29,6 tys. szkodliwych domen. Phishing w Polsce w lipcu 2026

TL;DR

W lipcu 2026 roku na Listę Ostrzeżeń CERT Polska trafiło 29,6 tys. szkodliwych nazw domen — o 39% więcej niż w czerwcu. Od początku roku do końca lipca było ich już 158,3 tys. To nie jest liczba atakujących, kampanii ani ofiar. Jest to jednak sygnał, jak szybko oszuści tworzą i wymieniają internetową infrastrukturę służącą do wyłudzania danych.

W tym samym miesiącu CERT Polska otrzymał 56,2 tys. zgłoszeń i zarejestrował 31,2 tys. incydentów cyberbezpieczeństwa. Tej ostatniej liczby nie można nazywać liczbą ataków phishingowych, bo obejmuje różne kategorie zdarzeń. Dodatkowo po zmianach ustawy o krajowym systemie cyberbezpieczeństwa z 3 kwietnia 2026 roku część danych nie jest w pełni porównywalna ze starszymi okresami.

Najważniejszy wniosek dla firm: obrona nie kończy się na filtrze poczty. Potrzebne są ochrona DNS i sieci, szybkie zgłaszanie, sprawna reakcja IT lub SOC oraz program security awareness, który uczy pracowników przerywać proces wyłudzenia także wtedy, gdy kampania korzysta z nowej domeny, SMS-a, telefonu albo pozornie zwykłego dokumentu.

Najważniejsze liczby z lipca 2026

Raport CERT Polska nr 7/2026 obejmuje okres od 1 do 31 lipca 2026 roku. Najważniejsze wskaźniki nie opisują tego samego zjawiska, dlatego warto czytać je osobno.

| Miara | Lipiec 2026 | Kontekst | | --- | ---: | --- | | Wszystkie zgłoszenia do CERT Polska | 56,2 tys. | Sygnały przekazane do weryfikacji różnymi kanałami | | Zarejestrowane incydenty cyberbezpieczeństwa | 31,2 tys. | Różne kategorie; o 37% więcej niż w czerwcu i o 12% więcej niż w lipcu 2025 r. | | Szkodliwe domeny dodane do Listy Ostrzeżeń | 29,6 tys. | O 39% więcej niż w czerwcu | | Szkodliwe domeny od stycznia do lipca | 158,3 tys. | Suma za pierwsze siedem miesięcy 2026 r. | | Zgłoszenia podejrzanych SMS-ów | 13 tys. | O 3% mniej niż w czerwcu; 97,1 tys. od początku roku | | Fałszywe SMS-y wśród lipcowych zgłoszeń SMS | 11% | Udział wiadomości uznanych za fałszywe | | SMS-y zablokowane na podstawie wzorców CERT Polska | 6,2 tys. | Szacowana liczba blokad w lipcu |

Te wartości pokazują trzy różne etapy pracy systemu: użytkownicy i organizacje wysyłają zgłoszenia, CERT kwalifikuje incydenty, a domeny i wzorce wiadomości trafiają do mechanizmów ograniczających dostęp do oszustwa. Proste dodanie tych liczb do siebie nie ma sensu — częściowo opisują te same zdarzenia z różnych stron.

29,6 tys. domen w jednym miesiącu — co ta liczba mierzy

Szkodliwa domena to nazwa internetowa wykorzystywana do wyłudzania danych albo prowadzenia użytkownika do oszustwa. Może udawać stronę logowania, panel płatności, serwis kurierski, urząd, bank, system firmowy lub formularz do potwierdzenia danych. Jest infrastrukturalną częścią procesu phishingu, a nie osobną miarą liczby ofiar. Domena może wyglądać wiarygodnie, mimo że została zarejestrowana tylko na krótki czas.

Lipcowe 29,6 tys. oznacza liczbę nazw domen dodanych w tym miesiącu do Listy Ostrzeżeń CERT Polska. Nie oznacza 29,6 tys. niezależnych kampanii. Jeden operator może używać wielu domen jednocześnie, a jedna kampania może rotować między nimi, gdy kolejne adresy są zgłaszane i blokowane.

