Rządowa agencja ostrzega: kradzież tożsamości, pieniędzy i wyłudzanie kredytu. Niektórzy choćby nie pamiętają co się stało

Dostałeś maila, iż ktoś logował się na Twoje konto Google z nowego urządzenia, a jeżeli nie zweryfikujesz sprawy natychmiast, konto zostanie zablokowane? Zanim klikniesz link, warto wiedzieć, iż dokładnie taki scenariusz opisuje CERT Polska – zespół działający w strukturach NASK, jako aktualnie prowadzoną kampanię grupy UNC1151, znanej też pod nazwą Ghostwriter. To jedna z najaktywniej śledzonych przez polskich specjalistów grup atakujących skrzynki pocztowe, a od niedawna jej celem po raz pierwszy na taką skalę stali się użytkownicy Gmaila.

Fot. Pixabay / Warszawa w Pigułce

Od marca celem jest Gmail, nie tylko polskie serwery pocztowe

Przez poprzednie lata UNC1151 koncentrowała się na atakach na użytkowników polskich dostawców poczty – Onetu, Wirtualnej Polski czy Interii. Od marca 2026 roku grupa równolegle prowadzi intensywne kampanie wymierzone w konta Gmail, głównie w dni robocze. Zespół CERT Polska informuje, iż w ostatnich tygodniach niemal codziennie identyfikował nowe domeny wykorzystywane w tych atakach – co świadczy o dużej skali i tempie, w jakim infrastruktura przestępców jest odnawiana, prawdopodobnie po części właśnie w reakcji na blokowanie kolejnych adresów.

Krąg potencjalnych ofiar jest szeroki i obejmuje osoby zaangażowane w życie polityczne, aktywne społecznie, zajmujące eksponowane stanowiska, a także naukowców, dziennikarzy, pracowników administracji publicznej i służb mundurowych – oraz osoby powiązane z nimi rodzinnie lub towarzysko. Atakujący nie zawsze wiedzą z góry, do kogo należy dana skrzynka pocztowa – czasem próbują odgadnąć adres na podstawie samego imienia i nazwiska, przez co wiadomości trafiają też do przypadkowych osób noszących to samo imię i nazwisko co adekwatny cel. CERT Polska zauważa również kampanie ukierunkowane na konkretny region kraju albo na osoby wykonujące określony zawód, na przykład tłumaczy lub biegłych sądowych.

„Przejęte skrzynki są następnie przeszukiwane pod kątem interesujących z punktu widzenia atakujących informacji, takich jak lista kontaktowa (do typowania dalszych celów kampanii), wrażliwe dokumenty czy powiązane konta (np. w mediach społecznościowych), które można przejąć z ich dalszym wykorzystaniem” – ostrzega CERT.

Jak wygląda fałszywa wiadomość?

Wiadomości są pisane po polsku, bez rażących błędów językowych, co odróżnia tę kampanię od wielu prostszych prób phishingu. Nadawca podszywa się pod administrację Gmaila, a treść zwykle informuje o wykryciu podejrzanej aktywności, nieautoryzowanym logowaniu albo naruszeniu regulaminu usługi, grożąc zablokowaniem lub trwałym usunięciem konta, jeżeli odbiorca natychmiast nie zweryfikuje sprawy pod załączonym linkiem.

Nazwa wyświetlana nadawcy Przykładowy temat wiadomości

Mail Secure	Krytyczny alert
Mailer Notification	Wykryto próbę logowania z nowego urządzenia
Support Security	Alert bezpieczeństwa / Ważna weryfikacja dostępu
Monitoring konta	Podejrzana aktywność
Zespół Poczty	Możemy zablokować konto

Wiadomości zwykle wysyłane są ze specjalnie założonych w tym celu kont Gmail, choć zdarza się też wykorzystanie już przejętej skrzynki, przy której napastnicy zmieniają jedynie wyświetlaną nazwę nadawcy. Często zamiast adresować wiadomość bezpośrednio do ofiary, atakujący korzystają z mechanizmu ukrytej kopii (UDW/BCC) – dzięki temu jedna kampania trafia jednocześnie do wielu odbiorców bez ujawniania sobie nawzajem adresów.

Nowość: wyłudzają też kod dwuskładnikowy

Największą zmianą w porównaniu z wcześniejszymi kampaniami UNC1151 jest zdolność do wyłudzania drugiego składnika logowania. Fałszywa strona imitująca panel Gmaila najpierw przechwytuje adres e-mail i hasło, a system atakujących automatycznie próbuje w tym momencie zalogować się na prawdziwe konto ofiary. jeżeli Google zażąda dodatkowego kodu weryfikacyjnego, fałszywa strona natychmiast wyświetla kolejny formularz proszący o jego podanie – mechanizm działa zarówno przy kodach przesyłanych SMS-em, jak i generowanych w aplikacjach typu Google Authenticator. To pozwala przestępcom obejść zabezpieczenie, które przez lata uchodziło za jedną z najskuteczniejszych ochron przed przejęciem konta.

