Telefon zawibrował: „dopłać do przesyłki”, „konto zostanie zablokowane” albo „zatwierdź płatność”. Smishing to oszustwo prowadzone przez SMS, ale jego celem może być też skłonienie do telefonu lub instalacji aplikacji. Pułapka bywa trudna do zauważenia, zwłaszcza gdy wiadomość pojawia się w wątku, który wygląda znajomo.
O zatrzymaniu oszustwa decyduje przede wszystkim to, co zrobisz po SMS-ie
- Smishing to wiadomość tekstowa podszywająca się pod zaufaną osobę lub instytucję.
- Nie ufaj nazwie nadawcy ani temu, że SMS pojawił się w istniejącym wątku.
- Prześlij podejrzanego SMS-a na 8080, bez dopisków i zrzutu ekranu.
- Po podaniu danych lub instalacji aplikacji zabezpiecz konto i skontaktuj się z bankiem, jeśli sprawa dotyczy płatności.
SMS może podszywać się pod bank nawet w znajomym wątku
Wystarczy, że nadawca udaje kuriera, bank, urząd albo znajomą osobę i nakłania do działania. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej opisuje smishing jako SMS, który ma skłonić odbiorcę między innymi do przekazania danych, wejścia na stronę, wykonania połączenia lub instalacji oprogramowania.
Link często prowadzi do strony łudząco podobnej do panelu banku lub operatora płatności. Inny wariant każe zadzwonić pod podany numer, podać kod autoryzacyjny albo zainstalować aplikację rzekomo potrzebną do odebrania paczki. Presja czasu i drobna kwota dopłaty mają odwrócić uwagę od tego, co naprawdę zatwierdzasz.
Nie traktuj nazwy nadawcy jako dowodu autentyczności. Wiadomość może wyświetlić się w wątku prawdziwej firmy, a poprawna polszczyzna też nie gwarantuje, że tekst wysłała ta firma. Sprawdź sprawę w oficjalnej aplikacji lub na stronie wpisanej samodzielnie, zamiast klikać w odnośnik z SMS-a.
W 2025 r. zablokowano prawie 1,9 mln złośliwych SMS-ów
Raport CERT Polska za 2025 rok pokazuje, że operatorzy zablokowali 1 883 610 złośliwych wiadomości SMS. Zespół przyjął też 295 169 zgłoszeń podejrzanych SMS-ów, a wiadomości sklasyfikowanych jako złośliwe było 81 395, wobec 140 659 rok wcześniej.
Spadek zgłoszeń nie oznacza, że można przestać uważać. Raport odnotowuje zmianę taktyki: SMS coraz częściej służy jako pretekst do nawiązania kontaktu, na przykład pod historią o uszkodzonym telefonie członka rodziny. Oszust może więc próbować przenieść rozmowę z SMS-a na telefon lub komunikator, gdzie łatwiej wywierać presję.
Uważam, że największą pułapką jest ocenianie wiadomości po jej wyglądzie. Ładny tekst i znany nadawca nie rozstrzygają sprawy; bezpieczniejszy test brzmi: czy prośba wymaga kliknięcia, podania kodu, danych płatniczych albo instalacji?
Wybierz reakcję według tego, co SMS każe zrobić
Gdy telefon pokazuje znajomą nazwę firmy, łatwo odruchowo zaufać wiadomości. Zamiast analizować samą etykietę nadawcy, przyporządkuj sytuację do działania, którego żąda SMS.
