Jak AI zmieniło phishing? Sztuczna inteligencja usunęła z phishingu jego trzy historyczne słabości: koszt personalizacji, błędy językowe i ograniczenie do kanału e-mail. Modele językowe piszą bezbłędne, spersonalizowane wiadomości w dowolnym języku i skali; klonowanie głosu wymaga około 3 sekund nagrania (McAfee), a deepfake wideo pozwala „posadzić” fałszywego dyrektora finansowego na wideokonferencji – jak w głośnym ataku na inżynieryjną firmę Arup, gdzie pracownik po takiej rozmowie autoryzował przelewy na 25,6 mln USD.
Według Mandiant M-Trends 2026, vishing (phishing głosowy) był w 2025 r. drugim najczęstszym wektorem początkowego dostępu w badanych włamaniach, a pierwszym dla włamań do chmury. Ten artykuł porządkuje, co realnie potrafi dziś atakujący, które warstwy obrony działają, jak chronić także własnych klientów przed podszywaniem się pod markę – i czego żadna obrona nie zatrzyma.
Definicja kanoniczna: Phishing wspomagany AI to socjotechnika wykorzystująca generatywną sztuczną inteligencję do tworzenia spersonalizowanych wiadomości, klonowania głosu lub wizerunku oraz prowadzenia interakcji z ofiarą w czasie rzeczywistym, w celu wyłudzenia poświadczeń, płatności lub dostępu.
Phishing w erze AI – w skrócie:
- Vishing wzrósł o 442 % w drugiej połowie 2024 r. (CrowdStrike), a Mandiant M-Trends 2026 klasyfikuje go jako drugi wektor wejścia do organizacji w 2025 r. – telefon i wideokonferencja dogoniły e-mail.
- Klon głosu powstaje z około 3 sekund nagrania z dokładnością rzędu 85 % (McAfee); materiału dostarcza każdy webinar, podcast i nagrana wideokonferencja członka zarządu.
- Stare sygnały rozpoznawcze – błędy językowe, „dziwny styl” – przestały działać: LLM piszą lepiej niż przeciętny nadawca, a ludzie rozpoznają dobrej jakości deepfake w mniej niż 25 % przypadków.
- Skuteczna obrona jest procesowa i techniczna, nie percepcyjna: uwierzytelnianie odporne na phishing (passkeys/FIDO2), DMARC z polityką odrzucania, weryfikacja zwrotna zaufanym kanałem i czteroośmiookie procedury płatności.
- Podszywanie się pod markę uderza w Twoich klientów: fałszywe domeny, deepfake „prezesa” w reklamach inwestycyjnych i smishing „z banku” niszczą zaufanie – obrona to DMARC p=reject, monitoring domen podobnych i jasny kontrakt komunikacyjny z klientami.
- Patronusec prowadzi szkolenia security awareness i kontrolowane testy phishingowe budowane na scenariuszach z tego artykułu – w tym wariantach głosowych i deepfake – z metrykami raportowania zamiast „polowania na klikających”.
Spis treści
Co realnie potrafi dziś atakujący wyposażony w AI?
Atakujący z dostępem do ogólnodostępnych narzędzi AI potrafi w skali przemysłowej personalizować wiadomości na podstawie danych z LinkedIn i wycieków, klonować głos dowolnej osoby z krótkiego nagrania, wygenerować deepfake wideo na żywo do rozmowy na komunikatorze oraz prowadzić wielokanałowe kampanie łączące e-mail, SMS, telefon i wideokonferencję w jeden spójny scenariusz.
