Powrót do szkoły to sezon phishingu. Jak atakują szkoły i uczelnie

TL;DR

Początek roku szkolnego i akademickiego to okres dużej liczby zmian: zakładane są konta, resetowane hasła, aktualizowane listy użytkowników, wysyłane plany zajęć, faktury, informacje o stypendiach i dokumenty organizacyjne. Taki ruch pomaga napastnikom ukryć phishing wśród prawdziwej korespondencji.

Według Check Point Research organizacje edukacyjne od stycznia do lipca 2026 r. doświadczały średnio 4696 wykrywanych cyberataków tygodniowo na organizację. W lipcu średnia wzrosła do 4848. Te liczby dotyczą wszystkich kategorii ataków rejestrowanych w telemetryce Check Point, a nie wyłącznie phishingu.

Phishing jest jednak jednym z wyraźnie opisanych elementów tego obrazu. Badacze pokazali fałszywe strony z nagrodami dla studentów, dokumenty PDF podszywające się pod szkoły oraz przekierowania do podrobionych ekranów logowania Microsoft 365 i OneDrive. W Polsce CERT Polska już wcześniej w 2026 r. ostrzegał przed kampaniami wykorzystującymi przejęte konta uczelniane i pretekst zaległej opłaty za studia.

Dla szkoły lub uczelni przygotowanie do nowego roku powinno więc obejmować nie tylko konta, sprzęt i systemy, ale także krótki plan ochrony przed socjotechniką: kto tworzy konta, jak użytkownik rozpoznaje prawidłowe logowanie, gdzie zgłasza podejrzaną wiadomość i co IT robi po przejęciu konta.

Co naprawdę pokazują dane z 2026 roku

Check Point określa edukację jako najbardziej atakowany sektor w swoim zestawie 23 branż monitorowanych od stycznia do lipca 2026 r. Średnia 4696 ataków tygodniowo na organizację była o 8 proc. wyższa niż rok wcześniej i ponad dwukrotnie wyższa od średniej międzysektorowej wynoszącej 2150.

W lipcu 2026 r. organizacje edukacyjne miały według tego samego źródła średnio 4848 wykrywanych ataków tygodniowo, czyli o 14 proc. więcej niż rok wcześniej. Dla Europy Check Point podał średnio 4759 ataków tygodniowo na organizację w okresie styczeń-lipiec i wzrost o 18 proc. rok do roku.

Nie są to dane dla Polski i nie należy czytać ich jako liczby incydentów, które rzeczywiście zakończyły się naruszeniem bezpieczeństwa. Pokazują natomiast skalę presji widocznej w telemetryce jednego dużego dostawcy bezpieczeństwa.

Drugi ciekawy sygnał dotyczy domen. Check Point zidentyfikował w lipcu 18 954 nowo zarejestrowane domeny zawierające motywy związane z edukacją, takie jak school, university, college czy student. Sama rejestracja takiej domeny nie oznacza złośliwego działania. Badacze podają jednak, że w czerwcu jako złośliwa była oznaczana jedna na 305 takich domen, a w lipcu już jedna na 226.

To ma znaczenie dla phishingu, ponieważ adres wyglądający jak portal studencki, system szkoły albo serwis stypendialny może zostać przygotowany specjalnie na okres zwiększonego ruchu informacyjnego.

Dlaczego początek roku daje napastnikom tyle pretekstów

Nowy rok szkolny lub akademicki łączy kilka procesów, które z punktu widzenia socjotechniki są bardzo wygodne.

Po pierwsze, pojawiają się nowi użytkownicy. Uczeń, student albo pracownik może jeszcze nie znać wyglądu prawdziwych komunikatów, adresów systemów i procedur działu IT. Trudniej mu zauważyć, że wiadomość o „aktywacji konta” albo „potwierdzeniu dostępu” nie pasuje do normalnego procesu.

Po drugie, zwiększa się liczba prawdziwych wiadomości. Plany zajęć, zapisy do grup, platformy e-learningowe, biblioteka, akademik, płatności, stypendia, legitymacje, konta Microsoft 365 i dokumenty administracyjne tworzą duży szum. Phishing nie musi wtedy wyglądać wyjątkowo. Wystarczy, że przypomina jedną z wielu oczekiwanych formalności.

Po trzecie, częściej zmieniają się konta i uprawnienia. Brytyjski Department for Education wskazuje, że początek roku oznacza nowe konta pracowników, co tworzy dodatkowe okazje phishingowe. Wśród zaleceń wymienia między innymi MFA, szkolenie personelu, aktualną filtrację poczty oraz przegląd kont osób, które opuściły organizację.

