgodnie z badaniem „AFP Payments Fraud and Control Survey 2025”, sponsorowanym przez Truist, w 2024 r. ataki typu „business email compromise” (BEC) były najczęstszym wektorem oszustw wskazanym przez 63% organizacji, a przelewy bankowe ponownie zajęły pierwsze miejsce jako metoda płatności najczęściej atakowana przez oszustów stosujących taktykę BEC. Zmieniają się również stosowane taktyki: klasyczne oszustwa polegające na podszywaniu się pod dyrektora generalnego, w których oszust podaje się za członka kierownictwa i nakazuje pilny przelew, spadły z 57% do 49% zgłoszonych incydentów BEC, podczas gdy oszustwa polegające na podszywaniu się pod dostawcę, w których atakujący podają się za legalnego dostawcę i przekierowują płatność, wzrosły do 60%. Atakujący odchodzą od wykorzystywania autorytetu na rzecz budowania zaufania w ramach istniejących relacji biznesowych.

W raporcie FBI dotyczącym przestępczości internetowej za rok 2024 odnotowano straty związane z oszustwami typu BEC w wysokości 2,77 mld dolarów w ramach 21 442 zgłoszeń, co stanowi niewielki spadek w porównaniu z kwotą 2,9 mld dolarów w 2023 roku, a łączna kwota strat związanych z oszustwami typu BEC w latach 2022–2024 wyniosła prawie 8,5 mld dolarów.

Więcej informacji na temat mechanizmów działania tego rodzaju ataku znajdziesz w naszym przewodniku poświęconym zjawisku „Business Email Compromise” oraz różnicom między nim a zwykłym phishingiem.

Vishing i phishing typu „callback” polegające na podszywaniu się pod marki z branży finansowej

Phishing typu „callback”, polegający na tym, że oszukańcza wiadomość e-mail lub SMS przekonuje ofiarę do zadzwonienia pod numer obsługiwany przez atakującego, stał się popularnym sposobem uzyskiwania dostępu do kont finansowych.

Badanie trendów w zakresie phishingu przeprowadzone przez firmę Hoxhunt wykazało, że 27,1% kampanii phishingowych typu „callback”, monitorowanych od końca 2025 r. do początku 2026 r., podszywało się konkretnie pod marki z branży usług finansowych – częściej niż pod jakąkolwiek inną kategorię – a wśród najczęściej podszywanych marek znalazły się PayPal, Venmo oraz duże banki detaliczne. W ramach tych kampanii zazwyczaj grozi się fałszywą opłatą lub problemem z kontem i wywiera presję na ofiarę, aby natychmiast zadzwoniła, po czym operator telefoniczny instruuje ją, jak przekazać dane logowania lub jednorazowe kody.

Phishing oparty na treściach generowanych przez sztuczną inteligencję i deepfake’ach

Jest to najwyraźniejszy czynnik wyróżniający w obecnym krajobrazie zagrożeń. Analiza firmy CybelAngel z 2026 r. wykazała, że 82,6% wiadomości phishingowych wykrytych w okresie od września 2024 r. do lutego 2025 r. zostało wygenerowanych przy użyciu sztucznej inteligencji, co stanowi wzrost o 53,5% w ujęciu rok do roku. Z kolei dane telemetryczne firmy Darktrace zebrane wśród klientów z sektora finansowego wykazały, że w pierwszej połowie 2025 r. zarejestrowano 2,4 mln wiadomości phishingowych, z czego prawie 30% było skierowanych konkretnie do użytkowników VIP, takich jak kadra kierownicza i pracownicy działu finansowego posiadający uprawnienia do dokonywania płatności, a nie do ogółu pracowników.

Ta tendencja ma znaczenie: cyberprzestępcy coraz częściej przedkładają jakość celu nad samą liczbę ofiar. Klonowanie głosu stanowi dodatkowe zagrożenie – odnotowano 2025 przypadków, w których pracownicy banków odbierali połączenia, w których w przekonujący sposób naśladowano głos członka kierownictwa, wydającego polecenie wykonania przelewu.

