Fałszywy SMS i smishing: jak rozpoznać oszustwo

SMS o niedopłaconej przesyłce, o blokadzie konta, o „ostatnim ostrzeżeniu” przed zaległością. Oszuści wysyłają takie wiadomości masowo, więc część odbiorców akurat czeka na paczkę lub korzysta z wymienionej usługi. Ten poradnik wyjaśnia, jak działa smishing, po czym go rozpoznasz, co zrobić po kliknięciu i jak zgłosić SMS-a. Opieramy się na CERT Polska (zespół działający w NASK), NASK i portalu gov.pl.

Trzymamy się tego, co piszą te instytucje. Gdy ich strony czegoś nie mówią, zaznaczamy to wprost. To informacja ogólna, nie porada prawna ani bankowa dla twojej sytuacji. Szerszy opis phishingu, także przez e-mail i telefon, znajdziesz w poradniku Phishing: jak go rozpoznać, uniknąć i zgłosić.

Co zrobić z podejrzanym SMS-em

1. Nie klikaj i nie odpowiadaj. Dopóki nie masz pewności, kto jest nadawcą, zostaw link w spokoju.
2. Sprawdź sprawę inną drogą. Otwórz samodzielnie aplikację kuriera, banku lub operatora. Nie korzystaj z linku z wiadomości.
3. Niczego nie instaluj z linku ani z pliku pobranego ze strony.
4. Nie przepisuj kodów z SMS-ów ani z aplikacji bankowej na stronie, do której prowadzi wiadomość.
5. Zgłoś SMS-a na numer 8080, w niezmienionej formie tekstowej. Szczegóły są niżej.

Jeśli dane zostały już wpisane lub aplikacja zainstalowana, przejdź do sekcji „Co zrobić po kliknięciu, wpisaniu danych lub instalacji”.

Chcesz zobaczyć, jakie dane o tobie są widoczne publicznie i mogą uwiarygodnić fałszywą wiadomość? Bezpłatna analiza Remove Me może być punktem wyjścia, bez zakładania konta. Przeszukuje widoczne publicznie wyniki wyszukiwania, znane wycieki danych (Have I Been Pwned) i rejestr brokerów danych, po czym pokazuje, co znalazła. Raport otwierasz sześciocyfrowym kodem wysłanym e-mailem. Remove Me nie wysyła na razie za ciebie wniosków o usunięcie danych i nie filtruje SMS-ów.

Rozpocznij bezpłatną analizę

Czym jest smishing

CERT Polska wyjaśnia, że phishing to oszustwo oparte na socjotechnice. Atakujący podszywa się pod kogoś, komu ufasz, na przykład bank, kuriera, urząd, sklep lub członka rodziny, i nakłania cię do przekazania danych logowania, numeru karty, kodu autoryzacyjnego albo pieniędzy. Odmiany phishingu mają osobne nazwy zależnie od kanału: smishing to oszustwo przez SMS, vishing przez połączenie telefoniczne, a quishing przez kod QR.

Portal gov.pl zwraca uwagę, że cyberprzestępcy podszywają się m.in. pod firmy kurierskie, urzędy administracji, operatorów telekomunikacyjnych, a nawet znajomych. Wykorzystują do tego najczęściej sfałszowane e-maile i SMS-y.

CERT Polska zaznacza, że nazwa odmiany ma dla ciebie drugorzędne znaczenie, bo schemat zawsze jest ten sam: ktoś chce, żeby nakłonić cię do wpisania hasła, przepisania kodu albo wykonania przelewu.

Dlaczego SMS wygląda wiarygodnie

Najskuteczniejsze wiadomości niczym nie odstają od prawdziwych. Według CERT Polska naśladują komunikaty, które faktycznie dostajesz: powiadomienie o przesyłce, wezwanie do zapłaty, alert z banku. Rozsyła się je masowo, więc zawsze trafią na kogoś, kto akurat czeka na paczkę lub korzysta z danej usługi i dla kogo sytuacja jest zupełnie prawdopodobna.

Są dwa powody, dla których nie warto polegać na tym, od kogo SMS rzekomo przyszedł:

• Nadawcę da się sfałszować. CERT Polska pisze, że pole nadawcy SMS-a można sfałszować ogólnodostępnymi narzędziami. Oszuści mogą w nim umieścić dowolną treść, na przykład nazwę firmy kurierskiej.
• Wiadomość może przyjść z prawdziwego konta. Prośba o pieniądze może naprawdę pochodzić z numeru lub konta znajomego, jeśli oszust zdążył je wcześniej przejąć.

Strona wiarygodnie wyglądająca też o niczym nie świadczy. CERT Polska podkreśla, że skopiowanie logo, kolorów i układu jest dziś banalnie proste. Jedyna informacja, której nie da się podrobić, to domena widoczna w pasku adresu.