| Technika | Co się zmieniło dzięki AI | Skala zjawiska (źródło) |
|---|---|---|
| Spear phishing z LLM | personalizacja z profili publicznych i wycieków w sekundach; bezbłędny polski, niemiecki, dowolny język; warianty A/B na masową skalę | wzrost liczby i jakości kampanii ukierunkowanych raportowany przez wszystkich głównych dostawców ochrony poczty |
| Vishing i klonowanie głosu | głos „szefa” lub „wnuczka” z ~3 s nagrania, 85 % zgodności (McAfee); rozmowa prowadzona na żywo | +442 % w H2 2024 (CrowdStrike); nr 2 wektor wejścia 2025, nr 1 dla chmury – 23 % (Mandiant M-Trends 2026) |
| Deepfake wideo | fałszywy uczestnik wideokonferencji w czasie rzeczywistym; „spotkanie zarządu” z samymi awatarami | atak na Arup: 25,6 mln USD po wideorozmowie z deepfake’ami; próby oszustw deepfake +1300 % r/r (Pindrop, 2024) |
| BEC 2.0 | podszycie pod kontrahenta z ciągłością wątku: LLM podtrzymuje korespondencję stylem oryginału, zmiana numeru konta przychodzi „naturalnie” | BEC pozostaje w czołówce strat zgłaszanych do FBI IC3 |
| Quishing (kody QR) | kod QR w PDF lub na plakacie omija filtry treści; strona docelowa generowana pod ofiarę | stały wzrost udziału QR w kampaniach raportowany przez dostawców bram pocztowych |
| Pomoc techniczna / help desk pretexting | głosowe podszycie pod pracownika w celu resetu MFA lub hasła | mechanizm głośnych włamań do dużych organizacji w latach 2023-2025 |
| Strony i zestawy AiTM | fałszywe strony logowania proxujące prawdziwe (adversary-in-the-middle) przechwytują hasło i kod MFA oraz sesyjne cookie | standard w zestawach phishing-as-a-service |
Sztuczna inteligencja nie wymyśliła nowych oszustw – zdjęła z istniejących trzy ograniczenia: koszt personalizacji, barierę językową i konieczność użycia kanału, który da się filtrować.
Dla planowania obrony najważniejsza jest ostatnia kolumna myślowa: wielokanałowość. Typowy skuteczny atak 2025-2026 nie jest pojedynczym mailem, lecz sekwencją: mail otwierający wątek → SMS „za chwilę zadzwoni księgowość” → telefon sklonowanym głosem → link do strony AiTM albo prośba o autoryzację w aplikacji. Każdy kanał z osobna wygląda wiarygodnie, bo pozostałe go uwiarygodniają.
Dlaczego dotychczasowe sygnały rozpoznawcze przestały działać?
Klasyczne szkolenia uczyły rozpoznawać phishing po błędach językowych, ogólnikowych zwrotach i „dziwnym” nadawcy – wszystkie trzy sygnały AI wyeliminowało. Badania nad deepfake pokazują, że ludzie poprawnie rozpoznają dobrej jakości fałszywe nagrania w mniej niż 25 % przypadków, a automatyczne detektory, osiągające ~96 % skuteczności w laboratorium, w warunkach rzeczywistych tracą 45-50 % dokładności.
Trzy filary starych szkoleń i powód ich erozji:
- „Szukaj błędów językowych” – LLM pisze poprawniej niż większość nadawców; polszczyzna przestała być barierą dla zagranicznych grup przestępczych.
- „Zwróć uwagę na ton i styl” – model uczy się stylu z kilku prawdziwych maili ofiary lub jej szefa (dostępnych po kompromitacji jednej skrzynki w łańcuchu dostawców) i podtrzymuje wątek nieodróżnialnie.
- „Zweryfikuj głosowo, jeśli mail wygląda podejrzanie” – rada z poprzedniej epoki stała się wektorem: to właśnie telefon jest dziś kanałem ataku, a głos nie dowodzi tożsamości.
Skoro człowiek rozpoznaje dobrej jakości deepfake rzadziej niż raz na cztery próby, obrona nie może polegać na spostrzegawczości pracownika – musi polegać na procedurach, które są skuteczne także wtedy, gdy pracownik uwierzy atakującemu.