Przejęcie konta przy użyciu wykradzionych danych uwierzytelniających

Przejęcie konta przebiega inaczej niż opisany powyżej schemat BEC. Zamiast jednej dużej, spektakularnej straty, objawia się ono wieloma mniejszymi, zautomatyzowanymi próbami. Badanie firmy Proof dotyczące przejęć kont (ATO), opublikowane w ramach analizy oszustw z maja 2026 r., wykazało spadek średniej wartości fałszywych wniosków o wypłatę z 182 000 USD w 2022 r. do 118 000 USD w 2024 r., przy prognozowanej wartości 88 500 USD do 2026 r. Wydaje się, że oszuści celowo wybierają kwoty nieco poniżej progów, które w wielu instytucjach powodują konieczność ręcznej weryfikacji, zamieniając wielkość transakcji na częstotliwość i automatyzację.

Ile faktycznie kosztuje phishing w sektorze finansowym

Według firmy CybelAngel średni koszt naruszenia bezpieczeństwa danych w sektorze finansowym wynosi 5,9 mln dolarów na jeden incydent, przy czym kwota ta nie obejmuje kar regulacyjnych ani strat wizerunkowych. W połączeniu z wymienionymi powyżej rocznymi stratami wynikającymi z oszustw typu BEC, wynoszącymi 2,77 mld dolarów, obraz ten wskazuje zarówno na duże, skoncentrowane straty, jak i na ciągłe, stopniowe ponoszenie mniejszych strat.

Crelan Bank, styczeń 2016 r.

Najlepiej udokumentowany przypadek straty finansowej poniesionej przez instytucję finansową w wyniku oszustwa typu BEC jest jednocześnie jednym z największych. Oszuści podszyli się pod członka kierownictwa wyższego szczebla w belgijskim banku lub przejęli kontrolę nad jego kontem e-mailowym i przekonali dział finansowy do przelania środków. W wyniku audytu wewnętrznego stwierdzono później, że zaginęło około 70 mln euro, czyli około 75,8 mln dolarów. Liczne serwisy informacyjne z tamtego okresu, w tym Help Net Security, potwierdziły zarówno kwotę, jak i sposób działania oszustów.

To sprawa sprzed dziesięciu lat, ale schemat, który ilustruje – pilny e-mail sformułowany w stonowanym tonie, skierowany do osoby uprawnionej do dokonywania płatności – nadal stanowi podstawę dzisiejszych ataków typu BEC.

Siatka przestępcza zajmująca się oszustwami związanymi z tożsamością w stanach Massachusetts, Connecticut i Rhode Island

Nowsza sprawa, o znacznie mniejszej skali, wskazuje na inny schemat, który nadal funkcjonuje w instytucjach regionalnych. Prokuratorzy federalni postawili zarzuty, a następnie doprowadzili do przyznania się do winy przez wielu oskarżonych, którzy wykorzystywali skradzione nazwiska klientów, numery ubezpieczenia społecznego oraz dane rachunków do tworzenia fałszywych dokumentów tożsamości, a następnie zlecali wspólnikom podszywanie się pod prawdziwych klientów w oddziałach banków w celu wypłacania środków.

W maju 2026 r. dwóch oskarżonych przyznało się do winy w związku z oszustwem, w ramach którego skradzione dane tożsamości wykorzystano do wypłacenia ponad 1 miliona dolarów z rachunków bankowych w trzech stanach. Nie jest to sprawa dotycząca phishingu w klasycznym rozumieniu, ale stanowi bezpośredni przykład tego, co dzieje się, gdy dane klientów trafią do obiegu: są one wykorzystywane do popełnienia oszustw związanych z rachunkami bankowymi, często za pośrednictwem kanału zupełnie innego niż ten, który pierwotnie doprowadził do ich ujawnienia.