| Sytuacja | Prawdopodobne zagrożenie | Co zrobić |
|---|---|---|
| Link do dopłaty, aktualizacji danych lub logowania | Fałszywa bramka płatności albo strona wyłudzająca hasło | Nie otwieraj linku. Sprawdź status paczki lub konta w oficjalnej aplikacji. |
| Prośba o kod BLIK, kod SMS, PIN lub hasło | Próba autoryzacji płatności albo przejęcia konta | Nie przekazuj kodu. Skontaktuj się z instytucją przez numer z jej oficjalnej strony lub aplikacji. |
| Prośba o instalację aplikacji spoza sklepu lub zdalny dostęp do telefonu | Możliwe przejęcie urządzenia albo podgląd aktywności | Przerwij kontakt i nie instaluj programu. Jeśli aplikacja już trafiła na telefon, skorzystaj z zaufanego urządzenia, by zabezpieczyć konta. |
| SMS od „dziecka” lub znajomej osoby z prośbą o pilny przelew | Podszycie się pod bliską osobę i wywołanie pośpiechu | Zadzwoń na dotychczasowy, znany numer tej osoby i potwierdź prośbę innym kanałem. |
Jeśli wiadomość wygląda wiarygodnie, ale wymaga działania, zatrzymaj się i samodzielnie otwórz aplikację usługodawcy. Nie korzystaj z numeru telefonu ani odnośnika podanego w podejrzanym SMS-ie, bo mogą prowadzić prosto do oszusta.
Po kliknięciu liczy się to, czy podano dane lub zainstalowano aplikację
Samo otwarcie linku zwykle nie oznacza, że telefon został zainfekowany. Ryzyko rośnie, gdy wpiszesz hasło lub dane karty, podasz kod, pobierzesz aplikację albo zgodzisz się na zdalny dostęp.
| Co się wydarzyło | Możliwy skutek | Pierwszy krok |
|---|---|---|
| Otwarty link, bez wpisywania danych i pobierania plików | Kontakt ze stroną oszusta, ale bez przekazania mu danych | Zamknij stronę, niczego na niej nie wpisuj i zgłoś wiadomość. |
| Podane hasło lub kod logowania | Próba przejęcia konta | Zmień hasło przez oficjalną stronę lub aplikację, wyloguj inne sesje i zabezpiecz konta, w których używasz tego samego hasła. |
| Wpisane dane karty lub zatwierdzona transakcja | Nieautoryzowane obciążenie albo kolejne próby płatności | Od razu zadzwoń do banku na numer z karty lub aplikacji i poproś o blokadę karty lub dostępu do bankowości. |
| Zainstalowana aplikacja lub włączony zdalny dostęp | Możliwa kontrola nad telefonem lub podgląd informacji | Odłącz urządzenie od sieci, nie loguj się na nim do banku i zabezpiecz konta z innego, zaufanego urządzenia. |
Przy podejrzeniu straty pieniędzy skontaktuj się z bankiem natychmiast, a sprawę zgłoś Policji lub prokuraturze. Nie kasuj wiadomości ani potwierdzeń transakcji, bo mogą pomóc w wyjaśnieniu zdarzenia.
Podejrzany SMS przekaż na numer 8080 w niezmienionej formie. Nie dopisuj komentarza i nie wysyłaj zrzutu ekranu: instrukcja CERT Polska wskazuje, że zgłoszenie ma zawierać oryginalną wiadomość, a MMS-y ze screenami nie są przyjmowane.
Przy kryptowalutach SMS może prowadzić do utraty dostępu do portfela
Wiadomość o „zablokowanym portfelu”, podejrzanej transakcji lub konieczności odnowienia konta może prowadzić do strony udającej giełdę albo dostawcę portfela. Szczególnie niebezpieczna jest prośba o frazę odzyskiwania portfela, czyli zestaw słów pozwalający odtworzyć dostęp do środków.
Nie wpisuj tej frazy na stronie otwartej z SMS-a i nie przekazuj jej konsultantowi przez telefon ani komunikator. Jeśli wiadomość dotyczy giełdy, otwórz jej aplikację lub wpisz znany adres samodzielnie; jeśli dotyczy portfela, sprawdź komunikaty w jego oficjalnej aplikacji. SMS może być tylko pierwszym krokiem ataku, więc zatrzymanie się przed podaniem kodu lub frazy odzyskiwania często chroni cały dostęp do środków.