To nie znaczy, że świadomość jest bezwartościowa – znaczy, że jej cel się zmienił. Nowoczesne szkolenie nie uczy „poznawać fałszywkę po szczegółach”, lecz trzech zachowań niezależnych od jakości fałszerstwa: zatrzymaj się przy każdej presji czasu i poufności, weryfikuj prośby o pieniądze i dostępy innym kanałem niż ten, którym przyszły, zgłaszaj natychmiast, także własne kliknięcie. Jak zbudować program, który tego uczy – w drugim artykule tego klastra: program security awareness i symulacje phishingowe.
Jakie warstwy obrony technicznej realnie działają przeciw phishingowi z AI?
Działają cztery warstwy: uwierzytelnianie odporne na phishing (passkeys/FIDO2), które unieważnia kradzież haseł i kodów; uwierzytelnianie poczty DMARC+SPF+DKIM z polityką odrzucania, które blokuje podszywanie się pod Twoją domenę; procedury weryfikacji zwrotnej i zasady czterech oczu dla płatności oraz zmian rachunków; wreszcie filtrowanie i detekcja – skuteczne, ale z założeniem, że część ataków przejdzie.
| Warstwa | Co daje | Czego nie daje | Priorytet wdrożenia |
|---|---|---|---|
| Passkeys / FIDO2 (uwierzytelnianie odporne na phishing) | klucz kryptograficzny związany z domeną – strona AiTM nie wyłudzi ani hasła, ani kodu; przejęcie sesji przez fałszywą stronę logowania przestaje działać | nie chroni przed atakiem na help desk („zresetujcie mi MFA”) ani przed autoryzacją płatności przez zmanipulowanego człowieka | 1 – najpierw konta uprzywilejowane, finanse, zarząd |
| DMARC + SPF + DKIM z p=reject | nikt nie wyśle maila „z Twojej domeny” do serwerów honorujących politykę; od lut 2024 Google i Yahoo, a od 5 maj 2025 Microsoft wymagają SPF+DKIM+DMARC od nadawców >5000 wiadomości/dzień | nie blokuje domen podobnych (twoja-firma.co) ani ataków z przejętych prawdziwych skrzynek kontrahentów | 1 – także wymóg dostarczalności, nie tylko bezpieczeństwa |
| Procedury weryfikacji zwrotnej | każda zmiana rachunku, pilny przelew i prośba o dane wrażliwe potwierdzana innym kanałem, pod numer z systemu (nie z podpisu maila); zasada czterech oczu i progi kwotowe | wymaga dyscypliny; działa tylko, gdy procedura jest bezwarunkowa („prezes też czeka”) | 1 – zerowy koszt technologii, największy zwrot |
| Kanał zgłoszeń i reakcja | przycisk „zgłoś” w kliencie poczty + numer/komunikator dla vishingu; SOC wycofuje kampanię ze wszystkich skrzynek po pierwszym zgłoszeniu | wartość zależy od kultury: karanie klikających zabija zgłoszenia | 2 |
| Bramka pocztowa z analizą AI, sandbox załączników, izolacja linków | wycina masówkę i znaczną część kampanii ukierunkowanych | nie widzi telefonu, SMS-a ani wideokonferencji; wyścig zbrojeń z generatorami | 2 |
| Hasła/kody bezpieczeństwa w rodzinie i zespole (dla vishingu „na wnuczka” i „na prezesa”) | prosta pre-autoryzacja rozmów o pieniądzach | trzeba ustalić zanim zadzwoni „syn z wypadku” | 3 – także jako rada dla pracowników prywatnie |
Passkeys w standardzie FIDO2 są odporne na phishing z przyczyn kryptograficznych, a nie behawioralnych: poświadczenie jest związane z domeną serwisu, więc fałszywa strona logowania nie otrzyma niczego, co dałoby się odtworzyć – to jedyna warstwa, której skuteczność nie zależy od czujności użytkownika.