Marquis Software Solutions, 2025

W sierpniu 2025 r. atak ransomware na firmę Marquis Software Solutions – dostawcę narzędzi do analizy danych, CRM oraz zapewniania zgodności z przepisami dla setek banków i spółdzielczych kas oszczędnościowo-kredytowych – doprowadził do ujawnienia danych osobowych i finansowych związanych z co najmniej 74 instytucjami. Zgłoszenia naruszenia bezpieczeństwa, które zaczęły napływać do prokuratorów generalnych poszczególnych stanów od grudnia 2025 r., wskazują, że liczba osób, których dotyczyło naruszenie, wyniosła ponad 400 000, przy czym niektóre zgłoszenia podają liczbę bliższą 780 000. Z doniesień serwisu BleepingComputer wynika, że atakujący uzyskali początkowy dostęp poprzez lukę w zabezpieczeniach zapory sieciowej dostawcy, a nie w wyniku ataku phishingowego.

Powodem, dla którego ta informacja znalazła się w niniejszym artykule, nie jest to, że sam atak był atakiem phishingowym. Chodzi o to, że skradzione numery ubezpieczenia społecznego i dane kont, pochodzące z takich naruszeń bezpieczeństwa, rutynowo pojawiają się ponownie miesiące później jako surowiec do ukierunkowanych ataków phishingowych i prób przejęcia kontroli nad kontami tych samych klientów.

Dlaczego sytuacja ta wciąż się powtarza w jednej z branż o najwyższym poziomie dojrzałości w zakresie bezpieczeństwa

W branży usług finansowych odnotowuje się jeden z najwyższych wskaźników wdrożenia protokołu DMARC spośród wszystkich badanych branż, jednak stosowanie ustawienia „p=reject” – które faktycznie blokuje fałszywe wiadomości, a nie tylko je monitoruje – nadal pozostaje na niskim poziomie w znacznej części instytucji, w tym w niektórych z największych podmiotów w tym sektorze. Tę rozbieżność między wdrożeniem a faktycznym stosowaniem protokołu szczegółowo omawiamy na naszym blogu poświęconym instytucjom finansowym i protokołowi DMARC.

Istnieje kilka przyczyn strukturalnych wyjaśniających tę lukę:

• Złożoność operacyjna: Duże banki mogą mieć setki legalnych nadawców zewnętrznych – od dostawców wyciągów i platform marketingowych po podmioty obsługujące kredyty. Prawidłowe uwierzytelnienie każdego z nich przed podjęciem działań egzekucyjnych stanowi poważne wyzwanie.
• Niechęć do ryzyka: Zespoły ds. bezpieczeństwa często bardziej obawiają się przypadkowego zablokowania legalnych wiadomości e-mail, takich jak powiadomienia o wynagrodzeniach czy dokumenty kredytowe, niż wyeliminowania luki umożliwiającej spoofing, nawet gdy atakujący aktywnie ją wykorzystują.
• Phishing oparty na sztucznej inteligencji: Ataki phishingowe generowane przez sztuczną inteligencję ewoluują szybciej, niż są w stanie nadążyć wiele starszych filtrów poczty elektronicznej. Instytucje, które niegdyś polegały na wykrywaniu literówek i ocenie reputacji, potrzebują teraz zamiast tego skuteczniejszych mechanizmów kontroli opartych na uwierzytelnianiu i analizie zachowań.

Wdrażanie i egzekwowanie standardu DMARC w sektorze usług finansowych: porównanie między krajami

Organy nadzoru finansowego na całym świecie nakłaniały banki do skonfigurowania protokołu DMARC. Znacznie mniej z nich jednak naciskało na faktyczne włączenie tej funkcji. Ta rozbieżność między wdrożeniem (posiadaniem rekordu DMARC) a egzekwowaniem (ustawieniem tego rekordu na p=reject, co całkowicie blokuje fałszywe wiadomości, a nie tylko je rejestruje) jest najwyraźniejszym dowodem na to, że narażenie sektora na ataki phishingowe wynika w równym stopniu z wyborów politycznych, co z kwestii technicznych.
Raporty PowerDMARC dotyczące wdrażania zabezpieczeń poczty elektronicznej na poziomie krajowym zawierają analizę w podziale na sektory. Oto porównanie sektora finansowego na siedmiu rynkach na podstawie najnowszej opublikowanej analizy:

