--- id: CP-008 slug: vishing-oszustwo-telefoniczne-podszywanie lang: pl title: Vishing, oszustwo przez telefon description: "Fałszywy pracownik wsparcia IT lub bankier dzwoni do Pana/Pani, a na ekranie widnieje znajomy numer: jak rozpoznać vishing i jak reagować." canonical_url: https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Vishing, oszustwo przez telefon”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/ fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ it: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ nl: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ pt: https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Vishing, oszustwo przez telefon Vishing (voice phishing) to phishing prowadzony głosem. Atakujący dzwoni, podając się za osobę godną zaufania, aby uzyskać od ofiary informację lub skłonić ją do określonego działania. CISA opisuje go jako podejście z zakresu socjotechniki, które opiera się na komunikacji głosowej [1]. Dla pracownika typowy scenariusz to telefon od osoby, która podaje się za prawdziwego pracownika działu IT [3]. ## W 30 sekund - Gdzie to się zdarza: przez telefon, czasem równocześnie z SMS-em, zarówno wśród pracowników, jak i w pomocy technicznej IT [4]. - Czego chce atakujący: hasła, kodu uwierzytelniającego albo zainstalowania narzędzia, które da mu kontrolę nad komputerem [3][4]. - Odruch: sprawdzić tożsamość dzwoniącego w organizacji, którą rzekomo reprezentuje [1]. - Jeśli już do tego doszło: natychmiast powiadomić osoby odpowiedzialne w organizacji, w tym administratorów sieci, i zmienić ujawnione hasła [1]. ## Pytania wprost ### Czy numer wyświetlony na ekranie dowodzi, kto dzwoni? Nie. Oszuści mogą sfałszować swój numer, podszywając się pod zaufany podmiot, na przykład partnera biznesowego lub wsparcie techniczne [2]. CISA wyjaśnia, że telefonia internetowa (VoIP) pozwala łatwo sfałszować tożsamość dzwoniącego i że wykorzystuje to nieuzasadnione zaufanie do bezpieczeństwa usług telefonicznych [1]. ### Pod kogo podszywa się atakujący? Cytowane tu źródła wymieniają partnera biznesowego, członka wsparcia technicznego [2], prawdziwego pracownika działu IT [3] oraz, w niektórych przypadkach, pracownika, który dzwoni do pomocy technicznej zamiast prawdziwego właściciela konta [4]. Microsoft opisuje też atakujących, którzy podają się za nowo zatrudnionych pracowników [6]. ### Co chce uzyskać? Według MITRE może nakłonić ofiarę do otwarcia złośliwego adresu, pobrania złośliwego oprogramowania lub zainstalowania narzędzi do zdalnego zarządzania, z których potem skorzysta atakujący [3]. Może też próbować zdobyć dane uwierzytelniające do uwierzytelniania wieloskładnikowego albo doprowadzić do zatwierdzenia żądań uwierzytelnienia [3]. Jedna z grup opisanych przez CISA przekonała pracowników, by przekazali jej swoje hasło jednorazowe (OTP), czyli kod uwierzytelniający [4]. ### Czy należy zachować ostrożność wobec telefonów po otrzymaniu wiadomości? Tak. Wiadomość phishingowa może prosić o oddzwonienie pod wskazany numer: MITRE używa określenia „callback phishing” i podaje, że atakujący próbuje wówczas zebrać poufne informacje [2]. ### Co zrobić w razie podejrzanego telefonu? CISA radzi zachować ostrożność wobec niezamówionych telefonów od osób, które pytają o pracowników lub o informacje wewnętrzne, oraz sprawdzić tożsamość dzwoniącego bezpośrednio w organizacji, którą rzekomo reprezentuje [1]. Dodaje, by nie podawać informacji osobistych ani dotyczących organizacji, chyba że ma się pewność, że dana osoba ma prawo je uzyskać [1]. ## W skórze atakującego Zaczyna od zdobycia informacji. W komunikacie CISA o grupie Scattered Spider atakujący szuka najpierw na portalach zawodowych roli, jaką wybrana osoba pełni w firmie [4]. Następnie zbiera nazwy użytkowników, hasła i dane osobowe [4]. Jego telefony, często kilka pod rząd, służą najpierw do poznania procedury resetowania hasła, a potem do zebrania informacji dotyczących konkretnego pracownika [4]. Te rozmowy opierają się na danych osobowych pochodzących z mediów społecznościowych, ze źródeł otwartych, z komercyjnych narzędzi wywiadowczych i z wycieków baz danych [4]. Microsoft opisuje tę samą metodę: napastnik bada organizację, naśladuje ton i słownictwo osoby, pod którą się podszywa, i zna wystarczająco dużo danych osobowych, by przekonać administratora do zresetowania hasła lub metody uwierzytelniania [6]. Ten napastnik zwykle obiera za cel administratorów technicznych, takich jak pracownicy wsparcia i help desku [6]. Atakujący nie musi sam dzwonić. Według MITRE telefony mogą wykonywać sam atakujący, call center wynajęte na tę okazję albo zautomatyzowane nagrania [2]. W rzadkich przypadkach Microsoft widział, jak atakujący uciekali się do zastraszania, podając adres domowy, imiona