# Fałszywe zaproszenie do podpisu dokumentu: jak rozpoznać phishing > Oszuści podszywają się pod serwisy do podpisu elektronicznego. Sprawdź nadawcę, adres linku i to, o co prosi strona, zanim cokolwiek podpiszesz lub wpiszesz. Źródło: https://halodokumenty.pl/blog/falszywe-zaproszenie-do-podpisu-phishing Autor: Mikołaj Buczak, Członek Zarządu Halo sp. z o.o. Opublikowano: 2026-11-06, zaktualizowano: 2026-11-06 ## W skrócie - Prawdziwe zaproszenie z HaloDokumenty prowadzi do adresu zaczynającego się od https://halodokumenty.pl/Sign/ i przychodzi z adresu w domenie halodokumenty.pl. - Strona podpisu w HaloDokumenty nie prosi o hasło, PESEL ani dane karty. Jeśli nadawca włączył dodatkową ochronę, poprosi o 6-cyfrowy kod z e-maila, kod SMS na numer podany przez nadawcę albo logowanie aplikacją mObywatel przez login.gov.pl. - Jeśli nie spodziewasz się dokumentu, zapytaj nadawcę innym kanałem, zanim klikniesz. - Podpisany dokument każdy może sprawdzić na stronie weryfikacji, bez konta. ## Po czym poznać fałszywe zaproszenie **Fałszywe zaproszenie do podpisu zwykle chce od Ciebie czegoś więcej niż podpisu: hasła, danych karty albo instalacji pliku.** Oszuści kopiują wygląd wiadomości z serwisów do podpisu elektronicznego, bo wiedzą, że „dokument czeka na Twój podpis” skłania do szybkiego kliknięcia. Zanim klikniesz, sprawdź cztery rzeczy. 1. **Nadawca.** Zobacz pełny adres e-mail nadawcy, a nie tylko nazwę wyświetlaną. Nazwę każdy może ustawić dowolnie; domenę po znaku @ znacznie trudniej podrobić. 2. **Adres linku.** Najedź kursorem na przycisk (na telefonie przytrzymaj go palcem) i przeczytaj adres. Sprawdź domenę od końca: `halodokumenty.pl.przyklad.com` to domena `przyklad.com`, a nie `halodokumenty.pl`. 3. **Czego od Ciebie chcą.** Serwis do podpisu nie potrzebuje Twojego hasła do poczty, danych karty ani kodu z bankowości. 4. **Czy się tego spodziewasz.** Nieoczekiwana „faktura”, „aneks” albo „umowa” od nieznanej osoby to klasyczny pretekst. ## Jak wygląda prawdziwe zaproszenie z HaloDokumenty - Przychodzi z adresu w domenie **halodokumenty.pl**. - Zawiera tytuł dokumentu i imię oraz nazwisko osoby, która go wysłała. Jeśli nadawca potwierdził tożsamość, na przykład aplikacją mObywatel przez login.gov.pl, zobaczysz przy nim informację o potwierdzonej tożsamości. - Przycisk prowadzi do adresu zaczynającego się od **https://halodokumenty.pl/Sign/**, po którym jest długi, losowy kod. - Strona podpisu otwiera się w przeglądarce, bez logowania. Nie prosi o hasło, PESEL ani dane karty. Pokazuje dokument, pola do wypełnienia i przycisk podpisu albo odmowy. - Jeśli nadawca włączył dodatkową ochronę, strona najpierw poprosi o 6-cyfrowy kod, który HaloDokumenty wyśle e-mailem na adres z zaproszenia, o kod SMS wysłany na numer podany przez nadawcę albo o logowanie aplikacją mObywatel przez login.gov.pl. Kod wpisujesz tylko na stronie podpisu. Nadawca może też poprosić o przesłanie pliku (PDF, JPG albo PNG), na przykład odpisu z KRS. Nigdy nie prosimy o kod z bankowości. Jeśli coś z tej listy się nie zgadza, nie klikaj i zapytaj nadawcę. ## Co zrobić, gdy masz wątpliwości **Zapytaj nadawcę innym kanałem.** Zadzwoń albo napisz na adres, który znasz z wcześniejszej korespondencji, a nie przez „odpowiedz” w podejrzanej wiadomości. **Nie pobieraj załączników do uruchomienia.** Serwis do podpisu nie wymaga instalowania programu ani otwierania plików .exe, .zip czy makr w dokumentach Office. **Sprawdź adres po otwarciu.** Jeśli już kliknąłeś, spójrz na pasek adresu przeglądarki. Prawdziwa strona podpisu to https://halodokumenty.pl/Sign/ z kłódką połączenia szyfrowanego; każda inna domena to sygnał, żeby zamknąć kartę. **Zgłoś podejrzaną wiadomość.** Możesz przekazać ją do CERT Polska, który zbiera zgłoszenia o oszustwach w sieci. ## Po podpisaniu: jak sprawdzić, że masz oryginał Po podpisaniu przez wszystkich każda strona dostaje e-mailem PDF z certyfikatem podpisów i odciskiem SHA-256. Jeśli ktoś przyśle Ci później „tę samą umowę”, wgraj plik na stronie [weryfikacji dokumentu](/weryfikacja). Serwis porówna odcisk z zapisanym po podpisaniu i pokaże, czy to oryginał. Nie potrzebujesz konta. Więcej w poradniku [Jak sprawdzić podpis elektroniczny](/weryfikacja-podpisu-elektronicznego). ## Jak chronić własne wysyłki Jeśli to Ty wysyłasz umowy, pomóż odbiorcom odróżnić prawdziwą wiadomość od fałszywej: - uprzedź drugą stronę, że dokument przyjdzie przez HaloDokumenty, i podaj jego tytuł, - nadawaj dokumentom konkretne tytuły, na przykład „Umowa najmu, ul. Lipowa 5, 2026”, a nie „Dokument do podpisu”, - załóż konto przez mObywatel, żeby odbiorcy widzieli, że nadawca ma potwierdzoną tożsamość, - przepisuj adresy e-mail odbiorców z wcześniejszej korespondencji. ## Najczęstsze pytania ### Czy HaloDokumenty prosi o kod SMS przy podpisie? Tylko wtedy, gdy wybrał to nadawca. Domyślnie osoba podpisująca otwiera osobisty link z e-maila i podpisuje w przeglądarce. Nadawca może przy wysyłce wymagać kodu z e-maila, kodu SMS wysłanego na numer, który sam podał, albo potwierdzenia aplikacją mObywatel. Kod wpisujesz tylko na stronie podpisu, pod adresem zaczynającym się od https://halodokumenty.pl/Sign/. Nigdy nie prosimy o kod z bankowości. ### Kliknąłem w podejrzany link. Co teraz? Nie wpisuj żadnych danych. Jeśli podałeś hasło, od razu je zmień, najlepiej także w innych serwisach, w których go używałeś. Jeśli podałeś dane karty, skontaktuj się z bankiem. Zgłoś zdarzenie do CERT Polska. ### Czy link do podpisu mogę przekazać współpracownikowi? Lepiej nie. Link jest osobisty i prowadzi do podpisu w Twoim imieniu. Jeśli dokument ma podpisać ktoś inny, poproś nadawcę, żeby dodał tę osobę do dokumentu. ## Źródła - [CERT Polska: zgłoś incydent](https://incydent.cert.pl/), sprawdzone 28 września 2026 r. - [HaloDokumenty: weryfikacja dokumentu](/weryfikacja). Stan na: 6 listopada 2026 r.