Jak instytucje finansowe mogą chronić się przed phishingiem w 2026 roku

1. Wdrożenie protokołu DMARC

Należy ustawić DMARC na wartość p=reject dla każdej domeny wysyłającej, w tym domen zaparkowanych i defensywnych, równolegle z SPF i DKIM. Jest to obecnie zarówno minimalny wymóg zgodności, jak i środek bezpieczeństwa. Wymóg 5.4.1 standardu PCI DSS w wersji 4.0.1, obowiązkowy od 31 marca 2025 r., wymaga wdrożenia procesów i zautomatyzowanych mechanizmów służących do wykrywania ataków phishingowych oraz ochrony personelu przed nimi, a w wytycznych Rady ds. Standardów Bezpieczeństwa PCI jako przykładowe środki kontroli wymieniono protokoły DMARC, SPF i DKIM. Nasz przewodnik dotyczący zgodności poczty elektronicznej z PCI DSS omawia ten wymóg bardziej szczegółowo, a nasz przewodnik dotyczący przepisów FTC Safeguards Rule opisuje analogiczne oczekiwania wobec niebankowych instytucji finansowych.

2. Wymagaj weryfikacji płatności poza kanałem transakcyjnym

Należy wymagać weryfikacji poza kanałem komunikacyjnym, przeprowadzanej przez co najmniej dwie osoby, w przypadku każdego przelewu bankowego lub zmiany szczegółów płatności, niezależnie od tego, jak przekonująco brzmi dana prośba. To jedno zabezpieczenie zapobiegłoby zarówno stratom poniesionym przez Crelan Bank, jak i schematowi podszywania się pod dostawców, który – jak wynika z danych ankietowych AFP – obecnie wyprzedza klasyczne oszustwa typu „CEO fraud”.

3. Wdrożenie uwierzytelniania odpornego na ataki phishingowe

W szczególności chodzi o standard FIDO2 lub sprzętowe klucze bezpieczeństwa, stosowane na każdym koncie z uprawnieniami do dokonywania płatności. Wykradanie danych uwierzytelniających oraz ataki typu AiTM mogą obejść kody SMS, a nawet niektóre metody uwierzytelniania wieloskładnikowego oparte na aplikacjach. Nie są one jednak w stanie obejść uwierzytelniania, które jest kryptograficznie powiązane z autentyczną domeną. W naszym omówieniu zjawiska „zmęczenia uwierzytelnianiem wieloskładnikowym” oraz „bombardowania powiadomieniami push” wyjaśniamy, dlaczego słabsze metody uwierzytelniania wieloskładnikowego są coraz częściej po prostu omijane, a nie łamane.

4. Stworzenie systemu wykrywania phishingu opartego na sztucznej inteligencji

Należy stworzyć specjalistyczne mechanizmy wykrywania ataków phishingowych generowanych przez sztuczną inteligencję, zamiast polegać na przestarzałych filtrach opartych na sygnaturach. Według danych z badania przeprowadzonego przez AFP w 2026 r. jedynie 17% organizacji, które padły ofiarą oszustw płatniczych w 2025 r., wdrożyło systemy zabezpieczeń uwzględniające sztuczną inteligencję. Oznacza to ogromną lukę między zagrożeniem a reakcją na nie.

5. Skupienie się na szkoleniu pracowników

Należy szkolić pracowników w zakresie konkretnych schematów leżących u podstaw rzeczywistych strat, a nie ogólnej świadomości zagrożeń związanych z phishingiem. Oszustwa typu „CEO fraud”, podszywanie się pod dostawców oraz scenariusze phishingu z oddzwanianiem to schematy, które faktycznie pojawiają się w powyższych danych. Szkolenia oparte na tych konkretnych scenariuszach sprawdzają się znacznie lepiej niż organizowany raz w roku moduł „rozpoznawanie wiadomości phishingowych”.

6. Monitorowanie ryzyka związanego z podmiotami zewnętrznymi i dostawcami

Przypadek firmy Marquis Software pokazuje, w jaki sposób naruszenie bezpieczeństwa u jednego dostawcy może dostarczyć atakującym surowe dane niezbędne do prowadzenia przez wiele miesięcy kolejnych prób phishingu i przejęcia kont klientów, którzy nigdy nie mieli bezpośredniego kontaktu z tym dostawcą.