bliskich i grożąc przemocą fizyczną [6]. ## Co widać na ekranie Widzi Pan/Pani numer, który wydaje się znajomy, albo nazwę, która wydaje się znajoma. Pośpiech lub alarm należą do scenariusza: MITRE zauważa, że atakujący przedstawia się jako zaufane źródło i wywołuje poczucie pilności [3]. Dalszy ciąg bywa różny. Rozmówca może poprosić o jednorazowy kod uwierzytelniający (OTP) [4]. Może też poprosić o zatwierdzenie powiadomienia uwierzytelniającego na telefonie: CISA opisuje powiadomienia wysyłane wielokrotnie, aż pracownik naciśnie „Akceptuj” (zmęczenie MFA) [4]. Innym razem prowadzi do fałszywego portalu logowania albo prosi o uruchomienie narzędzia do zdalnego przejęcia kontroli [5][4]. SMS może zawierać odnośnik do fałszywego portalu, który imituje uwierzytelnianie w firmie [6]. ## Pod maską Narzędzia do zdalnego przejęcia kontroli to legalne oprogramowanie. Microsoft zauważa, że narzędzia do zdalnej administracji, wykorzystane niezgodnie z przeznaczeniem przez opisywanego napastnika, mają normalne zastosowania i że ich użycie trzeba monitorować w środowisku [6]. MITRE podaje przykłady, takie jak AnyDesk [8]. MITRE wyjaśnia, że takie narzędzia można zainstalować, a po przejęciu systemu użyć do nawiązania interaktywnej sesji zdalnego pulpitu [8]. Inny mechanizm to przejęcie samego numeru. CISA podaje, że Scattered Spider przekonał operatorów telefonii do przeniesienia numeru użytkownika na kartę SIM będącą w jego posiadaniu (SIM swap), co daje kontrolę nad telefonem i żądaniami uwierzytelnienia [4]. Microsoft opisuje też ustawienie przekierowania połączeń na numer pracownika, po którym następuje samodzielny reset hasła [6]. Po stronie obrony MITRE proponuje monitorowanie wykazów połączeń urządzeń służbowych i zestawianie ich ze zdarzeniami następującymi po rozmowie, takimi jak instalacja narzędzia do zdalnego zarządzania [3]. CISA zaleca uwierzytelnianie wieloskładnikowe odporne na phishing we wszystkich usługach, w miarę możliwości, oraz dalsze szkolenia dotyczące vishingu [4]. ## Analizy incydentów ### Scattered Spider, od czerwca do grudnia 2022 roku MITRE wiąże z kampanią C0027, trwającą od czerwca do grudnia 2022 roku, telefony i SMS-y, w których atakujący podawał się za pracownika działu IT [5]. Ofiary kierowano na stronę wyłudzającą dane logowania albo nakłaniano do uruchomienia komercyjnych narzędzi do zdalnego zarządzania [5]. Po wejściu do środka grupa przeszukiwała zasoby dokumentacji ofiar w poszukiwaniu instrukcji wsparcia oraz przewodników rejestracji w VPN i w uwierzytelnianiu wieloskładnikowym [5]. ### Octo Tempest, 2022 i 2023 rok Microsoft opisuje we wpisie z 25 października 2023 roku grupę zaobserwowaną na początku 2022 roku, która celowała najpierw w operatorów telefonii komórkowej i firmy outsourcingowe, aby wywołać przeniesienia numerów [6]. W 2022 roku odsprzedawała SIM swapy innym przestępcom i przejmowała konta zamożnych osób, by kraść ich kryptowaluty [6]. Microsoft zauważa, że dzwoniła też do pomocy technicznej organizacji, by uzyskać reset hasła lub dodanie czynnika uwierzytelniania [6]. ### Aktualizacja komunikatu CISA, lipiec 2025 roku Komunikat AA23-320A, opublikowany 16 listopada 2023 roku, został zaktualizowany 29 lipca 2025 roku o bardziej rozbudowane techniki socjotechniczne [4]. Jedna z nich polega na podszyciu się pod pracownika, by uzyskać od wsparcia informacje wrażliwe, reset hasła i przeniesienie uwierzytelniania wieloskładnikowego na urządzenie kontrolowane przez atakującego [4]. ## Co Pan/Pani robi Proszę sprawdzić tożsamość dzwoniącego bezpośrednio w organizacji, którą rzekomo reprezentuje [1]. W przypadku prośby otrzymanej e-mailem CISA zaleca, by nie korzystać z danych kontaktowych ze strony powiązanej z prośbą, lecz poszukać ich we wcześniejszej korespondencji [1]. NCSC radzi potwierdzić ważną prośbę otrzymaną e-mailem drugim kanałem komunikacji, na przykład telefonem lub osobiście [7]. CISA opisuje grupę, która uzyskała od pracowników hasła jednorazowe [4]. Jeśli już doszło do ujawnienia, proszę bez zwłoki zgłosić to osobom odpowiedzialnym w organizacji: będą mogły monitorować nietypową aktywność [1]. ## Źródła 1. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/004/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (dostęp 3 listopada 2026) 4. CISA, „Scattered Spider | CISA”, 16 listopada 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (dostęp 3 listopada 2026) 6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog”, 25 października 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (dostęp 3 listopada 2026) 7. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1219/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/vishing-oszustwo-telefoniczne-podszywanie/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.