Jak wyglądają przynęty na szkoły, uczelnie i studentów

1. „Twoje konto wymaga aktywacji”

To naturalny scenariusz na pierwsze dni roku. Użytkownik spodziewa się wiadomości o koncie, więc link do logowania nie wydaje się nietypowy. Fałszywa strona może naśladować Microsoft 365, OneDrive, uczelniany system obsługi studiów albo platformę edukacyjną.

Check Point opisał w sierpniu 2026 r. złośliwe pliki PDF podszywające się pod szkoły. Użytkownik był kierowany przez kilka skompromitowanych stron, a końcowym etapem były podrobione strony logowania Microsoft 365 i OneDrive przygotowane do kradzieży danych dostępowych.

Zamiast ufać linkowi z wiadomości, lepiej wejść do systemu ze znanego adresu, zakładki albo oficjalnej strony placówki.

2. „Masz zaległą opłatę”

W środowisku akademickim pretekst płatności jest szczególnie wiarygodny. Może dotyczyć czesnego, akademika, legitymacji, powtarzania przedmiotu albo innej opłaty administracyjnej.

CERT Polska opisywał w maju 2026 r. kampanię, w której wiadomości o rzekomych zaległościach były wysyłane również z przejętych kont w domenach uczelni. Ten przypadek opisaliśmy szerzej w materiale Fałszywa opłata za studia. CERT Polska ostrzega przed phishingiem z domen uczelni.

Taki atak pokazuje, dlaczego sama domena nadawcy nie wystarcza do potwierdzenia wiadomości. Jeżeli sprawa dotyczy pieniędzy, numer rachunku i należność trzeba sprawdzić w oficjalnym systemie albo niezależnym kanałem kontaktu.

3. „Odbierz nagrodę lub zniżkę studencką”

Nie każdy phishing musi straszyć blokadą konta. Check Point pokazał także kampanię wykorzystującą fałszywą nagrodę studencką. Tego typu przynęty mogą odwoływać się do zniżek, sprzętu, bonów, stypendiów lub programu dla nowych studentów.

W tym wariancie sygnałem ostrzegawczym jest często połączenie atrakcyjnej korzyści z koniecznością szybkiego podania danych osobowych, danych karty albo zalogowania się przez stronę, której użytkownik wcześniej nie znał.

4. „Dokument od szkoły lub wykładowcy”

Dokument PDF, link do OneDrive albo plik udostępniony przez konto wyglądające na uczelniane łatwo zyska zaufanie. Szczególnie wtedy, gdy odbiorca rzeczywiście czeka na plan zajęć, regulamin, sylabus albo formularz.

Jeżeli konto nadawcy zostało przejęte, wiadomość może być technicznie wysłana z prawdziwej domeny. Dlatego przy nietypowej prośbie o logowanie, przelew lub zmianę danych trzeba ocenić także kontekst i cel wiadomości.

Prawdziwa domena nie daje pełnej gwarancji

Klasyczna rada „sprawdź nadawcę” nadal jest użyteczna, ale nie rozwiązuje problemu przejętych kont. Jeżeli napastnik ma dostęp do prawdziwej skrzynki szkoły lub uczelni, może korzystać z istniejących relacji i historii korespondencji.

Wtedy użytkownik widzi znajomą domenę, nazwisko pracownika lub wykładowcy i temat pasujący do codziennej pracy. To zmienia phishing z prostego podszycia się pod instytucję w nadużycie prawdziwego konta.

Podstawowy mechanizm takich ataków opisujemy w poradniku Co to jest phishing?. W edukacji szczególnie istotne jest jednak połączenie ochrony technicznej z prostymi procedurami weryfikacji.

Checklista dla ucznia, studenta i pracownika

Przed początkiem roku warto ustalić kilka prostych zasad:

1. Loguj się ze znanego adresu. Jeżeli wiadomość prosi o wejście do Microsoft 365, systemu uczelni lub platformy edukacyjnej, otwórz usługę z zapisanej zakładki albo oficjalnej strony.
2. Nie potwierdzaj płatności wyłącznie na podstawie maila. Numer rachunku i należność sprawdź w oficjalnym systemie lub u administracji.
3. Traktuj nagłe prośby o hasło lub kod MFA jako sygnał do weryfikacji. Zwykły dokument albo plan zajęć nie powinien wymuszać nieoczekiwanego ponownego logowania przez obcą domenę.
4. Zgłaszaj podejrzane wiadomości. Użytkownik powinien wiedzieć, do jakiego adresu lub zespołu wysłać zgłoszenie i nie zastanawiać się, czy „to na pewno incydent”.
5. Nie zakładaj, że prawdziwa domena oznacza prawdziwą prośbę. Przejęte konto może służyć do rozsyłania kolejnych wiadomości.

