Spear phishing i whaling: atak skrojony na miarę

Czym jest spear phishing?

Spear phishing to atak wymierzony w konkretną osobę albo wąską grupę. Zamiast tysiąca identycznych wiadomości atakujący wysyła jedną, przygotowaną po kilku dniach lub tygodniach zbierania informacji o ofierze.

Skutek jest taki, że klasyczne sygnały ostrzegawcze przestają cokolwiek dawać. Wiadomość nie ma błędów językowych. Odwołuje się do projektu, który faktycznie trwa. Przychodzi od osoby, z którą ofiara rzeczywiście współpracuje, i w momencie, w którym ma to sens. Cały mechanizm sprowadza się do kontekstu. W szerszym obrazie to jedna z wielu odmian opisanych w naszym przewodniku po rodzajach phishingu, ale dla firm najkosztowniejsza.

Ile to kosztuje

Spear phishing rzadko kończy się na wykradzionym haśle. Zwykle chodzi o przelew. Raport FBI IC3 za 2025 rok podaje konkretne liczby dla ataków typu BEC, czyli kompromitacji firmowej poczty:

• 3,046 miliarda dolarów strat zgłoszonych w samym 2025 roku, wobec 2,77 miliarda rok wcześniej
• Ponad 122 tysiące dolarów średniej straty na jedno zgłoszenie
• 86% wyprowadzonych środków przechodzi przelewem bankowym lub ACH
• Ponad 30 milionów dolarów strat przypisanych atakom z potwierdzonym udziałem AI

Warto zestawić to z inną liczbą z tego samego raportu. Zgłoszeń phishingu i spoofingu było mniej więcej tyle samo co rok wcześniej, ale straty wzrosły o 208%. Atakujących nie interesuje już liczba ofiar, tylko wartość pojedynczej.

Czym różni się od phishingu masowego

Obie techniki mają ten sam cel, ale zupełnie inną ekonomię i inny profil ryzyka:

• Skala: kampania masowa trafia do tysięcy odbiorców, spear phishing do jednej osoby
• Przygotowanie: od kilku minut do kilku tygodni rozpoznania
• Personalizacja: gotowy szablon kontra treść odwołująca się do realnych spraw ofiary
• Wykrywalność: masowe kampanie zdradza powtarzalność, atak ukierunkowany nie ma z czym się powtarzać
• Stawka: wykradzione hasło kontra przelew zatwierdzony przez osobę z uprawnieniami

Whaling: gdy celem jest zarząd

Whaling to spear phishing wymierzony w najwyższe stanowiska. Prezes, dyrektor finansowy, członek zarządu. Nazwa mówi o rozmiarze zdobyczy, bo takie konto daje dostęp do informacji strategicznych i uprawnień, których nie ma nikt niżej.

Kadra zarządzająca jest narażona bardziej niż reszta organizacji, i to z powodów, których nie da się łatwo usunąć. Jej dane są publiczne w komunikatach prasowych i KRS. Pracuje pod presją czasu, często poza standardową procedurą. A podwładni rzadko kwestionują polecenie od prezesa. Ten ostatni punkt jest najważniejszy, bo atak wcale nie musi przejmować konta. Wystarczy, że wiadomość wygląda na właściwą.

Jak przebiega atak ukierunkowany

Co atakujący wie o Twojej firmie

Rozpoznanie rzadko wymaga włamania. Zwykle wystarczy to, co organizacja sama publikuje:

• Portale zawodowe: struktura organizacyjna, stanowiska, zmiany kadrowe
• Strona firmowa: schemat adresów e-mail, nazwiska, kontakty do działów
• KRS i sprawozdania: dane zarządu, powiązania kapitałowe, sytuacja finansowa
• Media społecznościowe: wyjazdy, konferencje, zdjęcia identyfikatorów i ekranów
• Wcześniejsze wycieki: hasła i adresy z naruszeń w innych serwisach
• Oferty pracy: używane technologie, systemy wewnętrzne, a czasem wprost narzędzia bezpieczeństwa

Sygnały ostrzegawcze

Skoro atak ukierunkowany jest dopracowany językowo, uwagę trzeba przenieść z formy na sam charakter prośby:

• Prośba omija standardową procedurę, na przykład „nie angażuj księgowości, załatwmy to bezpośrednio"
• Presja poufności zestawiona z presją czasu
• Zmiana numeru konta w trwającej sprawie, nawet jeśli wątek wygląda znajomo
• Odpowiedź kieruje się na inny adres niż ten, z którego rzekomo przyszła wiadomość
• Polecenie od osoby, która normalnie nie zajmuje się takimi sprawami
• Różnica w domenie nadawcy: zamieniona litera, inna końcówka, dodany myślnik

Jak się bronić

Obrona opiera się na procesach, których nie da się obejść pośpiechem ani autorytetem:

• Wprowadź obowiązkową akceptację dwuosobową dla przelewów powyżej ustalonego progu
• Każdą zmianę numeru konta potwierdzaj telefonicznie na numer z własnej bazy, nigdy z wiadomości
• Objmij zarząd i asystentów symulacjami spear phishingu opartymi na realnym rozpoznaniu, a nie na gotowym szablonie
• Wdróż klucze sprzętowe dla kont o podwyższonych uprawnieniach
• Oznaczaj wiadomości z zewnątrz widocznym ostrzeżeniem w kliencie pocztowym
• Ogranicz dane o strukturze organizacyjnej publikowane na stronie i w ogłoszeniach o pracę
• Daj kadrze możliwość zgłoszenia wątpliwości bez obawy, że wyjdzie na naiwną
• Porównaj swoje procedury z danymi z Raportu Social Engineering 2026

Podsumowanie

Spear phishing wykorzystuje coś, czego nie da się wyłączyć: zaufanie do znanych nazwisk i gotowość do szybkiego działania, gdy prosi przełożony. Obrona oparta na rozpoznawaniu fałszywych wiadomości prędzej czy później zawiedzie, bo te wiadomości są dobre. Zadziała procedura, która wymaga potwierdzenia niezależnie od tego, jak wiarygodnie brzmi prośba.

Jeśli procedura działa tylko wtedy, gdy rozpoznasz oszustwo, to nie jest procedura. To loteria.