Fałszywe zaproszenie do podpisu dokumentu: jak rozpoznać phishing

Po czym poznać fałszywe zaproszenie

Fałszywe zaproszenie do podpisu zwykle chce od Ciebie czegoś więcej niż podpisu: hasła, danych karty albo instalacji pliku. Oszuści kopiują wygląd wiadomości z serwisów do podpisu elektronicznego, bo wiedzą, że „dokument czeka na Twój podpis” skłania do szybkiego kliknięcia. Zanim klikniesz, sprawdź cztery rzeczy.

1. Nadawca. Zobacz pełny adres e-mail nadawcy, a nie tylko nazwę wyświetlaną. Nazwę każdy może ustawić dowolnie; domenę po znaku @ znacznie trudniej podrobić.
2. Adres linku. Najedź kursorem na przycisk (na telefonie przytrzymaj go palcem) i przeczytaj adres. Sprawdź domenę od końca: halodokumenty.pl.przyklad.com to domena przyklad.com, a nie halodokumenty.pl.
3. Czego od Ciebie chcą. Serwis do podpisu nie potrzebuje Twojego hasła do poczty, danych karty ani kodu z bankowości.
4. Czy się tego spodziewasz. Nieoczekiwana „faktura”, „aneks” albo „umowa” od nieznanej osoby to klasyczny pretekst.

Jak wygląda prawdziwe zaproszenie z HaloDokumenty

• Przychodzi z adresu w domenie halodokumenty.pl.
• Zawiera tytuł dokumentu i imię oraz nazwisko osoby, która go wysłała. Jeśli nadawca potwierdził tożsamość, na przykład aplikacją mObywatel przez login.gov.pl, zobaczysz przy nim informację o potwierdzonej tożsamości.
• Przycisk prowadzi do adresu zaczynającego się od https://halodokumenty.pl/Sign/, po którym jest długi, losowy kod.
• Strona podpisu otwiera się w przeglądarce, bez logowania. Nie prosi o hasło, PESEL ani dane karty. Pokazuje dokument, pola do wypełnienia i przycisk podpisu albo odmowy.
• Jeśli nadawca włączył dodatkową ochronę, strona najpierw poprosi o 6-cyfrowy kod, który HaloDokumenty wyśle e-mailem na adres z zaproszenia, o kod SMS wysłany na numer podany przez nadawcę albo o logowanie aplikacją mObywatel przez login.gov.pl. Kod wpisujesz tylko na stronie podpisu. Nadawca może też poprosić o przesłanie pliku (PDF, JPG albo PNG), na przykład odpisu z KRS. Nigdy nie prosimy o kod z bankowości.

Jeśli coś z tej listy się nie zgadza, nie klikaj i zapytaj nadawcę.

Co zrobić, gdy masz wątpliwości

Zapytaj nadawcę innym kanałem. Zadzwoń albo napisz na adres, który znasz z wcześniejszej korespondencji, a nie przez „odpowiedz” w podejrzanej wiadomości.

Nie pobieraj załączników do uruchomienia. Serwis do podpisu nie wymaga instalowania programu ani otwierania plików .exe, .zip czy makr w dokumentach Office.

Sprawdź adres po otwarciu. Jeśli już kliknąłeś, spójrz na pasek adresu przeglądarki. Prawdziwa strona podpisu to https://halodokumenty.pl/Sign/ z kłódką połączenia szyfrowanego; każda inna domena to sygnał, żeby zamknąć kartę.

Zgłoś podejrzaną wiadomość. Możesz przekazać ją do CERT Polska, który zbiera zgłoszenia o oszustwach w sieci.

Po podpisaniu: jak sprawdzić, że masz oryginał

Po podpisaniu przez wszystkich każda strona dostaje e-mailem PDF z certyfikatem podpisów i odciskiem SHA-256. Jeśli ktoś przyśle Ci później „tę samą umowę”, wgraj plik na stronie weryfikacji dokumentu. Serwis porówna odcisk z zapisanym po podpisaniu i pokaże, czy to oryginał. Nie potrzebujesz konta. Więcej w poradniku Jak sprawdzić podpis elektroniczny.

Jak chronić własne wysyłki

Jeśli to Ty wysyłasz umowy, pomóż odbiorcom odróżnić prawdziwą wiadomość od fałszywej:

• uprzedź drugą stronę, że dokument przyjdzie przez HaloDokumenty, i podaj jego tytuł,
• nadawaj dokumentom konkretne tytuły, na przykład „Umowa najmu, ul. Lipowa 5, 2026”, a nie „Dokument do podpisu”,
• załóż konto przez mObywatel, żeby odbiorcy widzieli, że nadawca ma potwierdzoną tożsamość,
• przepisuj adresy e-mail odbiorców z wcześniejszej korespondencji.

Najczęstsze pytania

Źródła

• CERT Polska: zgłoś incydent, sprawdzone 28 września 2026 r.
• HaloDokumenty: weryfikacja dokumentu.

Stan na: 6 listopada 2026 r.