Checklista dla IT i administracji

Microsoft w swoich zaleceniach dla Microsoft 365 Education wskazuje ochronę przed phishingiem jako jeden z podstawowych elementów konfiguracji. Początek roku jest dobrym momentem na sprawdzenie nie tylko ustawień, ale też gotowości operacyjnej.

Praktyczna lista obejmuje:

• usunięcie lub zablokowanie kont osób, które nie powinny mieć już dostępu;
• włączenie MFA dla pracowników i tam, gdzie to możliwe, również dla innych grup użytkowników;
• przegląd polityk anti-phishing, anti-spam i ochrony przed podszywaniem się;
• weryfikację domen i adresów używanych do logowania;
• sprawdzenie, czy użytkownicy wiedzą, gdzie zgłaszać podejrzane wiadomości;
• przygotowanie procedury szybkiego unieważnienia sesji po przejęciu konta;
• monitoring nietypowych logowań, reguł pocztowych i automatycznych przekierowań;
• krótkie ćwiczenie phishingowe oparte na realnych procesach szkoły lub uczelni.

Sam filtr pocztowy nie wystarczy, jeżeli użytkownik otrzyma wiadomość z przejętego konta albo trafi na fałszywą stronę innym kanałem. Z drugiej strony samo szkolenie nie zastępuje MFA, polityk dostępu i reakcji administratora. Potrzebne są obie warstwy.

Jeżeli chcesz sprawdzić, jak mierzyć zachowanie użytkowników bez sprowadzania programu do samego wskaźnika kliknięć, zobacz Testy phishingowe dla firm: jak mierzyć odporność pracowników.

Co zrobić po wpisaniu danych na fałszywej stronie

Jeżeli użytkownik podał hasło, liczy się szybka reakcja. Zmiana hasła jest potrzebna, ale nie powinna być jedynym działaniem.

Administrator powinien unieważnić aktywne sesje, sprawdzić historię logowań, metody MFA, nowe urządzenia, reguły skrzynki i automatyczne przekierowania. Jeżeli konto służyło już do wysyłania wiadomości, trzeba ustalić odbiorców i ostrzec osoby, które mogły dostać phishing z prawdziwej domeny.

Jeżeli użytkownik wykonał przelew lub podał dane płatnicze, potrzebny jest także szybki kontakt z bankiem. W przypadku danych służbowych lub osobowych organizacja powinna uruchomić właściwy proces reagowania na incydenty i ocenić zakres zdarzenia.

Co warto przećwiczyć przed pierwszym dzwonkiem

Najbardziej użyteczne ćwiczenie nie musi być technicznie skomplikowane. Dobrze, jeśli odwzorowuje sytuację, którą użytkownik rzeczywiście może zobaczyć we wrześniu: aktywację konta, dokument w OneDrive, zmianę planu, opłatę albo komunikat działu IT.

Scenariusz powinien sprawdzać nie tylko kliknięcie, ale również to, czy użytkownik:

• rozpoznaje nietypowy adres logowania;
• zatrzymuje się przed podaniem danych;
• potrafi znaleźć prawidłowy kanał weryfikacji;
• zgłasza wiadomość;
• wie, co zrobić, jeżeli już podał hasło.

Takie podejście można wykorzystać w testach phishingowych dla organizacji, dopasowując przynęty do prawdziwych procesów szkoły lub uczelni zamiast korzystać z przypadkowych szablonów.

Podsumowanie

Dane z 2026 r. nie oznaczają, że każda szkoła lub uczelnia zostanie zaatakowana ani że 4696 tygodniowych zdarzeń to phishing. Pokazują jednak, że według telemetryki Check Point edukacja pozostaje sektorem pod bardzo dużą presją, a początek roku daje napastnikom wiele naturalnych pretekstów.

Najbardziej praktyczne przygotowanie to połączenie kilku elementów: poprawnie skonfigurowanych kont i MFA, ochrony poczty, kontroli dostępu, procedury szybkiego zgłoszenia oraz krótkich ćwiczeń opartych na realnych wiadomościach, które użytkownicy zobaczą po powrocie do szkoły lub na uczelnię.