Wprowadzenie do problemu / definicja
Phishing pozostaje jedną z najczęściej wykorzystywanych metod uzyskiwania dostępu do kont, danych oraz procesów biznesowych. Mechanizm ataku opiera się na podszywaniu się pod zaufane podmioty w celu skłonienia ofiary do kliknięcia odnośnika, otwarcia załącznika, podania danych logowania lub wykonania określonej operacji. Najnowsze analizy wskazują, że w Europie tempo wzrostu tego zagrożenia przewyższa średnią globalną, co ma bezpośrednie znaczenie dla zespołów bezpieczeństwa, administratorów poczty oraz działów odpowiedzialnych za ochronę tożsamości użytkowników.
W skrócie
- Phishing w Europie rośnie wyraźnie szybciej niż średnio na świecie.
- W regionie odnotowano wielokrotny wzrost aktywności kampanii phishingowych rok do roku.
- Europejscy użytkownicy częściej wchodzą w interakcję ze złośliwymi wiadomościami niż średnia globalna.
- Na znaczeniu zyskują kampanie ukierunkowane, w tym callback phishing i ataki oparte na socjotechnice.
- Szczególnie narażone pozostają sektory o dużej presji operacyjnej, takie jak ochrona zdrowia.
Kontekst / historia
Phishing od lat stanowi podstawowy wektor ataku wykorzystywany zarówno do kradzieży danych, jak i do przejęć kont, oszustw finansowych czy przygotowania gruntu pod dalszą kompromitację środowiska. Zmianie uległ jednak charakter samych kampanii. Współczesne ataki coraz rzadziej przypominają proste wiadomości z błędami językowymi i podejrzanymi domenami, a coraz częściej są dobrze przygotowanymi, wieloetapowymi scenariuszami dopasowanymi do języka, branży i procesów ofiary.
W Europie obrona jest dodatkowo utrudniona przez różnorodność językową i organizacyjną. Napastnicy dostosowują przynęty do lokalnych realiów, wykorzystując motywy związane z płatnościami, logistyką, administracją, ochroną zdrowia czy współpracą transgraniczną. W efekcie klasyczne filtry bazujące wyłącznie na reputacji nadawcy lub sygnaturach przestają być wystarczające.
Analiza techniczna
Z najnowszych ustaleń opartych na badaniach Proofpoint wynika, że aktywność phishingowa w Europie wzrosła około 4,5-krotnie rok do roku, podczas gdy globalnie wzrost wyniósł około 1,5 raza. Oznacza to, że tempo przyrostu w regionie europejskim jest około trzykrotnie wyższe od średniej światowej. Jednocześnie użytkownicy w Europie częściej reagują na złośliwe wiadomości — średnio 8,3 interakcji na 100 dostarczonych wiadomości zagrożeniowych wobec 2,0 globalnie.
Z technicznego punktu widzenia szczególnie istotne są dwa zjawiska. Po pierwsze, rośnie znaczenie ataków nastawionych przede wszystkim na człowieka, a nie na exploit techniczny. Oznacza to większy udział wiadomości tekstowych, dobrze opracowanych przynęt i scenariuszy wymuszających samodzielne działanie użytkownika. Po drugie, coraz wyraźniej rozwija się callback phishing, znany także jako TOAD, w którym e-mail ma skłonić ofiarę do wykonania połączenia telefonicznego, a właściwa manipulacja odbywa się poza standardowym torem inspekcji poczty.
Na uwagę zasługuje również sektor ochrony zdrowia, gdzie zaobserwowano bardzo wysoki wzrost callback phishingu oraz równoczesny wzrost aktywności malware. Taki model wskazuje, że napastnicy coraz częściej łączą socjotechnikę z próbami dostarczania kolejnych etapów infekcji, takich jak narzędzia do kradzieży poświadczeń, zdalnego dostępu czy przygotowania ataku ransomware.
Rosnąca skuteczność phishingu wynika także z dojrzewania procesów po stronie atakujących. Kampanie są lepiej lokalizowane językowo, szybciej rotują infrastrukturę, częściej korzystają z legalnych usług chmurowych i tworzą treści trudniejsze do odróżnienia od prawdziwej komunikacji biznesowej. To wyraźne przesunięcie z prostego spamu w kierunku ataków o większej precyzji i wyższym prawdopodobieństwie powodzenia.
Konsekwencje / ryzyko
Dla organizacji oznacza to wzrost ryzyka przejęcia kont pocztowych, kompromitacji tożsamości użytkowników oraz nadużyć finansowych. Phishing bardzo często stanowi pierwszy etap łańcucha ataku prowadzącego do business email compromise, kradzieży danych, eskalacji uprawnień lub wdrożenia złośliwego oprogramowania. W środowiskach opartych na chmurze i federacji tożsamości skutki pojedynczego incydentu mogą objąć wiele systemów jednocześnie.
