Smishing to oszustwo, w którym przestępca wysyła fałszywy SMS, podszywając się pod kuriera, bank, urząd albo znajomego. Celem jest skłonienie Cię do kliknięcia linku i podania danych logowania, karty lub kodu BLIK. Nazwa łączy słowa „SMS” i „phishing”. Podejrzane SMS-y w Polsce zgłasza się bezpłatnie na numer 8080 (CERT Polska).
Smishing działa, bo SMS budzi większe zaufanie niż e-mail: telefon mamy zawsze przy sobie, wiadomości są krótkie, a link wygląda niewinnie. Przestępcy korzystają z tego, że na dopłatę do paczki czy grożący mandat reagujemy odruchowo, zanim zdążymy pomyśleć.
Co to jest smishing i jak działa?
Smishing to odmiana phishingu, w której kanałem ataku jest wiadomość SMS (coraz częściej także iMessage, RCS, WhatsApp czy Messenger). Schemat jest prawie zawsze ten sam:
- Pretekst – wiadomość wygląda na informację od znanej firmy lub instytucji.
- Presja czasu – „w ciągu 12 godzin”, „dziś zostanie odłączony prąd”, „sprawa trafi do komornika”.
- Link – prowadzi do strony łudząco podobnej do strony kuriera, banku, mObywatela czy bramki płatniczej.
- Kradzież – wpisane dane karty, login do banku albo kod BLIK trafiają do przestępcy. Czasem strona każe też pobrać „aplikację do śledzenia paczki”, która w rzeczywistości jest złośliwym oprogramowaniem, np. trojanem bankowym z keyloggerem.
Kwoty w takich SMS-ach są zwykle śmiesznie małe: 1,99 zł, 3,50 zł, 5 zł. To celowe – mała kwota usypia czujność, a przestępcy nie chodzi o te kilka złotych, tylko o pełne dane karty lub dostęp do konta.
Najczęstsze fałszywe SMS-y w Polsce
CERT Polska i mObywatel regularnie ostrzegają przed kolejnymi falami podobnych wiadomości. Treści się zmieniają, ale scenariusze wracają.
Dopłata do paczki (InPost, Poczta Polska, DPD, DHL)
„Twoja paczka została wstrzymana z powodu niepełnego adresu. Potwierdź dane w ciągu 12 godzin: [link]”. Wariant z opłatą celną za przesyłkę spoza UE pojawia się szczególnie często w sezonie zakupów świątecznych i przy zamówieniach z chińskich platform. Prawdziwi kurierzy nie każą dopłacać przez link w SMS-ie – status przesyłki sprawdzisz w oficjalnej aplikacji.
Rachunek za prąd lub gaz (PGE, Tauron, Enea, Energa, PGNiG)
„Z powodu zaległej płatności dziś o 21:00 nastąpi odłączenie energii. Ureguluj należność: [link]”. Dostawca energii nie odcina prądu z dnia na dzień SMS-em – procedura wymaga pisemnych wezwań.
Allegro, OLX, Vinted – „kup teraz” i „odbierz środki”
Sprzedajesz coś w serwisie ogłoszeniowym, a „kupujący” pisze SMS-em lub na WhatsAppie, że zapłacił przez „bezpieczną przesyłkę” i podaje link do odebrania pieniędzy. Strona wygląda jak serwis ogłoszeniowy, ale prosi o pełne dane karty, łącznie z kodem CVV. Do odebrania przelewu nikt nie potrzebuje kodu CVV ani logowania do Twojego banku.
Oszustwo BLIK „na znajomego”
Przestępca przejmuje konto znajomego na Messengerze, WhatsAppie albo jego numer telefonu i pisze: „Hej, możesz mi pożyczyć 500 zł? Wyślij kod BLIK, oddam jutro”. Podany kod może zostać natychmiast użyty, np. do wypłaty z bankomatu. Przed takim schematem oficjalnie ostrzegał operator systemu BLIK – Polski Standard Płatności. Zasada jest prosta: kod BLIK zawsze weryfikuj telefonem do znajomego, na numer, który znasz.