Najczęstsze scenariusze

Dopłata do paczki

Oszustwa „na paczkę” są według NASK szczególnie popularne przed świętami, gdy wiele osób korzysta z usług kurierskich. Zwykle jest to SMS lub e-mail o rzekomej niedopłacie za przesyłkę albo o konieczności uzupełnienia danych adresowych. Link prowadzi do strony łudząco podobnej do serwisu firmy kurierskiej. Cel przestępców, według NASK, to dane karty płatniczej lub login i hasło do bankowości internetowej.

NASK podaje typowe hasła z takich wiadomości: „zrób coś, bo inaczej twoja paczka wróci do nadawcy”, „zaktualizuj dane adresowe, masz na to tylko trzy godziny”, „dopłać niewielką kwotę”. W komunikacie z grudnia 2024 roku NASK cytuje dane CERT Polska: blisko 30 proc. wszystkich zgłoszeń z 2023 roku zanotowano właśnie w grudniu. To dane sprzed kilku lat, więc traktuj je jako ilustrację sezonowości, nie jako aktualną statystykę.

CERT Polska opisuje ten sam schemat inaczej: SMS o konieczności dopłaty 2 zł za przekroczenie limitu wagi paczki albo niewielkiej opłaty za przedłużenie usługi. Niewielka kwota i wiarygodne wyjaśnienie sprawiają, że chcesz zapłacić i mieć to z głowy. Na taki odruch liczą oszuści. Prawdziwym celem, według CERT Polska, nie jest sama drobna kwota, tylko dane, które wpiszesz przy okazji.

Co zrobić: otwórz stronę lub aplikację firmy kurierskiej i sprawdź, czy w szczegółach przesyłki widnieje informacja o wymaganej opłacie. W razie wątpliwości skontaktuj się z firmą kurierską lub ze sprzedawcą. Jeśli wchodzisz na stronę kuriera, wpisz jej adres samodzielnie w przeglądarce.

Kod BLIK od „znajomego”

Drugi scenariusz opisany przez CERT Polska zaczyna się od wiadomości z konta znajomego w komunikatorze. „Znajomy” twierdzi, że stoi przy kasie, jego karta nie działa i prosi o kod BLIK. Wyobrażasz sobie kolejkę za jego plecami i chcesz szybko pomóc.

Oszuści przejmują konta w mediach społecznościowych, wyłudzając dane logowania. Wykorzystują też dane z wycieków: sprawdzają, czy to samo hasło działa w innych serwisach. Gdy mają dostęp do konta, piszą do znajomych właściciela i proszą o pilną pomoc. CERT Polska zaznacza, że taką wiadomość mogą wysłać do kilkunastu osób, licząc na to, że choć jedna zareaguje pochopnie.

Co zrobić: zadzwoń do znajomego, wybierając zapisany wcześniej numer. Jeśli nie odbiera, poczekaj z płatnością. Pamiętaj też, że według CERT Polska kodem BLIK nie da się „odebrać” przelewu: jeśli ktoś prosi o taki kod, chce nim zapłacić lub wypłacić pieniądze z twojego konta.

Link do aplikacji lub „aktualizacji”

Trzeci scenariusz CERT Polska opisuje w poradniku o bezpieczeństwie telefonu. Dostajesz SMS o problemie z przesyłką, otwierasz link, a strona prosi o pobranie aplikacji. Albo chcesz obejrzeć film i widzisz komunikat, że potrzebujesz dodatkowego odtwarzacza. W obu sytuacjach możesz nieświadomie zainstalować szkodliwy program, sądząc, że to oficjalna aplikacja.

Instytucja radzi:

• nie instaluj aplikacji z plików pobranych ze stron internetowych,
• otwórz samodzielnie sklep z aplikacjami (Google Play na Androidzie, App Store na iPhonie) i tam wyszukaj potrzebną aplikację,
• jeśli strona, SMS lub wyskakujące okienko nakłania do pobrania pliku z „aktualizacją” przeglądarki czy odtwarzacza wideo, nie instaluj go.

CERT Polska zastrzega, że aplikacje w oficjalnych sklepach przechodzą kontrolę, która zmniejsza ryzyko trafienia na szkodliwy program, ale nie daje pełnej pewności. Również po instalacji czytaj komunikaty i prośby o dostęp do danych.

Prośba o kod z SMS-a

Najbardziej mylące bywają SMS-y z kodem. CERT Polska opisuje sytuację, w której oszust prosi o przepisanie na stronie kodu autoryzacyjnego, rzekomo po to, by potwierdzić odbiór środków. Tymczasem w samej treści SMS-a z kodem jest napisane coś zupełnie innego, na przykład że kod służy do dodania nowego urządzenia mobilnego. Dlatego, zanim zatwierdzisz operację kodem z SMS-a lub potwierdzeniem w aplikacji bankowej, przeczytaj opis operacji, a nie tylko cyfry. To jedyne miejsce, w którym zobaczysz, co naprawdę autoryzujesz i na jaką kwotę.

