--- id: CP-002 slug: spear-phishing-celowane-e-maile-osint lang: pl title: "Spear-phishing: atak na konkretną osobę" description: Spear-phishing to e-mail przygotowany na podstawie publicznych informacji o odbiorcy i jego firmie. Jak go rozpoznać. canonical_url: https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Spear-phishing: atak na konkretną osobę”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ it: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ nl: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ pt: https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spear-phishing: atak na konkretną osobę Spear-phishing, czyli tzw. harpunowanie, to zainfekowany e-mail wysłany do konkretnej osoby, firmy lub branży, a nie rozsyłany losowo do milionów skrzynek [1][2]. Atakujący wykorzystuje to, co wie o Państwu lub o Państwa firmie, aby wiadomość była bardziej przekonująca i wiarygodna [2]. Taka wiadomość może wymieniać Państwa stanowisko, prawdziwego dostawcę lub współpracownika. Nie przypomina więc masowych e-maili, które uczy się rozpoznawać. ## W 30 sekund - Gdzie to się zdarza: w firmowej poczcie, ale także w mediach społecznościowych [1][2]. - Czego chce atakujący: najczęściej uruchomienia złośliwego kodu na Państwa komputerze [1] albo zdobycia hasła, danych lub płatności [2]. - Odruch: każdą nietypową prośbę (o płatność, hasło, plik) należy potwierdzić innym kanałem niż e-mail, na przykład telefonicznie lub w rozmowie osobistej [2]. - Jeśli już się stało: od razu poinformować właściwe osoby w organizacji, także po kliknięciu. Pracownik, który obawia się wyrzutów, zgłasza problem później [2]. ## Pytania wprost ### Czym spear-phishing różni się od zwykłego phishingu? Wyborem celu. MITRE opisuje spear-phishing jako odmianę, w której atak jest wymierzony w konkretną osobę, firmę lub branżę, w odróżnieniu od niecelowanych kampanii złośliwego spamu [1]. Brytyjskie NCSC wyjaśnia, że atakujący posługuje się informacjami o pracownikach lub o firmie [2]. ### Skąd atakujący mnie zna? Czyta to, co jest publiczne. Według NCSC wykorzystuje informacje swobodnie dostępne na stronie firmy i w mediach społecznościowych („ślad cyfrowy”), aby jego wiadomości były bardziej przekonujące [2]. NCSC dodaje, że partnerzy, podwykonawcy i dostawcy również mogą ujawniać w sieci informacje o organizacji [2]. ### Dlaczego trudniej to rozpoznać? Typowe oznaki phishingu to ogólnikowe zwroty grzecznościowe, takie jak „Dear Valued Customer”, podpis bez danych kontaktowych, błędy ortograficzne lub niespójny układ wiadomości [3]. Wiadomość napisana specjalnie dla Państwa może tego uniknąć. NCSC pisze, że rozpoznanie wszystkich e-maili phishingowych jest trudne, a ataki spear-phishingowe są jeszcze trudniejsze do wykrycia [2]. ### Czy w pierwszej kolejności atakowani są członkowie kierownictwa? Stanowią oni osobną grupę celów. NCSC nazywa „whaling” odmianę spear-phishingu wymierzoną w „big phish”, na przykład członka zarządu mającego dostęp do cennych zasobów [2]. Wśród interesujących profili wymienia też osoby uprawnione do dostępu do informacji wrażliwych, zarządzania środkami finansowymi lub administrowania systemami informatycznymi [2]. ### Co zrobić, jeśli kliknąłem(-ęłam) lub odpowiedziałem(-am)? CISA radzi zgłosić sytuację właściwym osobom w organizacji, w tym administratorom sieci, którzy będą mogli monitorować wszelką nietypową aktywność. Trzeba też niezwłocznie zmienić ujawnione hasła, a także hasła do innych kont, jeśli używano na nich tego samego hasła [3]. ## W skórze atakującego MITRE zalicza ten etap do rozpoznania: phishing w celu zdobycia informacji ma skłonić do ujawnienia danych logowania lub innych danych możliwych do wykorzystania, a nie do uruchomienia złośliwego kodu [4]. Atakujący może także prowadzić korespondencję bezpośrednio przez e-mail lub komunikator, podając się za źródło, które ma powód, by o coś prosić, lub wysyłając kilka wiadomości sprawiających wrażenie pilnych [4]. MITRE podaje przykłady grup. Kimsuky wysyłał dopasowane e-maile, aby zebrać informacje o ofiarach, w tym listy kontaktów służące do wskazywania kolejnych celów [4]. ZIRCONIUM obrał za cel współpracowników kampanii prezydenckiej, wysyłając e-maile wyłudzające dane logowania [4]. Scattered Spider połączył phishing danych logowania z inżynierią społeczną, aby przechwycić kody jednorazowe (OTP) [4]. NCSC opisuje, co atakujący może wykorzystać w wewnętrznym funkcjonowaniu firmy: jeśli metody pracy są znane (na przykład sposób dokonywania płatności), może je naśladować, aby zdobyć hasło lub nieautoryzowaną płatność [2]. ## Co widać na ekranie Źródła przywołane tutaj opisują kilka form. W przypadku załącznika atakujący dołącza plik do e-maila i zazwyczaj liczy na to, że użytkownik go uruchomi, podając się za zaufane źródło [5]. Grupa APT28 wysyłała e-maile ze złośliwymi załącznikami