Mandat, e-TOLL, mObywatel
„Niezapłacony mandat za przekroczenie prędkości. Uniknij egzekucji: [link]” – często z nadawcą podszywającym się pod mObywatel, e-TOLL albo operatora autostrady. Krajowa Administracja Skarbowa przypomina, że e-TOLL nie wysyła wiadomości z linkiem do płatności. Informacje o mandatach sprawdzisz w aplikacji mObywatel lub na stronie gov.pl.
ZUS, Urząd Skarbowy, „zwrot podatku”
„Przysługuje Ci zwrot nadpłaty podatku. Podaj numer konta: [link]”. Szczególnie popularne w okresie rozliczeń PIT. Urzędy nie zwracają pieniędzy po kliknięciu w link z SMS-a.
Jak rozpoznać fałszywy SMS? Checklista
Zanim klikniesz, sprawdź:
- [ ] Czy jest link? Najbezpieczniej przyjąć, że w SMS-ie od firmy lub urzędu nie klikasz w link, tylko otwierasz oficjalną aplikację lub wpisujesz adres ręcznie.
- [ ] Czy adres strony się zgadza? Fałszywe domeny dodają słowa („inpost-dopłata”, „mobywatel-pl”), zmieniają końcówkę (.com, .info, .top) albo litery.
- [ ] Czy jest presja czasu lub groźba? Odłączenie prądu, komornik, utrata paczki – to klasyczna manipulacja.
- [ ] Czy prośba ma sens? Czy faktycznie czekasz na paczkę? Czy masz samochód, którym mogłeś przekroczyć prędkość?
- [ ] Czy chodzi o dane karty, kod BLIK, PIN lub hasło? Żadna firma ani urząd nie prosi o nie SMS-em.
- [ ] Czy nadawca wygląda wiarygodnie? Nazwa nadawcy (np. „InPost”) może być podrobiona, więc sama nazwa niczego nie dowodzi.
- [ ] Czy są błędy językowe? Dziwna polszczyzna i brak polskich znaków to sygnał ostrzegawczy, choć dzięki narzędziom AI coraz rzadszy.
Smishing, vishing i phishing – czym się różnią?
Wszystkie trzy techniki należą do socjotechniki: przestępca nie łamie zabezpieczeń, tylko nakłania Ciebie do działania. Różnią się kanałem.
Vishing (od voice phishing) to oszustwo przez telefon. Najczęściej dzwoni „pracownik banku” lub „policjant”, informuje o podejrzanej transakcji i namawia do przelania pieniędzy na „bezpieczne konto” albo zainstalowania aplikacji do zdalnego pulpitu. Przestępcy podszywają się pod prawdziwy numer banku (spoofing), a coraz częściej używają też podrobionego głosu – więcej o tym w artykule o deepfake’ach. Smishing i vishing często się łączą: najpierw przychodzi SMS „Podejrzana transakcja, oddzwoń”, a potem odbywa się rozmowa.
| Cecha | Phishing | Smishing | Vishing |
|---|---|---|---|
| Kanał | E-mail, fałszywe strony, reklamy | SMS, iMessage, RCS, komunikatory | Połączenie telefoniczne |
| Typowy pretekst | Blokada konta, faktura, wygrana | Dopłata do paczki, mandat, rachunek za prąd | „Bank – podejrzana transakcja”, „policja” |
| Czego chce przestępca | Loginu, hasła, danych karty | Danych karty, kodu BLIK, instalacji aplikacji | Przelewu, instalacji zdalnego pulpitu, kodów autoryzacyjnych |
| Główny sygnał ostrzegawczy | Podejrzany nadawca i link | Link + presja czasu | Nacisk na natychmiastowe działanie przez telefon |
| Jak reagować | Nie klikać, zgłosić na incydent.cert.pl | Nie klikać, przesłać na 8080 | Rozłączyć się, oddzwonić na numer z karty lub strony banku |
Co zrobić po kliknięciu w link z fałszywego SMS-a?
Samo otwarcie strony rzadko kończy się kradzieżą – problemem jest wpisanie danych albo instalacja aplikacji. Działaj według tego, co się stało, i nie zwlekaj.
- Podałeś dane karty lub logowania do banku? Natychmiast zadzwoń na infolinię banku (numer z karty lub oficjalnej strony) i zablokuj kartę lub dostęp do bankowości. Wiele banków pozwala zastrzec kartę jednym przyciskiem w aplikacji.