Wysoki poziom interakcji użytkowników ze złośliwą treścią zwiększa znaczenie warstwy ludzkiej. Nawet dobrze skonfigurowane filtry pocztowe nie eliminują całego ryzyka, jeśli wiadomość jest wiarygodna, osadzona w realnym kontekście pracy i pozbawiona klasycznych wskaźników kompromitacji. Dodatkowo callback phishing utrudnia detekcję, ponieważ kluczowy etap oszustwa przenosi się z poczty elektronicznej do rozmowy telefonicznej.
Dla sektorów krytycznych, takich jak ochrona zdrowia, administracja czy usługi finansowe, wzrost tego typu kampanii może oznaczać nie tylko straty finansowe, ale także zakłócenie ciągłości działania, ryzyko naruszenia danych osobowych oraz większą presję operacyjną na zespoły SOC i helpdesk.
Rekomendacje
Organizacje powinny traktować phishing jako ryzyko tożsamościowe i operacyjne, a nie wyłącznie problem filtrowania poczty. Podstawą pozostaje wielowarstwowa ochrona skrzynek pocztowych, obejmująca egzekwowanie polityk SPF, DKIM i DMARC, inspekcję adresów URL, analizę załączników oraz wykrywanie anomalii behawioralnych.
Równolegle należy wzmacniać zabezpieczenia tożsamości. W praktyce oznacza to wdrażanie MFA odpornego na phishing tam, gdzie to możliwe, ograniczanie nadmiernych uprawnień, segmentację dostępu do aplikacji SaaS oraz monitorowanie nietypowych logowań i zmian w sesjach użytkowników. Istotną rolę odgrywa także ochrona przed przejęciem sesji i nadużyciem tokenów.
W odpowiedzi na callback phishing warto wdrożyć procedury weryfikacji zgłoszeń inicjowanych przez użytkownika po otrzymaniu wiadomości e-mail. Każda prośba o kontakt telefoniczny, reset dostępu, instalację narzędzia zdalnego wsparcia lub pilne wykonanie płatności powinna przechodzić dodatkową kontrolę innym kanałem. Działy wsparcia powinny dysponować gotowymi scenariuszami rozpoznawania prób socjotechnicznych.
Niezbędne są również szkolenia ukierunkowane na nowoczesne techniki ataku. Zamiast ogólnych materiałów o nieklikaniu w linki, skuteczniejsze są ćwiczenia oparte na realistycznych scenariuszach, takich jak fałszywe faktury, zmiany danych bankowych, alerty administracyjne, wiadomości HR czy instrukcje kontaktu z numerem telefonu. Ważne jest też uproszczenie ścieżki zgłaszania podejrzanych wiadomości i szybkie dostarczanie użytkownikom informacji zwrotnej.
Z perspektywy SOC warto rozwijać detekcję korelacyjną łączącą zdarzenia pocztowe, tożsamościowe i endpointowe. Samo wykrycie wiadomości nie wystarcza, jeśli organizacja nie potrafi szybko odpowiedzieć na sekwencję obejmującą dostarczenie wiadomości, kliknięcie, logowanie, utworzenie reguły skrzynki, pobranie pliku i komunikację z nową infrastrukturą.
Podsumowanie
Najnowsze dane pokazują, że phishing w Europie rośnie szybciej niż średnia globalna i jednocześnie skuteczniej angażuje użytkowników. To wyraźny sygnał, że organizacje nie powinny opierać obrony wyłącznie na tradycyjnych filtrach poczty. Kluczowe stają się ochrona tożsamości, analiza zachowań użytkowników, odporne na phishing mechanizmy uwierzytelniania oraz procedury ograniczające skutki socjotechniki wielokanałowej. W praktyce to właśnie połączenie zabezpieczeń technicznych, kontroli operacyjnych i dojrzałości użytkowników będzie decydować o odporności na nową falę kampanii phishingowych.
Źródła
- Phishing Rises Three Times Faster in Europe Than Globally – Infosecurity Magazine — https://www.infosecurity-magazine.com/news/phishing-rises-faster-europe/
- Proofpoint Research Finds Phishing Threats Rising Three Times Faster in Europe Than Globally — https://www.proofpoint.com/uk/newsroom/press-releases/proofpoint-research-finds-phishing-threats-rising-three-times-faster-europe
- Europe’s Threat Landscape in 2026: Espionage Expands as AI and Phishing Risks Grow — https://www.proofpoint.com/uk/blog/threat-insight/europes-threat-landscape-2026-espionage-expands-ai-and-phishing-risks-grow
- ENISA Threat Landscape 2025 — https://www.enisa.europa.eu/sites/default/files/2025-11/ENISA%20Threat%20Landscape%202025.pdf