Nie jest to również pełna liczba wszystkich złośliwych domen dostępnych w polskim internecie. Lista obejmuje te domeny, które zostały wykryte, zgłoszone, zweryfikowane i zakwalifikowane. Rzeczywista infrastruktura kampanii może być szersza. Wartość listy polega na tym, że zamienia rozproszone zgłoszenia w sygnał, który może być wykorzystany automatycznie przez operatorów i systemy bezpieczeństwa.

Dlaczego jedna kampania zużywa wiele domen

Współczesny phishing przypomina usługę działającą w krótkich cyklach. Oszust przygotowuje szablon strony, rejestruje domeny, wysyła wiadomości, zbiera dane i wymienia elementy infrastruktury, które przestają działać. Sam wygląd fałszywej strony może pozostać niemal taki sam, nawet jeśli adres zmienia się kilka razy dziennie.

Rotacja domen daje napastnikom kilka korzyści:

• rozkłada kampanię na wiele adresów, więc blokada jednego nie zatrzymuje całej operacji;
• pozwala używać nazw dopasowanych do różnych marek, urzędów i pretekstów;
• utrudnia filtrom opartym wyłącznie na reputacji historycznej szybkie rozpoznanie nowego adresu;
• umożliwia testowanie wariantów wiadomości i stron dla różnych grup odbiorców;
• skraca zależność kampanii od pojedynczego hostingu lub dostawcy.

Dlatego skala domen mówi przede wszystkim o tempie odtwarzania infrastruktury wyłudzeń. Nie dowodzi, że każda z tych domen skutecznie oszukała użytkownika. Pokazuje natomiast, że obrona musi reagować szybciej niż cykl wymiany adresów.

Zgłoszenie, incydent i domena to trzy różne miary

W debacie o cyberbezpieczeństwie te pojęcia bywają używane zamiennie, choć odpowiadają na inne pytania.

Zgłoszenie to informacja przekazana do CERT Polska. Może dotyczyć strony, e-maila, SMS-a, załącznika, podatności albo zdarzenia w organizacji. Zgłoszenie wymaga analizy; nie każde staje się osobnym incydentem.

Zarejestrowany incydent to zdarzenie zakwalifikowane zgodnie z obowiązującymi kryteriami. Lipcowe 31,2 tys. obejmuje wiele kategorii cyberbezpieczeństwa. Raport nie daje podstaw, aby całość tej liczby nazwać phishingiem.

Szkodliwa domena jest elementem infrastruktury. Kilka domen może należeć do jednego incydentu lub kampanii, a jedno zgłoszenie może ujawnić domenę wykorzystywaną wobec wielu odbiorców. Domen nie wolno więc przeliczać jeden do jednego na ofiary, wiadomości lub sprawców.

To rozróżnienie jest szczególnie ważne w nagłówkach. Zdanie „31,2 tys. incydentów phishingowych w lipcu” byłoby nieuprawnione. Poprawne jest: CERT Polska zarejestrował 31,2 tys. incydentów cyberbezpieczeństwa, a na Listę Ostrzeżeń dodał 29,6 tys. szkodliwych domen.

Czego nie wolno wywnioskować z danych CERT Polska

Dane miesięczne są wartościowe, ale bez kontekstu łatwo zamienić je w fałszywie precyzyjną historię. Z raportu za lipiec nie wynika:

• ilu ludzi straciło pieniądze lub dane;
• ile firm zostało skutecznie przejętych;
• ile unikalnych grup przestępczych działało w Polsce;
• że każda dodana domena była częścią osobnej kampanii;
• że 31,2 tys. wszystkich incydentów było phishingiem;
• że wzrost liczby domen oznacza dokładnie taki sam wzrost ryzyka dla każdego pracownika.

Trzeba też uwzględnić zmianę prawną. 3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która zmieniła definicje i zakres raportowania. CERT Polska zaznacza, że dane publikowane od kwietnia mogą nie być w pełni porównywalne z wcześniejszymi okresami. Raport podaje zmianę względem lipca 2025 roku, ale przy szerszych analizach trendu rocznego należy traktować tę granicę metodologiczną poważnie.

