Przykłady vishingu i smishingu: 12 połączeń i SMS-ów, które naprawdę dostają pracownicy

W skrócie: „vishing” to phishing przez telefon lub wiadomość głosową. „Smishing” to phishing przez SMS-y lub aplikacje do czatowania. Oba działają, bo telefon kojarzy się z czymś osobistym: nie ma linku, na który można najechać kursorem, nie ma filtra antyspamowego, a na zastanowienie się jest mało czasu. Poniżej znajdziesz sześć przykładowych rozmów i sześć SMS-ów – każdy z przykładową treścią, opisem metody i sygnałami ostrzegawczymi. Schemat jest zawsze ten sam: ktoś, z kim się nie kontaktowałeś, chce od ciebie kod, dane logowania albo płatność – i to natychmiast.

Nie znasz tych terminów? Zacznij od tego, czym jest vishing i czym jest smishing. Każdy poniższy skrypt to przykład, który sami napisaliśmy, z fikcyjnymi nazwami i symbolami zastępczymi, takimi jak [twój bank].

Dlaczego phishing przez telefon wciąż się rozprzestrzenia

W drugim kwartale 2026 roku organizacja APWG odnotowała wzrost liczby przypadków vishingu o 20%, a smishingu o 40%. Firma CrowdStrike odnotowała wzrost vishingu o 442% między pierwszą a drugą połową 2024 roku. W raporcie Verizon „Data Breach Investigations Report” z 2026 roku mediana wskaźnika kliknięć wyniosła 2% w symulacjach telefonicznych, w porównaniu z 1,4% w przypadku wiadomości e-mail.

12 przykładów w skrócie

6 przykładów vishingu

1. Dział pomocy technicznej IT, który potrzebuje twojego kodu MFA

Co słyszysz: „Tu Daniel z działu pomocy technicznej IT. Zauważyliśmy nieudane próby logowania na twoim koncie. Wysyłam ci kod. Czy możesz go powtórzyć?”

Jak to działa: osoba dzwoniąca zna twoje hasło i potrzebuje drugiego czynnika uwierzytelniającego. W ten sposób 27 sierpnia 2023 r. doszło do włamania do serwisu Retool: jeden kod, odczytany przez sfałszowany głos „informatyka”, pozwolił na otwarcie 27 kont klientów. W 2025 r. firma Google opisała grupę, która dzwoniła do pracowników podając się za wsparcie IT, by uzyskać dostęp do danych Salesforce, i sama padła ofiarą takiego ataku.

Zauważ i zatrzymaj: to połączenie, o które nie prosiłeś. Odłóż słuchawkę i zadzwoń do pomocy technicznej pod numer wewnętrzny.

2. Dział ds. oszustw w banku

Co słyszysz: „Tu dział ds. oszustw w [twoim banku]. Zablokowaliśmy płatność w wysokości 1 950 euro. Pomogę ci przenieść tę kwotę na bezpieczne konto”.

Jak to działa: numer wyświetlany na ekranie jest sfałszowany. Fałszywe centra pomocy technicznej były najczęściej zgłaszanym rodzajem oszustwa przez konsumentów do holenderskiego Fraudehelpdesk w 2025 roku: odnotowano 17 264 zgłoszeń, w porównaniu z 9 492 w 2024 roku.

Zauważ i zatrzymaj: „bezpieczne konto” albo oprogramowanie do zdalnego dostępu. Odłóż słuchawkę i zadzwoń pod numer podany na karcie.

3. Wiadomość głosowa od „prezesa”

Co słyszysz: „Tu Mark. Zaraz wsiadam do samolotu. Dzisiaj finalizujemy przejęcie i musisz zająć się poufną płatnością. Niech to zostanie między nami”.

Jak to działa: Sztuczna inteligencja tworzy klon głosu z webinarium lub podcastu. W lipcu 2024 roku jeden z dyrektorów Ferrari odebrał telefon od osoby podszywającej się pod prezesa Benedetto Vignę, która mówiła o tajnej transakcji – jak podał Bloomberg. Zapytał, jaką książkę Vigna właśnie polecił. Dzwoniący się rozłączył. Zobacz nasze przykłady oszustw związanych z prezesami oraz szkolenie z zakresu świadomości zagrożeń związanych z deepfake’ami.

Zauważ i zatrzymaj: nieznany numer i tajemnica. Zadaj pytanie, na które tylko prawdziwa osoba może odpowiedzieć.