Wymogi zewnętrzne porządkują priorytety: PCI DSS v4.0.1 od 31 mar 2025 wymaga mechanizmów wykrywania i ochrony przed phishingiem (wymóg 5.4.1) oraz treści anty-phishingowych w szkoleniach (12.6.3.1); NIS2 wymienia cyberhigienę i szkolenia w art. 21 ust. 2 lit. g, a DORA w art. 13 ust. 6 nakazuje włączyć programy budowania świadomości ICT do obowiązkowych szkoleń pracowników – i kadry kierowniczej.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że najtańszą i najczęściej pomijaną kontrolą jest formalna procedura zmiany rachunku bankowego kontrahenta: zmiana wyłącznie na pisemny wniosek weryfikowany telefonicznie pod numer z umowy lub KRS – nigdy z maila – z drugą parą oczu powyżej progu kwotowego. W testach socjotechnicznych, które prowadzimy w ramach testów phishingowych, scenariusz „zmiana konta dostawcy” wciąż ma najwyższą skuteczność – i jest jedynym, którego nie zatrzyma żadna technologia pocztowa, bo mail często przychodzi z prawdziwej, przejętej skrzynki dostawcy.
Jak chronić własnych klientów przed podszywaniem się pod Twoją markę?
Ochrona klientów wymaga czterech działań: DMARC z polityką odrzucania, żeby nikt nie wysyłał maili z Twojej domeny; monitoringu i przejmowania domen podobnych oraz fałszywych profili; jawnego kontraktu komunikacyjnego („nigdy nie prosimy o…”), który daje klientom prostą regułę decyzyjną; oraz kanału zgłaszania podszyć z procedurą takedown. Deepfake „prezesa” w reklamie inwestycyjnej i SMS „z banku” uderzają w klientów, ale koszty reputacyjne i obsługowe ponosi marka.
Cztery działania w kolejności wdrażania:
- DMARC p=reject na wszystkich domenach – także tych niewysyłających poczty (domeny zaparkowane z rekordem SPF
-alli DMARC reject to ulubione narzędzia spooferów). Raporty rui/ruf pokazują, kto próbuje; wymogi Google/Yahoo/Microsoft i tak wymuszają fundament, p=reject jest naturalnym celem po okresie monitorowania. - Monitoring domen podobnych i podszyć – rejestracje typosquattingowe, homoglify, subdomeny w cudzych strefach, fałszywe profile w social mediach i sklepach z aplikacjami; wykrycie → udokumentowanie → zgłoszenie do rejestratora/platformy (procedury UDRP, formularze abuse). To dokładnie ta klasa danych, którą w sektorze finansowym bada wywiad zagrożeń w testach TLPT – załącznik III RTS wymaga analizy domen podobnych i ofert w dark webie.
- Kontrakt komunikacyjny z klientami – krótka, publiczna lista: czego nigdy nie robimy (nie prosimy o hasło, kod BLIK, instalację oprogramowania; nie dzwonimy z żądaniem natychmiastowego przelewu), jak wyglądają nasze prawdziwe kanały, gdzie zgłaszać podejrzenia. Komunikowana cyklicznie, nie raz.
- Procedura reagowania na kampanię podszywającą – kto monitoruje zgłoszenia klientów, kto zbiera IOC, kto wysyła takedowny, kiedy i jak ostrzegacie klientów (własnym kanałem, bez linków – żeby ostrzeżenie nie wyglądało jak phishing).
Publiczna lista „czego nigdy nie robimy” jest najskuteczniejszą pojedynczą ochroną klientów przed podszywaniem się pod markę, ponieważ daje im regułę decyzyjną niezależną od jakości fałszerstwa – klient nie musi oceniać, czy głos i logo są prawdziwe, wystarczy że wie, iż prawdziwa firma o to nie prosi.
W praktyce oznacza to, że ochrona klientów jest programem ciągłym, nie projektem: rejestracje domen podobnych pojawiają się falami przy kampaniach, a materiał do deepfake’ów rośnie z każdym publicznym wystąpieniem zarządu.
Gdzie kończą się możliwości obrony – czego nie zatrzyma ani technologia, ani szkolenie?