Wcześniejszy punkt odniesienia znajdziesz w naszej analizie danych CERT Polska za kwiecień 2026. Tam punktem ciężkości były codzienne preteksty i scenariusze awareness. W lipcu najciekawszym sygnałem jest tempo przyrostu domen oraz to, jak zgłoszenie może przełożyć się na blokadę.

Jak wyglądały lipcowe kampanie

Liczby stają się bardziej zrozumiałe, gdy zestawi się je z przykładami opisanymi w raporcie. W lipcu CERT Polska obserwował między innymi podszywanie się pod NFZ. Fałszywe wiadomości i strony miały prowadzić do wyłudzenia danych osobowych oraz danych karty płatniczej.

W kampanii dotyczącej opłaty parkingowej oszuści próbowali obejść ostrzeżenia telefonu. Wiadomość nakłaniała odbiorcę do odpowiedzi albo skopiowania adresu i wklejenia go do przeglądarki. To ważna lekcja: brak klikalnego linku nie czyni SMS-a bezpiecznym. Instrukcja ręcznego wejścia na stronę może być celowym elementem ataku.

Pojawił się również wariant podszywający się pod InPost i proszący o potwierdzenie adresu dostawy. Motyw paczki nadal działa, bo łączy rutynę, presję czasu i możliwość drobnej opłaty. Więcej o mechanice tego kanału wyjaśniamy w poradniku smishing: co to jest SMS phishing.

Raport opisuje też kampanię wymierzoną w małe i średnie firmy. Wiadomość udawała zapytanie ofertowe lub zamówienie, a załącznik dostarczał Remcos RAT — narzędzie zdalnego dostępu wykorzystywane jako złośliwe oprogramowanie. Ten przykład pokazuje, że phishing nie zawsze kończy się na fałszywym formularzu logowania. Może prowadzić do uruchomienia pliku i przejęcia urządzenia.

Wspólnym mianownikiem nie jest konkretna marka. Jest nim wiarygodny proces: rozliczenie zdrowotne, parking, dostawa lub nowe zamówienie. Dlatego skuteczna obrona musi obejmować decyzję człowieka, a nie tylko rozpoznawanie logotypów.

Jak działa cykl: domena → zgłoszenie → blokada

Najbardziej użyteczny sposób czytania lipcowych danych to potraktowanie ich jako opisu cyklu obronnego.

1. Oszust rejestruje domenę i publikuje fałszywą stronę.
2. Link dociera do odbiorców przez e-mail, SMS, reklamę, komunikator albo dokument.
3. Użytkownik, firma lub system bezpieczeństwa rozpoznaje podejrzaną treść i ją zgłasza.
4. CERT Polska analizuje zgłoszenie i może dodać domenę do Listy Ostrzeżeń.
5. Operatorzy i dostawcy korzystający z listy blokują dostęp lub wyświetlają ostrzeżenie.
6. Napastnik próbuje przenieść kampanię na kolejną domenę, a cykl zaczyna się ponownie.

Szybkie zgłoszenie może skrócić czas działania szkodliwej domeny i ochronić kolejnych odbiorców. Blokada jest skuteczniejsza, gdy pracownik wie, gdzie i jak przekazać pełny kontekst wiadomości.

W tym modelu pracownik nie jest wyłącznie „najsłabszym ogniwem”. Może być sensorem, który skraca życie kampanii. Warunkiem jest prosty kanał zgłaszania i reakcja bez szukania winnego. Jeśli osoba po kliknięciu boi się przyznać do błędu, organizacja traci najcenniejszy zasób: czas.

Co firmy powinny zmienić

Duża rotacja domen oznacza, że firma nie może opierać ochrony na jednym filtrze ani statycznej liście wskaźników. Potrzebny jest zestaw współpracujących ze sobą warstw.

1. Wykorzystaj sygnały sieciowe i DNS

Ochrona DNS, bezpieczne bramy internetowe, filtrowanie URL i aktualizowane listy reputacyjne mogą zatrzymać część wejść na znane szkodliwe domeny. Trzeba jednak mierzyć, czy mechanizmy obejmują pracowników zdalnych, telefony i urządzenia poza biurem.

