CERT Orange: fałszywe maile do klientów PKO BP wyłudzają login, hasło i kod (30.10.2026)
Według publikacji z 30 października 2026 CERT Orange Polska wykrył kampanię phishingową wymierzoną w klientów PKO BP. Fałszywa strona iPKO biznes ma przejąć login, hasło i drugi składnik logowania.
- CERT Orange Polska wykrył kampanię phishingową wymierzoną w klientów PKO Banku Polskiego (publikacja z 30.10.2026).
- Mail prowadzi na stronę udającą iPKO biznes, gdzie oszuści próbują przejąć login, hasło i drugi składnik logowania.
- Część wiadomości ma załącznik PDF. Według CERT Orange nie zawiera on złośliwego oprogramowania, to autentyczny dokument używany w kontaktach z klientami firmowymi.
- Druga wersja ataku nie ma załącznika i krok po kroku prowadzi do rzekomego dosłania brakujących dokumentów.
- Kto wpisał dane logowania na podejrzanej stronie, powinien niezwłocznie skontaktować się ze swoim bankiem.
Fałszywa wiadomość ma przypominać standardową korespondencję bankową. Ostrzeżenie CERT Orange Polska opisał 30 października 2026 o godz. 18:36 serwis Benchmark.pl. Atak dotyczy klientów PKO Banku Polskiego, a konkretnie panelu iPKO biznes.
Po czym poznać fałszywy mail
Według CERT Orange uwagę powinien zwrócić adres nadawcy: node-jegw56-core(@)ispgateway(.)de. To nie jest adres banku.
W części przypadków przestępcy dołączają plik PDF, którego nazwa sugeruje konieczność aktualizacji danych. CERT Orange Polska zaznacza, że ten załącznik nie zawiera złośliwego oprogramowania. To autentyczny dokument wykorzystywany w kontaktach z klientami firmowymi. Samo otwarcie PDF-a nie jest więc tu głównym zagrożeniem, groźny jest link w wiadomości.
| Element | Co zauważył CERT Orange | Na co uważać |
|---|---|---|
| Adres nadawcy | node-jegw56-core(@)ispgateway(.)de | Nadawca nie wygląda na bank |
| Załącznik PDF | Nazwa sugeruje aktualizację danych | Nie jest to wirus, ale towarzyszy mu link do wyłudzenia |
| Link w mailu | Prowadzi najpierw na stronę pośredniczącą | Nie klikaj, nawet jeśli wiadomość wygląda wiarygodnie |
| Strona docelowa | biznes.rzad-pl(.)net, udaje panel iPKO biznes | Nie wpisuj tam loginu, hasła ani kodów |
Jak działa atak krok po kroku
Kliknięcie linku nie przenosi od razu na fałszywy serwis bankowy. Najpierw odbiorca trafia na stronę pośredniczącą, której adres jest zapisany w formie IPv4-mapped IPv6. To ukrywa zwykły adres IPv4, może utrudniać automatyczną analizę i sprawić, że część użytkowników nie zauważy zagrożenia.
Dopiero potem następuje przekierowanie na stronę biznes.rzad-pl(.)net, czyli witrynę udającą panel iPKO biznes. Naśladuje ona wygląd bankowego logowania. Analitycy CERT Orange Polska zauważyli, że oszuści dodali na dole serwisu komunikat ostrzegający przed fałszywymi wiadomościami od cyberprzestępców.
Dlaczego samo hasło nie kończy ataku
Po wpisaniu hasła ofiara widzi długo obracający się wskaźnik postępu, który ma sugerować „kolejne etapy" logowania. W tym czasie napastnik może próbować zalogować się na prawdziwe konto. Doprowadza wtedy do zatwierdzenia działania w aplikacji albo do podania kodu SMS, zależnie od tego, jak skonfigurowane jest uwierzytelnianie w banku.
Druga wersja: bez załącznika
CERT Orange Polska odnotował też inny scenariusz tej samej akcji. Nie ma w nim załącznika, a treść e-maila prowadzi odbiorcę krok po kroku do rzekomego dosłania brakujących dokumentów. Osoba przekonana, że przechodzi procedurę potwierdzania tożsamości, może przekazać przestępcy kod drugiego składnika uwierzytelniania. W ten sposób ułatwia przejęcie dostępu do rachunku.
Jeśli wpisałeś login, hasło lub kod na podejrzanej stronie, niezwłocznie skontaktuj się ze swoim bankiem. Tak radzą analitycy CERT Orange Polska. Nie zatwierdzaj w aplikacji ani kodem SMS działań, których sam nie rozpocząłeś. Według CERT Orange taki phishing nie musi dotyczyć tylko PKO BP, bo przestępcy mogą wykorzystywać też wizerunek innych instytucji finansowych.
Sprawdziłem tekst opublikowany 30.10.2026 w Benchmark.pl, który opisuje ustalenia CERT Orange Polska. Wszystkie adresy podaję w formie zabezpieczonej, tak jak w publikacji, żeby nie dało się ich przypadkiem kliknąć. Nie otwierałem fałszywych stron ani załączników.
Co jeszcze warto przeczytać
Podobne schematy opisywaliśmy wcześniej. Chodzi m.in. o fałszywe reklamacje z załącznikiem i ostrzeżenie CERT Polska, malware Hirudo, który podmienia aplikację banku na Androidzie oraz wyciek z Fakturowni i ryzyko fałszywej faktury. Więcej o bezpieczeństwie w sieci znajdziesz w dziale Cyfrowe.
FAQ
Jak rozpoznać fałszywy mail od PKO BP z iPKO biznes?
CERT Orange Polska wskazuje, że uwagę powinien zwrócić adres nadawcy: node-jegw56-core(@)ispgateway(.)de. Link prowadzi na stronę pośredniczącą, a potem na fałszywy panel pod adresem biznes.rzad-pl(.)net. Wiadomość może mieć załącznik PDF, ale nie musi.
Czy załącznik PDF z fałszywego maila jest groźny?
Według CERT Orange Polska ten konkretny załącznik nie zawiera złośliwego oprogramowania. To autentyczny dokument używany w kontaktach z klientami firmowymi. Niebezpieczny jest link w mailu, który prowadzi do wyłudzenia danych.
Co zrobić, jeśli wpisałem dane na fałszywej stronie?
Niezwłocznie skontaktuj się ze swoim bankiem. Napastnik może po wpisaniu hasła próbować zalogować się na prawdziwe konto i wymusić zatwierdzenie działania w aplikacji albo podanie kodu SMS.
Czy ten atak dotyczy tylko PKO BP?
Kampania jest wymierzona w klientów PKO Banku Polskiego. Analitycy podkreślają jednak, że phishing tego typu nie musi być ograniczony do tego banku i może wykorzystywać wizerunek innych instytucji finansowych.
Źródła
Piotr Olszewski
Autor i redaktor Jutroteki. Od lat pisze o technologii, czyta cenniki, regulaminy i dokumenty i liczy, ile naprawdę kosztuje nowoczesność: od kWh w domowym gniazdku po raty za nowy telefon.
Jak pracuję i sprawdzam liczby →Widzisz błąd w liczbach albo nieaktualną cenę? Napisz - poprawię i oznaczę datę aktualizacji.
