CERT Polska ostrzega przed nasilonymi atakami phishingowymi, które mają wyglądać jak oficjalne komunikaty bezpieczeństwa od Google. Wiadomości są napisane po polsku, często bez rażących błędów, a ich celem jest wywołanie presji i nakłonienie użytkownika do szybkiego kliknięcia w link. Stawka jest wysoka: przejęcie skrzynki mailowej może dać przestępcom dostęp do kontaktów, dokumentów, mediów społecznościowych i innych powiązanych kont.
CERT Polska ostrzega użytkowników Gmaila
Według CERT Polska za kampanią stoi grupa UNC1151/Ghostwriter. To grupa znana z działań wymierzonych w skrzynki pocztowe polskich obywateli. Wcześniej ataki częściej dotyczyły użytkowników polskich dostawców poczty, takich jak Onet, Wirtualna Polska czy Interia. Od marca 2026 r. cyberprzestępcy zaczęli jednak intensywnie uderzać także w użytkowników Gmaila.
Zagrożenie nie dotyczy wyłącznie polityków, urzędników czy dziennikarzy. CERT Polska wskazuje, że fałszywe wiadomości mogą trafiać również do przypadkowych osób. Czasem przestępcy próbują odgadnąć adres konkretnego celu, a przez zbieżność imion i nazwisk mail trafia do kogoś zupełnie innego.
Tak wygląda oszustwo. Wiadomość udaje alert bezpieczeństwa
Mechanizm ataku jest prosty, ale bardzo niebezpieczny. Użytkownik dostaje e-mail, który wygląda jak pilny komunikat dotyczący bezpieczeństwa konta. W treści może pojawić się informacja o podejrzanej aktywności, próbie logowania z nowego urządzenia, naruszeniu regulaminu albo groźbie zablokowania konta.
Takie wiadomości mają skłonić do natychmiastowej reakcji. Właśnie na tym polega pułapka. Link z maila prowadzi do strony, która imituje panel logowania Gmaila. Użytkownik wpisuje tam adres e-mail i hasło, a następnie — jeśli konto ma włączone dodatkowe zabezpieczenie — także kod drugiego składnika uwierzytelnienia.
To szczególnie groźne, bo wiele osób uważa, że samo 2FA całkowicie rozwiązuje problem. Tymczasem w tej kampanii przestępcy potrafią wyłudzać również kody wysyłane SMS-em lub generowane w aplikacji typu Google Authenticator.
Przejęta skrzynka to nie tylko utrata poczty
Dla wielu osób Gmail jest centrum całego cyfrowego życia. To tam trafiają potwierdzenia logowania, dokumenty, faktury, wiadomości z banków, linki do resetowania haseł i powiadomienia z mediów społecznościowych. Jeśli przestępcy przejmą skrzynkę, mogą próbować dostać się także do innych usług.
CERT Polska podkreśla, że po przejęciu konta atakujący przeszukują pocztę pod kątem kontaktów, wrażliwych dokumentów i powiązanych kont. Lista kontaktów może posłużyć do kolejnych ataków, a dokumenty i prywatne informacje mogą zostać wykorzystane przeciwko właścicielowi skrzynki.
To oznacza, że ofiarą może stać się nie tylko osoba, która kliknęła w link. Zagrożone mogą być także osoby z jej otoczenia: współpracownicy, rodzina, znajomi czy członkowie organizacji, z którymi utrzymywała kontakt.
Na te sygnały trzeba uważać
Podejrzana powinna być każda wiadomość, która straszy natychmiastową blokadą konta i każe szybko kliknąć w link. Uwagę powinien zwrócić także adres nadawcy. CERT Polska podaje, że oszuści wykorzystują nazwy mające kojarzyć się z pomocą techniczną, monitoringiem konta albo bezpieczeństwem poczty.
Nie należy logować się do konta Google przez link z podejrzanego maila. Najbezpieczniej samodzielnie wejść na oficjalną stronę konta Google i tam sprawdzić aktywność oraz powiadomienia bezpieczeństwa. Google również przypomina, że oszuści potrafią kopiować e-maile o zablokowanej próbie logowania i wykorzystywać je do kradzieży danych.
Co zrobić, żeby chronić konto Gmail?
Najważniejsza zasada brzmi: nie działać pod presją. Jeśli wiadomość straszy natychmiastową utratą konta, trzeba zachować szczególną ostrożność. Lepiej nie klikać w link, nie wpisywać hasła na stronie otwartej z maila i nie podawać kodu 2FA, jeśli nie mamy całkowitej pewności, że logujemy się na prawdziwej stronie Google.
Warto też regularnie sprawdzać ostatnią aktywność na koncie, usuwać nieznane urządzenia z listy zalogowanych sesji i zmienić hasło, jeśli pojawi się cokolwiek podejrzanego. Google zaleca, by w przypadku podejrzenia nietypowej aktywności przejrzeć zdarzenia bezpieczeństwa na koncie i w razie potrzeby skorzystać z opcji zabezpieczenia konta.
CERT Polska zachęca również do zgłaszania podejrzanych stron przez formularz incydent.cert.pl. Takie zgłoszenia pomagają szybciej identyfikować fałszywe witryny i ograniczać zasięg kampanii.
Ataki mogą być kontynuowane
CERT Polska ostrzega, że tego typu działania najprawdopodobniej będą udoskonalane i kontynuowane. Cyberprzestępcy zmieniają techniki, rejestrują nowe domeny i wykorzystują przejęte strony internetowe, aby ich fałszywe panele logowania wyglądały bardziej wiarygodnie.
Dlatego przy każdym mailu dotyczącym bezpieczeństwa konta warto zatrzymać się na chwilę. W przypadku Gmaila jeden pochopny klik może oznaczać znacznie więcej niż utratę skrzynki. To może być początek przejęcia całej cyfrowej tożsamości.
To też może cię zainteresować: Z życia wzięte. "Jako wdowa na emeryturze myślałam już tylko o końcu": Gdy znalazłam miłość, rodzina była przeciw
Zobacz, o czym jeszcze pisaliśmy w ostatnich dniach: Nie żyje legendarny polski aktor. Na jego rolach wychowały się pokolenia Polaków