Smishing i fałszywe SMS

Fałszywe SMS-y podszywają się pod wiadomości od firm kurierskich, banków lub urzędów. Oszuści chcą w ten sposób nakłonić odbiorcę do otwarcia strony wyłudzającej dane albo płatność.¹ Podejrzaną wiadomość warto rozpoznać i zgłosić; firma może też chronić swoją nazwę nadawcy.
W 2024 r. odnotowano 355 tys. zgłoszeń podejrzanych SMS-ów. Wiadomości można przekazywać CERT Polska na numer 8080.²

Czym jest fałszywy SMS i na czym polega smishing?

Fałszywy SMS wprowadza odbiorcę w błąd treścią lub deklarowaną tożsamością nadawcy. Smishing to odmiana phishingu: oszuści próbują wyłudzić informacje, kontaktując się przez SMS.
W 2024 r. CERT Polska odnotował 40 120 incydentów phishingowych.³

Wiadomość użyta do smishingu może zawierać link do strony wyłudzającej dane lub płatność. Taka strona naśladuje czasem formularz logowania albo płatności, by odbiorca sam wpisał wrażliwe informacje.
W 2024 r. na Liście Ostrzeżeń CERT Polska znalazło się 92 647 domen wykorzystywanych do phishingu.³

Fałszywe SMS-y: schemat oszustwa i sygnały ostrzegawcze

Fałszywego SMS-a oceniaj po treści, adresie strony i żądanym działaniu, nie tylko po wyświetlonej nazwie nadawcy. Wiadomość może dotyczyć niedopłaty za paczkę, rachunku za energię albo zwrotu podatku.¹
Przesyłkowy pretekst obejmuje też rzekome nadanie, przekierowanie lub niedostarczenie paczki.⁴ W przykładzie opublikowanym przez CERT Polska oszust żądał dopłaty 2 zł za przekroczenie limitu wagi paczki.⁵

Jak rozpoznać fałszywe SMS-y podszywające się pod kuriera lub bank?

SMS od rzekomego kuriera lub banku sprawdź niezależnie od otrzymanej wiadomości. Przyjrzyj się treści oraz adresowi linku. Poniższa lista zbiera sygnały ostrzegawcze.
Podejrzany SMS przekaż w niezmienionej formie do CERT Polska na numer 8080.⁶

• Treść wiadomości zawiera błędy językowe albo wywiera presję na odbiorcę.¹
• Adres strony jest skrócony lub różni się od adresu instytucji, za którą podaje się nadawca.⁷
• Żądanie płatności kieruje do linku z SMS-a zamiast do znanego kanału kontaktu z instytucją.

Weryfikacja SMS-a wymaga bezpośredniego kontaktu z instytucją, za którą podaje się nadawca.⁷
Do 2 mieszkanek powiatu strzeleckiego trafiły wiadomości od osoby podszywającej się pod komornika. Link do rzekomej spłaty długu mógł prowadzić do fałszywej strony banku.^8,9

Tabela pokazuje kwoty rzekomego długu w obu opisanych wiadomościach.

Dane w tabeli: 8,9

Gdzie zgłaszać fałszywe SMS-y?

Fałszywe SMS-y zgłaszaj do CERT Polska, przekazując podejrzaną wiadomość do analizy. Od 25 marca przedsiębiorcy telekomunikacyjni muszą blokować SMS-y, których fałszywe identyfikatory nadawcy podszywają się pod podmioty publiczne.¹⁰
Obowiązek blokowania bezprawnie użytych nadpisów z wykazu podmiotów publicznych wynika z art. 13 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.¹¹

Termin podłączenia przedsiębiorców świadczących usługi SMS do systemu przekazywania wzorców fałszywych wiadomości wyznaczono na 16 kwietnia 2024 r.¹⁰
SMS zgodny z przekazanym wzorcem ma zostać zablokowany, zanim dotrze do adresata.¹⁰ Zgłoszenie pomaga rozpoznać oszustwo, a zgodność ze wzorcem pozwala zablokować wiadomość.¹²

Podejrzany SMS: pierwsza reakcja i możliwe skutki

Podejrzany SMS może posłużyć do wyłudzenia danych, jeśli odbiorca wykona zawarte w nim polecenia. Nie odpowiadaj na wiadomość ani nie podawaj danych. Zachowaj jej treść do zgłoszenia.
Policja opisała przypadek kobiety, która straciła 14 tys. zł po wpisaniu danych logowania na stronie otwartej z fałszywego SMS-a.¹³

Co zrobić po otrzymaniu podejrzanego SMS-a i jak go zgłosić?

