Cyberpediaod Brain
PLDEENESFRITNLPT

Spear-phishing: atak na konkretną osobę

Spear-phishing to e-mail przygotowany na podstawie publicznych informacji o odbiorcy i jego firmie. Jak go rozpoznać.

W 30 sekund

Gdzie to się zdarza
W firmowej poczcie, ale także w mediach społecznościowych12.
Czego chce atakujący
Najczęściej uruchomienia złośliwego kodu na Państwa komputerze1 albo zdobycia hasła, danych lub płatności2.
Odruch
Każdą nietypową prośbę (o płatność, hasło, plik) należy potwierdzić innym kanałem niż e-mail, na przykład telefonicznie lub w rozmowie osobistej2.
Jeśli już się stało
Od razu poinformować właściwe osoby w organizacji, także po kliknięciu. Pracownik, który obawia się wyrzutów, zgłasza problem później2.

O co chodzi

Spear-phishing, czyli tzw. harpunowanie, to zainfekowany e-mail wysłany do konkretnej osoby, firmy lub branży, a nie rozsyłany losowo do milionów skrzynek12. Atakujący wykorzystuje to, co wie o Państwu lub o Państwa firmie, aby wiadomość była bardziej przekonująca i wiarygodna2.

Taka wiadomość może wymieniać Państwa stanowisko, prawdziwego dostawcę lub współpracownika. Nie przypomina więc masowych e-maili, które uczy się rozpoznawać.

Pytania wprost

Czym spear-phishing różni się od zwykłego phishingu?

Wyborem celu. MITRE opisuje spear-phishing jako odmianę, w której atak jest wymierzony w konkretną osobę, firmę lub branżę, w odróżnieniu od niecelowanych kampanii złośliwego spamu1. Brytyjskie NCSC wyjaśnia, że atakujący posługuje się informacjami o pracownikach lub o firmie2.

Skąd atakujący mnie zna?

Czyta to, co jest publiczne. Według NCSC wykorzystuje informacje swobodnie dostępne na stronie firmy i w mediach społecznościowych („ślad cyfrowy”), aby jego wiadomości były bardziej przekonujące2. NCSC dodaje, że partnerzy, podwykonawcy i dostawcy również mogą ujawniać w sieci informacje o organizacji2.

Dlaczego trudniej to rozpoznać?

Typowe oznaki phishingu to ogólnikowe zwroty grzecznościowe, takie jak „Dear Valued Customer”, podpis bez danych kontaktowych, błędy ortograficzne lub niespójny układ wiadomości3. Wiadomość napisana specjalnie dla Państwa może tego uniknąć. NCSC pisze, że rozpoznanie wszystkich e-maili phishingowych jest trudne, a ataki spear-phishingowe są jeszcze trudniejsze do wykrycia2.

Czy w pierwszej kolejności atakowani są członkowie kierownictwa?

Stanowią oni osobną grupę celów. NCSC nazywa „whaling” odmianę spear-phishingu wymierzoną w „big phish”, na przykład członka zarządu mającego dostęp do cennych zasobów2. Wśród interesujących profili wymienia też osoby uprawnione do dostępu do informacji wrażliwych, zarządzania środkami finansowymi lub administrowania systemami informatycznymi2.

Co zrobić, jeśli kliknąłem(-ęłam) lub odpowiedziałem(-am)?

CISA radzi zgłosić sytuację właściwym osobom w organizacji, w tym administratorom sieci, którzy będą mogli monitorować wszelką nietypową aktywność. Trzeba też niezwłocznie zmienić ujawnione hasła, a także hasła do innych kont, jeśli używano na nich tego samego hasła3.

1W skórze atakującego1 min

MITRE zalicza ten etap do rozpoznania: phishing w celu zdobycia informacji ma skłonić do ujawnienia danych logowania lub innych danych możliwych do wykorzystania, a nie do uruchomienia złośliwego kodu4. Atakujący może także prowadzić korespondencję bezpośrednio przez e-mail lub komunikator, podając się za źródło, które ma powód, by o coś prosić, lub wysyłając kilka wiadomości sprawiających wrażenie pilnych4.

MITRE podaje przykłady grup. Kimsuky wysyłał dopasowane e-maile, aby zebrać informacje o ofiarach, w tym listy kontaktów służące do wskazywania kolejnych celów4. ZIRCONIUM obrał za cel współpracowników kampanii prezydenckiej, wysyłając e-maile wyłudzające dane logowania4. Scattered Spider połączył phishing danych logowania z inżynierią społeczną, aby przechwycić kody jednorazowe (OTP)4.

NCSC opisuje, co atakujący może wykorzystać w wewnętrznym funkcjonowaniu firmy: jeśli metody pracy są znane (na przykład sposób dokonywania płatności), może je naśladować, aby zdobyć hasło lub nieautoryzowaną płatność2.

2Co widać na ekranie2 min

Źródła przywołane tutaj opisują kilka form.

W przypadku załącznika atakujący dołącza plik do e-maila i zazwyczaj liczy na to, że użytkownik go uruchomi, podając się za zaufane źródło5. Grupa APT28 wysyłała e-maile ze złośliwymi załącznikami Microsoft Office i RAR8.