W jaki sposób PowerDMARC pomaga instytucjom finansowym wypełnić tę lukę

Wszystko, co zostało powyżej przedstawione, prowadzi do tego samego wniosku: branża usług finansowych nie boryka się z problemem widoczności. Większość instytucji już teraz jest w stanie zidentyfikować, kto podszywa się pod ich domenę. Brakuje im jednak szybkiej i niskiego ryzyka drogi od tej widoczności do faktycznego egzekwowania środków oraz związanej z tym ochrony na poziomie warstwy transportowej.

PowerDMARC został stworzony specjalnie po to, by wypełnić tę lukę w przypadku banków, spółdzielczych kas oszczędnościowo-kredytowych, ubezpieczycieli i firm z branży fintech:

• Migracja z przewodnikiem do trybu „p=reject”: Przejście od monitorowania do egzekwowania zasad to etap, na którym większość instytucji wstrzymuje się z obawy przed blokowaniem legalnych wiadomości. PowerDMARC automatyzuje egzekwowanie zasad w bezpiecznym środowisku z przewodnikiem, zapewniając stały wgląd w wszystkie kanały poczty elektronicznej.
• Optymalizacja rekordów SPF: Duże instytucje finansowe rutynowo przekraczają limit 10 wyszukiwań DNS po uwzględnieniu wszystkich zewnętrznych dostawców, co stanowi właśnie ten rodzaj „cichej awarii”, która uniemożliwia dostarczanie prawidłowych wiadomości e-mail. PowerSPF automatycznie kompresuje te rekordy, dzięki czemu proces uwierzytelniania nie ulega załamaniu wraz ze wzrostem liczby dostawców.
• Hostowane rozwiązania MTA-STS i TLS-RPT: Jak pokazują powyższe dane krajowe, praktycznie żadna instytucja finansowa na świecie nie wyeliminowała luki w szyfrowaniu na poziomie warstwy transportowej. Hostowane rozwiązanie MTA-STS firmy PowerDMARC wymusza kierowanie poczty przychodzącej do szyfrowanych kanałów bez konieczności ręcznego zarządzania plikami zasad, co powstrzymuje większość zespołów przed podjęciem takich działań.
• Ujednolicenie przepisów: Wymóg 5.4.1 standardu PCI DSS w wersji 4.0.1, oczekiwania wynikające z przepisów FTC Safeguards Rule oraz równoważne ramy regulacyjne na innych rynkach wskazują na ten sam zestaw środków kontroli w zakresie uwierzytelniania wiadomości e-mail i ochrony przed phishingiem. Kompleksowy pakiet rozwiązań PowerDMARC do uwierzytelniania wiadomości e-mail został stworzony z myślą o bezpośrednim wsparciu zgodności z tymi wymogami.
• Analiza zagrożeń służąca do wykrywania ryzyka w sektorze finansowym: Naruszenia bezpieczeństwa u dostawców, takie jak incydent z firmą Marquis Software, pokazują, jak ujawnione dane pojawiają się ponownie kilka miesięcy później w postaci ukierunkowanych ataków phishingowych. Nasza analiza zagrożeń oparta na protokole DMARC wykrywa próby podszywania się związane z Twoją marką, zanim dotrą one do skrzynki odbiorczej klienta.

Sprawdź, jak Twoja instytucja wypada w tej chwili. Przeanalizuj swoją domenę za pomocą bezpłatnego narzędzia Domain Analyzer, aby natychmiast uzyskać informacje na temat aktualnego stanu zabezpieczeń SPF, DMARC i MTA-STS!

Podsumowanie

Sektor usług finansowych nie jest celem ataków phishingowych dlatego, że jest nieostrożny. Jest celem, ponieważ to właśnie tam krążą pieniądze, a także ze względu na rodzaje ataków, z którymi obecnie musi się zmagać, takie jak przynęty generowane przez sztuczną inteligencję, phishing typu „callback” oraz podszywanie się pod dostawców. Techniki te ewoluują szybciej niż systemy obronne większości instytucji. Wysoki poziom wdrożenia standardu DMARC w tym sektorze, przy jednoczesnym niskim wskaźniku jego egzekwowania, stanowi dobry przykład rozbieżności między posiadaniem mechanizmu kontroli a faktycznym wykorzystywaniem go do blokowania zagrożeń.

