Phishing w szkole: jak rozpoznać fałszywy e-mail lub fakturę?

Fałszywy e-mail lub fakturę zdradza zwykle kilka sygnałów: adres nadawcy z obcą domeną, link prowadzący na inną stronę, niż sugeruje treść, presja czasu i nietypowa prośba — o hasło, kod albo przelew. W szkole obowiązuje jedna zasada: zatrzymaj się, sprawdź innym kanałem, zgłoś. Każdą zmianę numeru konta dostawcy potwierdza się telefonicznie, pod numerem z umowy albo wcześniejszej korespondencji.

Dlaczego szkoła dostaje tyle fałszywych wiadomości

Większość ataków nie jest wymierzona w konkretną szkołę. Przestępcy wysyłają tysiące wiadomości naraz i czekają, aż ktoś kliknie. Szkoła jest dla nich wygodnym celem: przetwarza dane uczniów, rodziców i pracowników, ma wiele osób z dostępem do poczty i dziennika elektronicznego, a do tego płaci faktury. Nauczyciele, rodzice i dyrekcja często kontaktują się tylko mailowo i przez komunikatory, więc podszyć się pod kogoś, kogo nie widziało się na żywo, jest łatwiej.

Phishing to wiadomość, która udaje kogoś zaufanego, żeby skłonić do kliknięcia linku, otwarcia załącznika, podania hasła albo zrobienia przelewu. Przychodzi mailem, SMS-em, telefonem i przez komunikatory. Typowe przykłady ze szkół:

• mail „od dyrektora” z prośbą o pilny zakup kart podarunkowych albo przelew,
• faktura od „stałego dostawcy” z nowym numerem konta,
• wiadomość „od rodzica” z załącznikiem „zwolnienie lekarskie.zip”,
• fałszywa strona logowania do dziennika elektronicznego albo poczty,
• SMS o niedopłacie za przesyłkę lub prąd z linkiem do płatności.

Pięć rzeczy, które sprawdzasz w każdej podejrzanej wiadomości

1. 1Adres nadawcy, nie nazwa. Podpis „Dyrekcja Szkoły” może stać przed dowolnym adresem. Liczy się domena po znaku

@: przykladowa-szkola.pl i przykladowa-szkola-pl.com to dwie różne domeny (przy końcówkach typu .edu.pl czy .com.pl liczy się człon tuż przed nimi).

1. 1Link przed kliknięciem. Najedź kursorem (na telefonie przytrzymaj palec) i przeczytaj adres. Liczy się to, co

stoi tuż przed pierwszym ukośnikiem po „https://”. W adresie dziennik.przykladowa-szkola.pl.logowanie24.com/ właściwą domeną jest logowanie24.com, a nie strona szkoły.

1. 1Prośba. Hasła, kodu z SMS-a ani danych karty nikt uczciwy nie zażąda mailem.
2. 2Emocje i czas. „Konto zostanie zablokowane za 2 godziny”, „ostatnie wezwanie”, „pilne, poufne, nie dzwoń” —

presja czasu to najczęstsze narzędzie oszusta.

1. 1Załącznik. Plik .zip, .exe, .html albo dokument, który prosi o „włączenie makr”, to sygnał alarmowy.

Ta sama ostrożność dotyczy kodów QR. Plakat na korytarzu z prośbą o „zalogowanie się do nowego dziennika” może prowadzić na fałszywą stronę dokładnie tak jak link w mailu. Zanim go zeskanujesz, zapytaj w sekretariacie albo u informatyka, czy szkoła coś takiego wywiesiła.

Fałszywe faktury i „zmiana numeru konta” w sekretariacie

To jeden z najbardziej kosztownych rodzajów oszustwa w szkołach i instytucjach. Przestępca podszywa się pod znanego dostawcę i informuje, że zmienił bank. Czasem pisze z prawdziwej, przejętej skrzynki dostawcy — wtedy adres nadawcy się zgadza, a jedynym sygnałem jest sama prośba.

• Każdą zmianę numeru konta potwierdzasz telefonicznie, pod numerem z umowy albo wcześniejszej korespondencji,

nigdy pod numerem z tej samej wiadomości.

• Nie odpisujesz na podejrzanego maila z pytaniem, czy to na pewno dostawca — odpowiedź przyjdzie od oszusta.
• Warto, żeby dyrektor ustalił stałą zasadę: zmiana konta dostawcy wymaga potwierdzenia telefonicznego i drugiej

osoby.

Mail „od dyrektora”, telefon „z banku” i wiadomość „od rodzica”

Najczęstszy scenariusz w szkole to prośba „od dyrektora” wysłana z prywatnej skrzynki: „Jestem na konferencji, pilnie opłać fakturę, nie dzwoń”. Właśnie zdanie „nie dzwoń” jest typowym sygnałem oszustwa. Dzwonisz do dyrektora na znany numer albo pytasz w sekretariacie, zanim cokolwiek zapłacisz.

Oszust może też zadzwonić. Numer na wyświetlaczu da się podrobić, a głos wygenerowany przez sztuczną inteligencję może brzmieć jak ktoś znajomy. Rozłączasz się i samodzielnie oddzwaniasz na znany numer. Nikomu przez telefon nie podajesz kodów z SMS-a i nie instalujesz programów do „zdalnej pomocy”.

Wiadomość „od rodzica” z nietypowym załącznikiem albo prośbą o dane innych uczniów sprawdzasz tak samo: innym kanałem, np. przez dziennik elektroniczny albo telefon do rodzica pod numer z dokumentacji szkoły.

Gdzie zgłosić phishing

Zgłaszasz podejrzaną wiadomość, nawet jeśli nic w niej nie zostało kliknięte — ta sama wiadomość mogła trafić do innych osób w szkole, a zgłoszenie pozwala je ostrzec.

• W szkole: zgodnie z procedurą szkoły — informatykowi, dyrekcji albo inspektorowi ochrony danych.
• W Polsce: CERT Polska przyjmuje zgłoszenia od osób prywatnych i instytucji przez formularz incydent.cert.pl albo

mailem na cert@cert.pl.

• Podejrzany SMS przekazujesz bez zmian (opcją „Przekaż”, nie zrzutem ekranu) na numer 8080 — w Polsce bezpłatnie. Jeśli z Twojej karty

numer nie działa, zgłaszasz SMS przez incydent.cert.pl.

Jeśli link został już kliknięty albo hasło podane, nie czekasz — zgłaszasz sprawę od razu. Kliknięcie nie jest powodem do wstydu, problemem jest dopiero ukrywanie go.

Najważniejsze w skrócie

• Zatrzymaj się, sprawdź innym kanałem, zgłoś — przy każdej pilnej i nietypowej prośbie.
• Sprawdzasz domenę nadawcy i adres linku, a nie wyświetlaną nazwę.
• Zmianę numeru konta dostawcy potwierdzasz telefonicznie pod numerem z umowy, najlepiej z udziałem drugiej osoby.
• Kodów z SMS-a i haseł nie podajesz nikomu — ani mailem, ani przez telefon.
• Phishing zgłaszasz w szkole i do CERT Polska (incydent.cert.pl), a podejrzane SMS-y — na numer 8080.

Stan prawny: październik 2026 r. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej ani procedur obowiązujących w Twojej szkole.