W przypadku linku atakujący omija zabezpieczenia, które sprawdzają załączniki6. Linki mogą wyglądać niewinnie, ale naśladować prawdziwą stronę dzięki znakom specjalnym (atak zwany „IDN homograph”) albo ukrywać swój adres, wykorzystując osobliwości składni adresów URL6. Link może też prosić o autoryzację OAuth 2.0: jeśli użytkownik się zgodzi, złośliwa aplikacja uzyskuje prawa dostępu do konta i może działać w imieniu użytkownika6.

Przez usługę zewnętrzną wiadomość trafia poza firmową skrzynkę: do mediów społecznościowych lub prywatnej poczty internetowej. MITRE zauważa, że usługi te częściej mają mniej rygorystyczną politykę bezpieczeństwa niż firma7. Atakujący zakłada fałszywe konta i proponuje na przykład ofertę pracy7. Daje mu to wiarygodny powód, by zadawać pytania o używane oprogramowanie7. Może też zdobyć zaufanie celu, a następnie wysłać plik na prywatną skrzynkę, którą cel sprawdza na komputerze służbowym7. Taki plik omija wtedy ograniczenia konta służbowego7.

Inne warianty: atakujący włącza się do istniejącego wątku dyskusji („thread hijacking”)1 albo wiadomość nakłania do zadzwonienia pod numer, gdzie ofiara jest kierowana do złośliwego adresu URL, złośliwego oprogramowania lub narzędzia do zdalnej administracji1. CISA wskazuje także adresy nadawców przypominające adresy znanej firmy dzięki zmianie lub pominięciu kilku znaków oraz linki, w których wyświetlany tekst nie odpowiada miejscu docelowemu widocznemu po najechaniu kursorem3.

Zneutralizowana ilustracja, bez prawdziwego linku:

Fragment
Od: [imię znanego współpracownika lub dostawcy] <nazwa@firma-przyklad[.]invalid>
Temat: [wspomina prawdziwy projekt Państwa działu]
Treść: [prośba o przejrzenie dokumentu; parafraza]
Link: hxxps://logowanie-firma[.]invalid/[podrobiona strona logowania]
3Pod maskąZespoły IT1 min

Podszywanie się pod nadawcę: atakujący może sfałszować tożsamość nadawcy, aby oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa1. Wymienione środki zaradcze to SPF (ważność domeny nadawcy), DKIM (integralność wiadomości) oraz DMARC, który pozwala organizacji egzekwować te kontrole1. NCSC dodaje, że DMARC uniemożliwia phisherom podszywanie się pod domenę organizacji, a jej prawdziwe e-maile mają większą szansę trafić do skrzynek odbiorczych2.

Domena łudząco podobna: źródła mówią o adresach zbliżonych do oryginału (zmienione lub pominięte znaki)3 oraz o znakach specjalnych naśladujących prawdziwą stronę6. Adres, który na pierwszy rzut oka wygląda poprawnie, może więc być fałszywy.

Zbieranie danych: zainfekowana strona służy do przejmowania danych logowania, a załącznik lub link do zainstalowania kodu14. Podczas testu zespół oceniający CISA i NSA dostał się przez phishing na konto użytkownika końcowego z uprawnieniami administratora i przejął domenę w czasie krótszym niż jeden dzień roboczy9.

Obejście uwierzytelniania dwuskładnikowego: w innym teście zespół znał dane logowania użytkownika, ale uwierzytelnianie wieloskładnikowe blokowało jego logowania. Zespół podał się za pomoc techniczną IT i uzyskał kod przez telefon9. Niektóre formy uwierzytelniania wieloskładnikowego są podatne na phishing i na „push bombing”9.

4Analizy incydentówPrawdziwe przypadki1 min

2016: Krajowy Komitet Demokratów w USA

APT28 miała w 2016 roku włamać się do kampanii Hillary Clinton, Krajowego Komitetu Demokratów (DNC) i Komitetu Kampanii Demokratów do Kongresu (DCCC), próbując wpłynąć na amerykańskie wybory prezydenckie8. Według MITRE grupa użyła danych logowania wykradzionych za pomocą e-maila spear-phishingowego, aby zalogować się do sieci DCCC, a następnie dzięki temu dostępowi przejęła sieć DNC8.

Luty 2024: dostęp grupy APT29 do chmury

Komunikat opublikowany 26 lutego 2024 roku przez brytyjskie NCSC i jego partnerów opisuje metody grupy APT29, ocenianej jako niemal na pewno część rosyjskiej SVR10. Komunikat nie dotyczy samego spear-phishingu, lecz kolejnego etapu, gdy hasło jest już znane: opisuje obejście uwierzytelniania wieloskładnikowego metodą „MFA bombing” lub „MFA fatigue”, w której napastnik wielokrotnie wysyła prośby, aż ofiara się zgodzi10. Zaleca ograniczenie czasu trwania sesji i dopuszczanie do rejestracji wyłącznie autoryzowanych urządzeń10.

Karta

Identyfikator
CP-002
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-002
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 10
ŹródłaŹródła: 10
  1. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026)
  2. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)
  3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/001/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/002/ (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/003/ (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0007/ (dostęp 3 listopada 2026)
  9. CISA, „NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA”, 5 października 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (dostęp 3 listopada 2026)
  10. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA”, 26 lutego 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Spear-phishing: atak na konkretną osobę”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/

BibTeX 
@misc{brain_cp002_pl_2026,
  author = {Brain},
  title = {Spear-phishing: atak na konkretną osobę},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/spear-phishing-celowane-e-maile-osint/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0