Fałszywe strony chowają się też w zhakowanych, prawdziwych witrynach

Atakujący regularnie ponawiają próby wobec tych samych kont, niezależnie od tego, czy wcześniej ofiara w jakikolwiek sposób zareagowała na poprzednią wiadomość. Czasem w ciągu zaledwie dwóch dni do tej samej osoby trafia kilka niemal identycznych wiadomości, w których jedynie czas pozostały rzekomo do zablokowania konta stopniowo się skraca – to celowy zabieg, który ma wzmóc presję i skłonić do pochopnego kliknięcia. jeżeli mimo przechwycenia hasła atakującym nie uda się od razu zalogować na konto ofiary, wysyłają kolejną, spreparowaną wiadomość i próbują ponownie.

Infrastruktura wykorzystywana przez grupę zmienia się dynamicznie. W ostatnich trzech miesiącach CERT Polska obserwował zarówno domeny rejestrowane specjalnie do celów phishingu – najczęściej w końcówkach . icu, .digital i .top – jak i podstrony zakładane w darmowym serwisie hostingowym Netlify. Do hostowania fałszywych paneli logowania wykorzystywane były też przejęte strony należące do prawdziwych, najczęściej polskich podmiotów, którym włamywacze nie zmieniali strony głównej – dzięki temu incydent pozostawał niezauważalny zarówno dla zwykłych odwiedzających witrynę, jak i dla jej właścicieli, a fałszywy panel logowania działał w ukryciu na jednej z podstron.

Co może stać się potem?

Przejęcie skrzynki Gmail może być dopiero początkiem znacznie poważniejszych problemów. W wieloletniej korespondencji często znajdują się dane, o których właściciel konta choćby nie pamięta: PESEL, adres zamieszkania, numery telefonów, skany dowodu osobistego, faktury, umowy, dokumenty podatkowe, informacje o rachunkach bankowych, wynagrodzeniu czy zatrudnieniu. W skrzynce mogą być również dokumenty przesyłane kiedyś do banku, pracodawcy, księgowego, urzędu czy ubezpieczyciela.

Takie informacje można później wykorzystać do kradzieży tożsamości. Sam PESEL nie wystarcza automatycznie do zaciągnięcia kredytu, ale połączony z innymi danymi zdobytymi z korespondencji może znacznie ułatwić przestępcom próby wyłudzenia pożyczki, założenia konta w cudzym imieniu, przejęcia innych usług albo podszywania się pod właściciela skrzynki podczas kontaktu z firmami i instytucjami.

Szczególnie groźne jest to, iż poczta e-mail często pełni funkcję klucza do pozostałych kont. Przestępca może wykorzystać opcję „nie pamiętam hasła” w serwisach społecznościowych, sklepach internetowych, usługach chmurowych czy innych portalach, a wiadomość umożliwiająca zmianę hasła odbierze już we wcześniej przejętej skrzynce.

Atakujący mogą również przeglądać historię korespondencji, aby dowiedzieć się, z jakiego banku korzysta ofiara, gdzie pracuje, z kim prowadzi interesy i jakie sprawy aktualnie załatwia. Pozwala to później przygotować znacznie bardziej wiarygodne oszustwo – na przykład wiadomość podszywającą się pod bank, księgowość, kontrahenta albo osobę z rodziny.

Przejęta skrzynka może wreszcie posłużyć do atakowania kolejnych osób. Wiadomość z prawdziwego adresu znajomego, współpracownika czy przełożonego wzbudza znacznie mniej podejrzeń niż e-mail wysłany z przypadkowego konta. Napastnicy mogą więc rozsyłać następne linki phishingowe lub fałszywe dokumenty już z konta swojej ofiary.

Jeżeli na podejrzanej stronie zostało podane hasło lub kod uwierzytelniający, nie należy ograniczać się do jej zamknięcia. Trzeba jak najszybciej zmienić hasło do konta Google, wylogować pozostałe urządzenia i sprawdzić ustawienia bezpieczeństwa, adresy odzyskiwania, przekierowania oraz reguły poczty. o ile w skrzynce znajdowały się dokumenty zawierające PESEL lub inne dane pozwalające potwierdzić tożsamość, warto również zastrzec numer PESEL – można zrobić to m.in. w aplikacji lub serwisie mObywatel.

Jak nie dać się okraść z danych?

Sygnałem alarmowym w każdym przypadku powinna być niewłaściwa domena w pasku adresu przeglądarki – prawdziwy Gmail loguje wyłącznie przez adresy w domenie google.com albo accounts.google.com, nigdy przez żadną inną nazwę, choćby jeżeli strona wygląda identycznie jak oryginał. Najbezpieczniej jest nigdy nie klikać linku z wiadomości o rzekomym zagrożeniu konta, tylko samodzielnie otworzyć przeglądarkę i wejść na pocztę bezpośrednio, a ewentualne powiadomienia bezpieczeństwa sprawdzić już zalogowanym, z poziomu ustawień konta Google. Osoby wykonujące zawody szczególnie narażone na takie ataki – dziennikarze, naukowcy, urzędnicy, tłumacze, biegli sądowi czy osoby aktywne politycznie i społecznie – powinny rozważyć przejście na fizyczny klucz bezpieczeństwa albo pasywną metodę uwierzytelniania (passkey) zamiast kodów SMS czy generowanych w aplikacji, bo tego rodzaju zabezpieczenia są znacznie trudniejsze do wyłudzenia choćby przy bardzo przekonującej fałszywej stronie. Podejrzane wiadomości i strony warto zgłaszać przez formularz na incydent.cert.pl – każde zgłoszenie pomaga zespołowi w Warszawie szybciej namierzać i blokować kolejne domeny wykorzystywane w tej kampanii.