Podejrzany SMS zachowaj w całości i przekaż do CERT Polska (CSIRT NASK). To zespół reagujący na incydenty bezpieczeństwa.
Zachowaną wiadomość prześlij w niezmienionej formie na numer 8080.⁶

• Odpowiedź na SMS nie jest potrzebna do weryfikacji wiadomości. Nie wysyłaj nadawcy danych ani kodów.
• Kontakt z firmą nawiąż przez kanał znaleziony niezależnie od wiadomości, jeśli SMS dotyczy Twojego konta lub zamówienia.
• Oryginalną wiadomość zachowaj do przekazania CERT Polska. Nie przepisuj jej treści z pamięci.

Jakie skutki może mieć kliknięcie linku lub podanie danych?

Podanie danych na stronie otwartej z podejrzanego SMS-a umożliwia oszustom ich przejęcie. Samo kliknięcie trzeba jednak odróżnić od wpisania danych lub instalacji aplikacji. Według komunikatu Pomorskiego Banku Spółdzielczego otwarcie linku bez pobrania i zainstalowania aplikacji nie stanowi zagrożenia dla telefonu.⁴
Po otwarciu strony nie wpisuj danych ani nie instaluj oferowanej aplikacji. Art. 46 ustawy o usługach płatniczych przewiduje zwrot nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego, z ustawowymi wyjątkami.¹⁴

Na jaki numer przekazać podejrzany SMS?

Podejrzany SMS przekaż do CERT Polska na numer 8080. Prześlij pełną treść wiadomości wraz z linkiem.¹
Sam opis oszustwa nie zastępuje oryginalnej wiadomości. Przekazanie podejrzanego SMS-a na numer 8080 jest bezpłatne; w roamingu koszt wysyłki zależy od cennika operatora.¹⁵ Jeśli przekazanie wiadomości na 8080 nie powiedzie się, błąd wysyłania wiadomości oznacza, że SMS nie został wysłany, a przyczyna może leżeć w telefonie lub platformie SMS.

Jak zabezpieczyć konto i dane po wykonaniu poleceń z fałszywego SMS-a?

Konto i poufne dane zabezpiecz stosownie do tego, co się wydarzyło. Wpisanie danych wymaga innej reakcji niż zainstalowanie aplikacji. Nieautoryzowaną transakcję zgłoś dostawcy niezwłocznie;
po 13 miesiącach od obciążenia rachunku roszczenia co do zasady wygasają.¹⁴

• Dane logowania wpisane na podejrzanej stronie wymagają zmiany hasła przez oficjalną stronę lub aplikację danej usługi.
• Dane bankowe podane oszustom zgłoś niezwłocznie bankowi przez jego oficjalny kanał kontaktu.
• Aplikacja wskazana w SMS-ie wymaga reakcji dotyczącej telefonu. Po jej zainstalowaniu Pomorski Bank Spółdzielczy zaleca wyłączyć smartfon i zadzwonić z innego telefonu na infolinię SGB: 800 88 88 88.⁴

Zakres działania zależy od tego, czy ujawniono dane, czy zainstalowano aplikację.¹⁶

Fałszywe SMS-y podszywające się pod MF: na co uważać?

SMS-y podszywające się pod Ministerstwo Finansów (MF) wymagają ostrożności, gdy obiecują nagrodę za ankietę i kierują do logowania w banku. Opisana wiadomość obiecywała 250 zł za wypełnienie rzekomej ankiety. Następnie prowadziła do fałszywego panelu logowania do banku.^17,18

Panel logowania otwarty z takiej wiadomości służy wyłudzeniu danych bankowych. Nie wpisuj w nim loginu ani hasła;
informację o ankiecie zweryfikuj przez oficjalny kanał instytucji, niezależnie od SMS-a.

Ceny i warunki sprawdzone u źródeł: październik 2026.