2. Zbuduj jeden prosty kanał zgłaszania

Pracownik powinien wiedzieć, jak zgłosić e-mail, SMS, stronę, rozmowę telefoniczną i podejrzany plik. W Polsce podejrzany SMS można przekazać na numer 8080, a inne zdarzenia przez incydent.cert.pl. W firmie potrzebna jest równoległa, wewnętrzna ścieżka do IT, SOC lub helpdesku.

3. Reaguj także po kliknięciu

Procedura musi obejmować nie tylko usunięcie wiadomości. Po podaniu hasła lub kodu trzeba unieważnić sesje i tokeny, zmienić dane dostępowe, sprawdzić reguły skrzynki oraz logi. Po uruchomieniu pliku dochodzi izolacja urządzenia i analiza telemetryczna. Po podaniu danych karty potrzebny jest szybki kontakt z bankiem.

4. Ćwicz proces, nie wygląd wiadomości

Testy nie powinny uczyć „szukaj błędu językowego” albo „sprawdź, czy jest logo”. Lepiej odtwarzać rzeczywiste procesy: prośbę o potwierdzenie adresu, dokument od kontrahenta, dopłatę, zmianę danych, kod MFA lub wiadomość rzekomego helpdesku. Pełniejszy model opisujemy w materiale warstwa obrony przed phishingiem.

5. Dopasuj scenariusze do ról

Księgowość i zakupy potrzebują ćwiczeń z fakturami, zamówieniami i zmianą rachunku. HR i administracja — z dokumentami, benefitami i urzędami. Zespoły terenowe — z telefonem, SMS-em i kodem QR. Administratorzy — z resetem MFA, tokenami i prośbami o dostęp.

Co mierzyć w programie security awareness

Sama liczba ukończonych szkoleń nie pokaże, czy organizacja przyspiesza cykl wykrycia i blokady. Lepszy zestaw wskaźników obejmuje:

• odsetek osób, które zgłosiły symulację lub realną wiadomość;
• medianę czasu od dostarczenia wiadomości do pierwszego zgłoszenia;
• kliknięcie, podanie danych, uruchomienie pliku i zatwierdzenie kodu jako osobne zachowania;
• czas od zgłoszenia do triage'u oraz usunięcia wiadomości z innych skrzynek;
• liczbę poprawnych zgłoszeń z pełnym kontekstem, linkiem i załącznikiem;
• powtarzalność ryzykownych zachowań w tej samej roli lub procesie;
• skuteczność scenariuszy poza e-mailem: SMS, telefon, QR i komunikator;
• czas unieważnienia sesji lub izolacji urządzenia po kontrolowanym zdarzeniu.

Dobrze prowadzony security awareness program łączy takie dane z krótkimi lekcjami i poprawą procedur. Celem nie jest złapanie pracownika na błędzie, lecz skrócenie czasu, w którym kampania może działać bez reakcji.

Wnioski

Lipcowe 29,6 tys. szkodliwych domen nie jest prostą miarą liczby ataków na Polaków. To miara infrastruktury rozpoznanej i dodanej do krajowego mechanizmu ostrzegania. Jej wzrost o 39% w stosunku do czerwca pokazuje, że oszuści potrafią szybko wytwarzać kolejne adresy, a obrona musi łączyć automatyczne blokady z szybką reakcją ludzi.

Nie wystarczy powiedzieć pracownikom, żeby uważali. Trzeba dać im realistyczne ćwiczenia, prosty kanał zgłoszenia i pewność, że szybka informacja po błędzie jest wartościowa. Wtedy pojedyncze zgłoszenie nie kończy się na obsłudze jednego użytkownika — może pomóc zatrzymać domenę, usunąć wiadomość z innych skrzynek i ochronić kolejne osoby.

Jeśli chcesz sprawdzić ten proces w praktyce, testy phishingowe dla firm powinny mierzyć nie tylko kliknięcie, ale również zgłoszenie, czas reakcji i zachowanie po wejściu na stronę.