4. Dostawca z nowym kontem bankowym

Co słyszysz: „Tu Sophie z [dostawcy]. Zmieniliśmy bank. Wyślę ci e-mailem nowy numer konta. Czy mógłbyś go zaktualizować przed realizacją płatności w tym miesiącu?”

Jak to działa: dzięki temu telefonowi e-mail z przypomnieniem wygląda na oczekiwany. Twoja kolejna faktura trafia do atakującego, a nikt tego nie zauważa, dopóki nie przyjdzie przypomnienie od dostawcy.

Zauważ i powstrzymaj: dane bankowe zmieniono przez telefon. Zadzwoń do osoby, której dane masz w swoich zapisach, i poproś o zatwierdzenie przez drugą osobę.

5. Rozmowa z pomocą techniczną

Co słyszysz: „Dzwonię z zespołu ds. bezpieczeństwa firmy [nazwa dostawcy oprogramowania]. Twój komputer został zainfekowany. Usiądź przy klawiaturze”.

Jak to działa: otwierasz niewinny plik dziennika systemowego jako „dowód”, a potem instalujesz oprogramowanie do zdalnego dostępu. W ten sposób osoba dzwoniąca ma wgląd w twoje hasła i sieć firmową.

Zauważ i zareaguj: oszuści nie dzwonią do użytkowników w sprawie infekcji. Odłóż słuchawkę i powiadom dział IT.

6. Numer do oddzwonienia w e-mailu z fakturą

To, co czytasz i słyszysz: „Twoja subskrypcja została przedłużona za 389,99 €. To nie ty? Zadzwoń pod numer [numer]”. Przez telefon: „Muszę tylko połączyć się z twoim ekranem, żeby dokonać zwrotu”.

Jak to działa: nie ma linku ani załącznika, więc filtry przepuszczają tę wiadomość. Sam podejmujesz decyzję, co sprawia, że przestajesz być czujny. Więcej o wiadomościach e-mail znajdziesz w naszym przeglądzie rodzajów ataków phishingowych.

Zauważ i zrezygnuj: jedyną opcją jest numer telefonu. Nie dzwoń. Sprawdź stan konta na stronie samego sprzedawcy.

6 przykładów smishingu

7. Przesyłka, której nie udało się dostarczyć

To, co przeczytałeś: „[Przewoźnik]: nie udało się dostarczyć twojej paczki, bo nie uregulowano opłaty za wysyłkę w wysokości 1,45 €. Zapłać w ciągu 24 godzin: [link]”

Jak to działa: wszyscy czekają na paczkę. Ta niewielka opłata to przynęta – strona chce zdobyć dane twojej karty.

Zauważ i zablokuj: opłata po wysyłce, link poza domeną przewoźnika. Śledź przesyłkę w aplikacji przewoźnika.

8. Bank albo aplikacja płatnicza

To, co przeczytałeś: „[Twój bank]: Twoja rejestracja w aplikacji bankowej wygasa dzisiaj. Odnów ją teraz: [link]”

Jak to działa: link otwiera kopię strony logowania. Wykorzystując twoje dane logowania i jeden kod, haker rejestruje swój telefon jako twoją aplikację bankową. Często następuje wtedy przykład nr 2.

Zauważ i zatrzymaj: link w wiadomości od banku. Otwórz aplikację samodzielnie.

9. Urząd skarbowy albo portal rządowy

To, co przeczytałeś: „[Urząd skarbowy]: nie uregulowałeś zadłużenia w wysokości 1 277 euro. Aby uniknąć zajęcia mienia, zapłać jeszcze dzisiaj, korzystając z [linku]”

Jak to działa: strach przed grzywną robi swoje. Niektóre wersje podszywają się pod rządowy system logowania albo obiecują zwrot pieniędzy.

Zauważ i zatrzymaj: groźba i link do płatności w jednej wiadomości. Zaloguj się sam na oficjalnym portalu.

10. „Cześć, mamo, cześć, tato”

Co przeczytałeś: „Cześć mamo, zepsuł mi się telefon, to mój nowy numer. Muszę dzisiaj zapłacić rachunek, a moja aplikacja bankowa jeszcze nie działa”.

Jak to działa: atak jest skierowany do pracowników, którzy są rodzicami, zazwyczaj przez aplikację do czatowania. To ta sama sztuczka, co w przykładzie 12: każdy, kto zna to z domu, rozpoznaje to w pracy.

Zauważ i zatrzymaj się: nowy numer i powód, dla którego nie da się zadzwonić. Zadzwoń na stary numer.