Cztery ograniczenia są nieusuwalne: filtry pocztowe nie widzą telefonu, SMS-a ani wideokonferencji; detektory deepfake tracą w warunkach rzeczywistych 45-50 % skuteczności i przegrywają wyścig z generatorami; ataki z prawdziwych, przejętych skrzynek kontrahentów przechodzą każde uwierzytelnianie poczty; a człowiek pod presją autorytetu i czasu ulega niezależnie od liczby odbytych szkoleń. Dojrzała obrona zakłada, że część ataków się powiedzie – i minimalizuje skutki.
Konsekwencje projektowe założenia „część przejdzie”:
- Odporność zamiast nieomylności – celem programu awareness nie jest zero kliknięć, lecz szybkie zgłoszenie: różnica między incydentem a katastrofą to zwykle czas od kliknięcia do reakcji SOC, nie sam fakt kliknięcia.
- Ograniczanie skutków – passkeys unieważniają skradzione hasło; segmentacja i najmniejsze uprawnienia ograniczają promień rażenia przejętego konta; progi i druga para oczu zatrzymują przelew nawet po udanej manipulacji. To ta sama logika, którą opisaliśmy przy agentach AI: system, którego najgorszy błąd jest odwracalny, pozostaje bezpieczny mimo udanego ataku.
- Przygotowany scenariusz „po” – procedura na wypadek udanego BEC (natychmiastowy kontakt z bankiem – odzyskanie przelewu bywa możliwe w pierwszych godzinach), na wyciek poświadczeń, na kampanię podszywającą się pod markę; przećwiczona, z kontaktami pod ręką – analogicznie do playbooka ransomware.
- Uczciwa komunikacja ograniczeń – pracownik, któremu obiecano, że „po szkoleniu rozpozna każdy atak”, po wpadce milczy ze wstydu; pracownik, któremu powiedziano, że dobre fałszerstwo oszuka każdego, zgłasza bez wahania.
Dojrzały program obrony przed phishingiem nie mierzy się liczbą zatrzymanych ataków, lecz czasem od pierwszego kontaktu ofiary z atakiem do reakcji organizacji – bo przy dzisiejszej jakości fałszerstw założenie, że wszystkie ataki zostaną rozpoznane, jest błędem projektowym.
Jakie błędy najczęściej popełniają organizacje w obronie przed phishingiem AI?
❌ Szkolenie raz w roku o „błędach językowych” – uczy rozpoznawać ataki sprzed dekady; treść musi obejmować vishing, deepfake i scenariusze wielokanałowe, a rytm być ciągły (PCI DSS 12.6.3.1 wymaga wprost treści o phishingu i socjotechnice).
❌ Karanie za kliknięcie w symulacji – zabija jedyną metrykę, która ratuje organizację: zgłaszanie. Pracownik ukarany raz nie zgłosi prawdziwego incydentu nigdy.
❌ MFA kodami SMS/aplikacją traktowane jako odporne na phishing – zestawy AiTM przechwytują kody i sesje w locie; odporne są tylko metody FIDO2/passkeys.
❌ DMARC w trybie p=none latami – polityka monitorująca nie blokuje niczego; bez planu przejścia do quarantine/reject to lista obecności, nie kontrola.
❌ Weryfikacja zwrotna pod numer z maila – atakujący podaje własny numer w stopce; weryfikacja ma sens wyłącznie pod kontakt z niezależnego źródła (system, umowa, oficjalna strona).
❌ Brak procedury dla help desku – reset hasła lub MFA „na głos” po telefonie to wektor największych włamań ostatnich lat; help desk potrzebuje twardej ścieżki weryfikacji tożsamości, odpornej na presję i eskalację „od zarządu”.
❌ Ochrona tylko własnej skrzynki, zero ochrony klientów – brak monitoringu domen podobnych i kontraktu komunikacyjnego oznacza, że pierwszą linią wykrywania podszyć pod markę są poszkodowani klienci.
FAQ – Ai phishing
Czy deepfake da się rozpoznać gołym okiem?