Najczęściej zadawane pytania

Dlaczego sektor finansowy jest najczęściej celem ataków phishingowych?

Zgodnie z raportem DBIR firmy Verizon z 2025 r. motywem około 90% naruszeń w tej branży jest zysk finansowy, ponieważ skradzione dane uwierzytelniające i udane próby oszustw związanych z przelewami przekładają się bezpośrednio na pieniądze. Instytucje finansowe znajdują się również w centrum legalnych przepływów płatniczych, co daje atakującym wiarygodną przykrywkę dla niemal każdego żądania.

Jaka jest różnica między phishingiem a atakiem typu „business email compromise”?

Phishing to szeroka kategoria obejmująca wszelkie próby nakłonienia kogoś do ujawnienia danych uwierzytelniających lub kliknięcia złośliwego linku. Atak typu „Business Email Compromise” (BEC) to konkretna, zazwyczaj bardziej ukierunkowana forma phishingu, polegająca na podszywaniu się pod zaufaną osobę – często członka kierownictwa lub dostawcę – w celu przekierowania rzeczywistej płatności lub transferu poufnych danych.

Ile kosztują instytucje finansowe ataki phishingowe i BEC?

W raporcie FBI dotyczącym przestępczości internetowej z 2024 r. odnotowano straty związane z oszustwami typu BEC w wysokości 2,77 mld dolarów w ramach 21 442 zgłoszeń tylko w Stanach Zjednoczonych. Firma CybelAngel szacuje natomiast, że średni koszt naruszenia bezpieczeństwa danych w sektorze finansowym wynosi 5,9 mln dolarów na jeden incydent, nie uwzględniając kar regulacyjnych.

Czym jest vishing/phishing typu „callback” i dlaczego ataki te są skierowane właśnie przeciwko bankom?

W przypadku phishingu z oddzwanianiem wykorzystuje się fałszywą wiadomość e-mail lub SMS, aby skłonić ofiarę do zadzwonienia pod podany numer telefonu, gdzie operator namawia ją następnie do podania danych uwierzytelniających lub kodów jednorazowych. Według aktualnych danych dotyczących phishingu z oddzwanianiem najczęściej podszywano się pod marki z branży finansowej, ponieważ fałszywe ostrzeżenie o oszustwie wysłane rzekomo przez bank wywołuje poczucie pilności, które łatwo wykorzystać.

Czy protokół DMARC może powstrzymać ataki phishingowe wymierzone w instytucję finansową?

DMARC uniemożliwia atakującym podszywanie się pod Twoją domenę w wiadomościach e-mail wysyłanych do klientów i partnerów, co eliminuje jeden z głównych wektorów ataków phishingowych. Nie zapobiega to jednak wszystkim atakom phishingowym, w tym tym, w których wykorzystywane są domeny o podobnej nazwie lub które są skierowane bezpośrednio do skrzynek odbiorczych Twoich klientów, dlatego najlepiej sprawdza się jako jeden z elementów szerszego systemu zabezpieczeń.

Jaka jest najskuteczniejsza metoda ochrony przed atakami typu BEC w sektorze usług finansowych?

Weryfikacja wielopersonowa poza kanałem komunikacyjnym w przypadku każdego zlecenia płatności lub wniosku o zmianę danych płatności stanowi środek kontroli, który ma najbardziej bezpośredni wpływ na zapobieganie rzeczywistym stratom wynikającym z ataków typu BEC, ponieważ eliminuje pojedynczy punkt awarii, na którym opiera się socjotechnika wykorzystująca pocztę elektroniczną.

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• Phishing w sektorze usług finansowych: trendy ataków, koszty i środki obrony w 2026 r. – 7 sierpnia 2026 r.
• Najlepsze usługi w zakresie reputacji poczty elektronicznej w 2026 r. – 6 sierpnia 2026 r.
• Bezpieczeństwo faksów: Kompletny przewodnik po ochronie poufnych dokumentów w 2026 roku – 30 lipca 2026 r.