- Podałeś kod BLIK lub zatwierdziłeś transakcję? Też dzwoń do banku od razu – im szybciej, tym większa szansa na zatrzymanie środków.
- Zmień hasła do banku, poczty i serwisu, pod który podszywali się oszuści. Rób to z innego urządzenia, jeśli instalowałeś cokolwiek na telefonie. Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie to możliwe.
- Zainstalowałeś aplikację? Przełącz telefon w tryb samolotowy, odinstaluj ją (sprawdź też uprawnienia w ułatwieniach dostępu) i przeskanuj telefon Play Protect. W razie wątpliwości przywróć ustawienia fabryczne.
- Zastrzeż PESEL w aplikacji mObywatel lub na stronie mObywatel.gov.pl, jeśli podałeś dane osobowe. Od 1 czerwca 2024 r. banki i inne instytucje finansowe muszą sprawdzać rejestr zastrzeżeń przed udzieleniem kredytu, więc trudniej będzie wziąć pożyczkę na Twoje dane. Zastrzeżenie jest bezpłatne i możesz je w każdej chwili cofnąć.
- Jeśli wyciekł skan lub dane dowodu osobistego, zgłoś to w banku jako dokument zastrzeżony i rozważ wymianę dowodu.
- Zgłoś sprawę na policję, jeśli straciłeś pieniądze. Zachowaj SMS, zrzuty ekranu strony i potwierdzenia transakcji.
- Prześlij SMS na 8080 (opis niżej), żeby inni nie dali się nabrać.
Więcej o tym, jak ograniczać skutki wycieku danych, piszemy w poradniku o kradzieży tożsamości.
Jak zgłosić fałszywy SMS na numer 8080?
Numer 8080 obsługuje zespół CERT Polska działający w NASK. Zgłoszenie jest bezpłatne, a na podstawie przesłanych wiadomości CERT przygotowuje wzorce, które operatorzy komórkowi wykorzystują do blokowania kolejnych podobnych SMS-ów.
Na Androidzie:
- Otwórz aplikację Wiadomości i przytrzymaj palec na podejrzanym SMS-ie.
- Wybierz menu (trzy kropki) i opcję Przekaż lub Prześlij dalej.
- Jako odbiorcę wpisz 8080 i wyślij.
Na iPhonie:
- Przytrzymaj palec na dymku wiadomości i wybierz Więcej….
- Dotknij strzałki przekazywania w prawym dolnym rogu.
- Wpisz 8080 jako odbiorcę i wyślij.
Wysyłaj całą wiadomość w oryginalnej formie tekstowej. Nie wycinaj linku i nie przesyłaj zrzutu ekranu – CERT potrzebuje dokładnej treści. Zgłaszać można także SMS-y bez linku. Podejrzane e-maile i strony zgłasza się przez formularz na incydent.cert.pl, a inne incydenty (np. fałszywe strony czy oszustwa) – także w usłudze Bezpiecznie w sieci w aplikacji mObywatel. Po zgłoszeniu usuń wiadomość i zablokuj nadawcę.
Filtr SMS operatorów i ustawa o zwalczaniu nadużyć
Od 25 września 2023 r. obowiązuje ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703). Nakłada ona na operatorów telekomunikacyjnych obowiązek blokowania SMS-ów zawierających wzorce smishingu przekazywane przez CERT Polska, a także m.in. przeciwdziałania podszywaniu się pod numery telefonów (spoofing CLI). W walce z nadużyciami uczestniczą NASK, Urząd Komunikacji Elektronicznej i operatorzy.
W praktyce filtr zatrzymuje znaczną część fałszywych wiadomości, zanim trafią do odbiorców, ale nie wszystkie. Przestępcy szybko zmieniają domeny i treści, więc nowa kampania może przez jakiś czas przechodzić przez filtr. Dlatego każde zgłoszenie na 8080 ma znaczenie – przyspiesza dopisanie nowego wzorca do listy blokowanych.
Wskazówki, które realnie zmniejszają ryzyko
- Paczki śledź w oficjalnych aplikacjach przewoźników, a mandaty i sprawy urzędowe – w aplikacji mObywatel.