Coraz rzadziej. Ludzie rozpoznają dobrej jakości deepfake w mniej niż 25 % przypadków, a jakość rośnie z każdym kwartałem. Dlatego obrona nie może zależeć od rozpoznania fałszerstwa – decyzje o pieniądzach i dostępach muszą przechodzić przez procedury (weryfikacja zwrotna, drugi podpis), które działają także wobec idealnej podróbki.
Czy MFA chroni przed phishingiem?
Zależy od rodzaju. Kody SMS i push-aplikacje przechwytują zestawy adversary-in-the-middle oraz ataki zmęczeniowe. Odporne na phishing są passkeys i klucze FIDO2, bo poświadczenie jest kryptograficznie związane z domeną – fałszywa strona nie dostanie niczego użytecznego. Priorytet wdrożenia: konta uprzywilejowane, finanse, zarząd.
Co zrobić w pierwszych minutach po autoryzacji przelewu oszustom?
Natychmiast: telefon do własnego banku z żądaniem wstrzymania/odwołania przelewu (w pierwszych godzinach bywa skuteczne), zgłoszenie na Policję i do CERT Polska, zabezpieczenie korespondencji, przegląd skrzynek pod kątem reguł przekierowań założonych przez atakującego, wymuszenie zmiany haseł i przegląd sesji.
Czy publikowanie nagrań zarządu zwiększa ryzyko klonowania głosu?
Tak – ale wycofanie się z komunikacji publicznej nie jest realną opcją i nie rozwiązuje problemu (wystarczą 3 sekundy z dowolnego źródła). Właściwa odpowiedź to przyjęcie założenia, że głos każdej osoby publicznej w firmie da się sklonować, i oparcie autoryzacji decyzji na procedurach, nie na rozpoznaniu głosu.
Czym różni się quishing od zwykłego phishingu?
Quishing przenosi link do kodu QR – w PDF-ie, mailu lub przestrzeni fizycznej (naklejka na parkomacie, plakat). Kod omija filtry analizujące linki w treści, a skanowanie prywatnym telefonem wyprowadza ofiarę poza ochronę firmową. Obrona: izolacja/analiza QR na bramce, zasada nieskanowania kodów z niezamówionych dokumentów.
Jak Patronusec pomaga w obronie przed phishingiem AI?
Prowadzimy szkolenia awareness i kontrolowane testy phishingowe na scenariuszach aktualnych, nie muzealnych: warianty mailowe, głosowe i QR, dobierane do ról. Mierzymy przede wszystkim raportowanie i czas reakcji, a wyniki przekładamy na rekomendacje procedur (weryfikacja zwrotna, help desk, płatności). Wycenę stałą przedstawiamy po bezpłatnej rozmowie o zakresie.
Warto przeczytać
- Program security awareness i symulacje phishingowe, które działają – drugi aktyw klastra: wymogi NIS2/DORA/ISO/PCI, projekt symulacji bez polowania na pracowników, metryki i harmonogram roczny.
- Ransomware – pierwsze 72 godziny – co się dzieje, gdy phishing jednak zadziała: playbook reakcji na najczęstszy skutek udanej kampanii.
- Testowanie agentów AI – ta sama logika obrony przez ograniczanie skutków, zastosowana do systemów AI po stronie ofiary.
- Testy TLPT pod DORA – jak zacząć – jak wywiad zagrożeń bada domeny podobne, wycieki poświadczeń i materiał do podszyć w testach regulacyjnych.
- 12-miesięczny plan cyberbezpieczeństwa – gdzie DMARC, passkeys i program awareness mieszczą się w rocznych priorytetach.
Obrona przed phishingiem AI – konsultacja
Patronusec prowadzi szkolenia security awareness i kontrolowane testy phishingowe – mailowe, głosowe i QR – budowane na aktualnych scenariuszach AI, z metrykami raportowania zamiast karania. Jeśli chcesz sprawdzić, jak Twoja organizacja zareaguje na wielokanałowy atak, umów bezpłatną rozmowę.
Szkolenia i testy phishingowe | Testy penetracyjne | vCISO