11. Kod MFA albo powiadomienie z konta

To, co przeczytałeś: „[Firma] IT: twoje hasło traci ważność dzisiaj. Zaloguj się, żeby zachować dostęp: [firma]-sso.example”

Jak to działa: w 2022 roku pracownicy Twilio dostali takie SMS-y. Niektórzy z nich zalogowali się, co pozwoliło na uzyskanie dostępu do danych 209 klientów. W Cloudflare 76 pracowników dostało ten SMS, a trzech z nich podało swoje hasło. Atak się nie powiódł, bo Cloudflare korzysta z sprzętowych kluczy bezpieczeństwa.

Zauważ i zablokuj: domena zawierająca nazwę firmy oraz „sso” lub „login”. Skorzystaj z zakładki i zgłoś ten tekst.

12. Szef, który potrzebuje kart podarunkowych

Co przeczytałeś: „Tu Laura, nowy numer. Jestem na spotkaniu. Czy możesz kupić pięć kart podarunkowych po 100 euro dla klienta i przesłać mi kody?”

Jak to działa: kody kart podarunkowych są tak samo ważne jak gotówka i nie można ich cofnąć.

Zauważ i zatrzymaj: nowy numer, poufność, karty podarunkowe. Zadzwoń do swojego przełożonego albo podejdź do niego.

Smishing a vishing a phishing

Ta odmiana ataku z wykorzystaniem kodów QR nazywa się „quishing”.

Jak zweryfikować dzwoniącego

1. Nie stresuj się. Powiedz, że oddzwonisz.
2. Oddzwon na numer, który już znasz. Identyfikacja dzwoniącego nic nie dowodzi: numery można sfałszować.
3. Nigdy nie podawaj kodu, hasła ani nie udzielaj zdalnego dostępu osobie, która się z tobą skontaktowała.
4. Wyznacz drugą osobę do spraw finansów. Każda zmiana na koncie bankowym musi zostać zatwierdzona przez kolegę.

Twoje własne centrum obsługi klienta musi działać według tych samych zasad, bo atakujący też dzwonią. W 2023 roku sprawcy ataku na MGM Resorts twierdzili, że zadzwonili do działu pomocy technicznej, podając się za pracownika znalezionego na LinkedIn; MGM oszacowało straty na około 100 milionów dolarów. Do firmy Marks & Spencer włamano się w kwietniu 2025 roku poprzez „wyrafinowane podszywanie się” pod użytkownika zewnętrznego – poinformował posłów prezes Archie Norman – a szacowane straty wyniosły około 300 milionów funtów. W lutym 2026 roku nowojorski organ nadzoru finansowego ostrzegł przed osobami dzwoniącymi podającymi się za pracowników pomocy technicznej IT, a w kwietniu 2026 roku firma ADT potwierdziła naruszenie, które według atakujących zaczęło się od połączenia typu vishing. Zasada, której nikt nie ćwiczył, nie wytrzyma naporu pewnego siebie rozmówcy. Po to właśnie są szkolenia.

Jak firmy symulują ataki typu vishing i smishing

Większość firm sprawdza tylko e-maile i nic więcej. Te, które idą o krok dalej, wysyłają testowe SMS-y na służbowe telefony i wykonują zaplanowane rozmowy do działu pomocy technicznej, księgowości i kadr. Trzy zasady zapewniają sprawiedliwość: ogłoś program, nigdy nikogo nie karaj i uwzględniaj zarówno zgłoszenia, jak i niepowodzenia. Guardey dodaje symulacje phishingu oraz cotygodniowe wyzwanie z rywalizacją między zespołami, dzięki czemu pracownicy ćwiczą między testami.

Często zadawane pytania

Jaka jest różnica między smishingiem a vishingiem?

Kanał. Smishing to SMS-y albo wiadomości na czacie. Vishing to rozmowa telefoniczna albo wiadomość głosowa. Cel jest ten sam: twój kod, twoje dane logowania albo twoje pieniądze.

Jaki jest przykład vishingu?

Dzwoni ktoś z „IT” i prosi cię o odczytanie kodu, który właśnie przyszedł na twój telefon. Przykłady od 1 do 6 to vishing, a od 7 do 12 – smishing.

Czy mogę ufać numerowi dzwoniącego albo nazwie nadawcy SMS-a?

Nie. Oba można sfałszować. Sprawdź to za pomocą kanału, który sam wybierzesz.

Co mam zrobić, jeśli podałem kod albo zapłaciłem?

Powiedz o tym natychmiast i zmień hasło. Jeśli dokonałeś płatności, zadzwoń do banku pod oficjalny numer. Zgłoś też wiadomości, które tylko otrzymałeś.