- Włącz w mObywatelu powiadomienia z ostrzeżeniami CERT Polska.
- Na Androidzie zostaw wyłączoną instalację aplikacji z nieznanych źródeł.
- Ustaw w aplikacji bankowej limity dla BLIK i płatności internetowych.
- Porozmawiaj z rodzicami i dziadkami – osoby starsze są częstym celem SMS-ów „od wnuczka” i fałszywych wezwań do zapłaty.
FAQ
Co to jest smishing w prostych słowach?
To oszustwo przez SMS. Przestępca udaje kuriera, bank, urząd lub znajomego i namawia Cię do kliknięcia linku, żeby wyłudzić dane karty, login do banku albo kod BLIK. Nazwa powstała z połączenia słów „SMS” i „phishing”.
Czy samo otwarcie SMS-a jest niebezpieczne?
Nie, samo przeczytanie wiadomości jest bezpieczne. Ryzyko pojawia się po kliknięciu linku, a przede wszystkim po wpisaniu danych na stronie lub zainstalowaniu aplikacji. Nie odpowiadaj też na taki SMS, bo potwierdzasz w ten sposób, że numer jest aktywny.
Gdzie zgłosić fałszywy SMS?
Prześlij go bezpłatnie na numer 8080 – trafi do CERT Polska. Podejrzane e-maile i strony zgłaszasz na incydent.cert.pl lub w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel. Jeśli straciłeś pieniądze, zawiadom bank i policję.
Czym różni się smishing od vishingu?
Smishing to oszustwo przez SMS, a vishing przez rozmowę telefoniczną. W vishingu dzwoni np. fałszywy pracownik banku lub policjant i nakłania do przelewu albo instalacji aplikacji. Obie metody często występują razem – SMS prosi o pilne oddzwonienie.
Czy bank odda pieniądze po oszustwie BLIK?
To zależy od okoliczności, przede wszystkim od tego, czy transakcję autoryzowałeś samodzielnie. Bank rozpatruje każdą sprawę indywidualnie, dlatego zgłoś ją od razu, złóż reklamację i zawiadom policję. Im szybsza reakcja, tym większa szansa na zatrzymanie środków.
Skąd oszuści mają mój numer telefonu?
Najczęściej z wycieków danych z różnych serwisów, z ogłoszeń w internecie albo po prostu losują kolejne numery. Otrzymanie fałszywego SMS-a nie oznacza, że Twój telefon został zhakowany.
Źródła
- CERT Polska – zgłaszanie incydentów: https://incydent.cert.pl
- gov.pl – Coraz więcej prób wyłudzenia przez fałszywe SMS-y: https://www.gov.pl/web/baza-wiedzy/coraz-wiecej-prob-wyludzenia-przez-tzw-falszywe-sms-y-zachowaj-czujnosc
- gov.pl – Bezpiecznie w sieci, nowa usługa w mObywatelu: https://www.gov.pl/web/cyfryzacja/bezpiecznie-w-sieci–nowa-usluga-do-walki-z-cyberzagrozeniami-od-dzis-dostepna-w-mobywatelu
- Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703): https://eli.gov.pl/eli/DU/2023/1703/ogl/pol/pdf
- gov.pl (Ministerstwo Cyfryzacji) – korzyści z ustawy o zwalczaniu nadużyć: https://www.gov.pl/web/cyfryzacja/ustawa-o-zwalczaniu-naduzyc-w-komunikacji-elektronicznej-w-realny-sposob-przyczynia-sie-do-zwiekszenia-poziomu-cyberbezpieczenstwa-w-naszym-kraju–oto-kilkanascie-kluczowych-korzysci
- Telepolis – numer 8080 CERT Polska: https://www.telepolis.pl/tech/bezpieczenstwo/numer-alarmowy-8080-cert-polska
- Erste Bank – Oszustwa na BLIK-a: https://www.erste.pl/erste-education/odpal-cyberswiadomosc/oszustwo-na-blik
- Infor – Co daje zastrzeżenie numeru PESEL: https://www.infor.pl/prawo/nowosci-prawne/6618389,co-daje-zastrzezenie-numeru-pesel.html