Microsoft Office i RAR [8]. W przypadku linku atakujący omija zabezpieczenia, które sprawdzają załączniki [6]. Linki mogą wyglądać niewinnie, ale naśladować prawdziwą stronę dzięki znakom specjalnym (atak zwany „IDN homograph”) albo ukrywać swój adres, wykorzystując osobliwości składni adresów URL [6]. Link może też prosić o autoryzację OAuth 2.0: jeśli użytkownik się zgodzi, złośliwa aplikacja uzyskuje prawa dostępu do konta i może działać w imieniu użytkownika [6]. Przez usługę zewnętrzną wiadomość trafia poza firmową skrzynkę: do mediów społecznościowych lub prywatnej poczty internetowej. MITRE zauważa, że usługi te częściej mają mniej rygorystyczną politykę bezpieczeństwa niż firma [7]. Atakujący zakłada fałszywe konta i proponuje na przykład ofertę pracy [7]. Daje mu to wiarygodny powód, by zadawać pytania o używane oprogramowanie [7]. Może też zdobyć zaufanie celu, a następnie wysłać plik na prywatną skrzynkę, którą cel sprawdza na komputerze służbowym [7]. Taki plik omija wtedy ograniczenia konta służbowego [7]. Inne warianty: atakujący włącza się do istniejącego wątku dyskusji („thread hijacking”) [1] albo wiadomość nakłania do zadzwonienia pod numer, gdzie ofiara jest kierowana do złośliwego adresu URL, złośliwego oprogramowania lub narzędzia do zdalnej administracji [1]. CISA wskazuje także adresy nadawców przypominające adresy znanej firmy dzięki zmianie lub pominięciu kilku znaków oraz linki, w których wyświetlany tekst nie odpowiada miejscu docelowemu widocznemu po najechaniu kursorem [3]. Zneutralizowana ilustracja, bez prawdziwego linku: ```text Od: [imię znanego współpracownika lub dostawcy] Temat: [wspomina prawdziwy projekt Państwa działu] Treść: [prośba o przejrzenie dokumentu; parafraza] Link: hxxps://logowanie-firma[.]invalid/[podrobiona strona logowania] ``` ## Pod maską Podszywanie się pod nadawcę: atakujący może sfałszować tożsamość nadawcy, aby oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa [1]. Wymienione środki zaradcze to SPF (ważność domeny nadawcy), DKIM (integralność wiadomości) oraz DMARC, który pozwala organizacji egzekwować te kontrole [1]. NCSC dodaje, że DMARC uniemożliwia phisherom podszywanie się pod domenę organizacji, a jej prawdziwe e-maile mają większą szansę trafić do skrzynek odbiorczych [2]. Domena łudząco podobna: źródła mówią o adresach zbliżonych do oryginału (zmienione lub pominięte znaki) [3] oraz o znakach specjalnych naśladujących prawdziwą stronę [6]. Adres, który na pierwszy rzut oka wygląda poprawnie, może więc być fałszywy. Zbieranie danych: zainfekowana strona służy do przejmowania danych logowania, a załącznik lub link do zainstalowania kodu [1][4]. Podczas testu zespół oceniający CISA i NSA dostał się przez phishing na konto użytkownika końcowego z uprawnieniami administratora i przejął domenę w czasie krótszym niż jeden dzień roboczy [9]. Obejście uwierzytelniania dwuskładnikowego: w innym teście zespół znał dane logowania użytkownika, ale uwierzytelnianie wieloskładnikowe blokowało jego logowania. Zespół podał się za pomoc techniczną IT i uzyskał kod przez telefon [9]. Niektóre formy uwierzytelniania wieloskładnikowego są podatne na phishing i na „push bombing” [9]. ## Analizy incydentów ### 2016: Krajowy Komitet Demokratów w USA APT28 miała w 2016 roku włamać się do kampanii Hillary Clinton, Krajowego Komitetu Demokratów (DNC) i Komitetu Kampanii Demokratów do Kongresu (DCCC), próbując wpłynąć na amerykańskie wybory prezydenckie [8]. Według MITRE grupa użyła danych logowania wykradzionych za pomocą e-maila spear-phishingowego, aby zalogować się do sieci DCCC, a następnie dzięki temu dostępowi przejęła sieć DNC [8]. ### Luty 2024: dostęp grupy APT29 do chmury Komunikat opublikowany 26 lutego 2024 roku przez brytyjskie NCSC i jego partnerów opisuje metody grupy APT29, ocenianej jako niemal na pewno część rosyjskiej SVR [10]. Komunikat nie dotyczy samego spear-phishingu, lecz kolejnego etapu, gdy hasło jest już znane: opisuje obejście uwierzytelniania wieloskładnikowego metodą „MFA bombing” lub „MFA fatigue”, w której napastnik wielokrotnie wysyła prośby, aż ofiara się zgodzi [10]. Zaleca ograniczenie czasu trwania sesji i dopuszczanie do rejestracji wyłącznie autoryzowanych urządzeń [10]. ## Źródła 1. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026) 2. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) 3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/001/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/003/ (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0007/ (dostęp 3 listopada 2026) 9. CISA, „NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA”, 5 października 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (dostęp 3 listopada 2026) 10. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 lutego 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.