CERT Polska podaje przykład: dopłata miała wynosić 2 zł, a komunikat pokazuje 20 lub 200 zł albo prosi o dodanie nowego urządzenia do bankowości. W takiej sytuacji nie potwierdzaj operacji.

Sygnały ostrzegawcze w SMS-ie

CERT Polska wymienia elementy, które najczęściej powtarzają się w wiadomościach phishingowych, także w SMS-ach:

• Presja czasu. Konto zostanie zablokowane, przesyłka wróci do nadawcy, oferta wygasa za godzinę.
• Silna emocja. Nieautoryzowana transakcja, wygrana, kłopoty bliskiej osoby.
• Drobna kwota do dopłaty.
• Nietypowy kanał lub prośba. Przeniesienie rozmowy na komunikator, prośba o kod, o instalację programu albo o przelew na „nowy” numer konta.
• Nieoczekiwany kontakt. Wiadomość z nieznanego numeru, zwłaszcza gdy nadawca podaje się za kogoś bliskiego.

Gov.pl dodaje, że w SMS-ach i e-mailach często używane są skrócone adresy. Zwracaj uwagę na nazwę strony: zamiast adresu prawdziwego serwisu zakupowego oszuści mogą użyć adresu, który tylko go przypomina. Według gov.pl urzędy administracji publicznej nie proszą przez SMS ani e-mail o dopłatę do szczepionki czy uregulowanie należności podatkowych.

Zastrzeżenie CERT Polska: te sygnały pomagają wyłapać oszustwo, ale nie są pełną listą, a ich brak niczego nie dowodzi, bo wiadomości bywają dziś napisane bez błędów. Jeśli prośba dotyczy pieniędzy lub danych, potwierdź ją inną drogą niż ta, którą przyszła.

Czy samo kliknięcie jest niebezpieczne

CERT Polska pisze, że w zdecydowanej większości przypadków samo kliknięcie w link jest nieszkodliwe. Problem pojawia się, gdy na otwartej stronie coś zrobisz: podasz dane, przepiszesz kod, potwierdzisz operację albo zainstalujesz aplikację pobraną z takiej strony. Wyjątkiem są ataki wykorzystujące niezałatane podatności w przeglądarce lub systemie. Według CERT Polska są one rzadkie, kosztowne i zwykle wymierzone w konkretne osoby, a chroni przed nimi regularne aktualizowanie oprogramowania.

Włącz więc automatyczne aktualizacje systemu i aplikacji. CERT Polska zaleca też, by przy zakupie telefonu sprawdzić, jak długo będzie dostawał aktualizacje. Jeśli telefon nie dostaje już aktualizacji zabezpieczeń, instytucja radzi rozważyć jego wymianę, zwłaszcza gdy korzystasz na nim z bankowości.

Uprawnienia aplikacji i dostęp do SMS-ów

W SMS-ach dostajesz nie tylko prywatne informacje, ale też kody do logowania i zatwierdzania operacji. CERT Polska ostrzega, że szkodliwa aplikacja z dostępem do SMS-ów może odczytać ich treść i przekazać ją oszustom. Przy instalowaniu aplikacji sprawdzaj, na co pozwalasz:

• Zastanów się, czy dany dostęp (aparat, mikrofon, lokalizacja, kontakty) jest potrzebny do czynności, którą chcesz wykonać. CERT Polska podaje przykład: kalkulator nie potrzebuje dostępu do SMS-ów.
• Uważaj na funkcję „Dostępność” lub „Ułatwienia dostępu”. Na Androidzie taka zgoda może pozwolić aplikacji odczytywać treści z ekranu i wykonywać czynności w twoim imieniu. Jeśli aplikacja do śledzenia paczki lub odtwarzania filmu prosi o możliwość sterowania telefonem, odmów.
• Uważaj na „Dostęp do powiadomień”. Taka zgoda może pozwolić aplikacji odczytywać powiadomienia innych aplikacji, w tym fragmenty wiadomości. Przyznawaj ją tylko zaufanym aplikacjom, których funkcje tego wymagają.

Przyznane zgody możesz później sprawdzić i zmienić w ustawieniach telefonu.

Co zrobić po kliknięciu, wpisaniu danych lub instalacji

Zależy to od tego, co się stało. Poniższe kroki opierają się na zaleceniach CERT Polska.

Jeśli doszło tylko do kliknięcia w link, bez wpisywania danych i instalacji, zwykle nie dzieje się nic złego. Zamknij stronę i zgłoś SMS-a. Zadbaj o aktualizacje.

Jeśli dane logowania lub karty zostały podane albo kod został przepisany:

1. Skontaktuj się z bankiem tak szybko, jak to możliwe, i zgłoś sprawę. Poproś o zablokowanie karty lub dostępu do bankowości.
2. Zmień hasło w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie jest takie samo hasło.
3. Wyloguj wszystkie aktywne sesje i włącz uwierzytelnianie dwuskładnikowe. Sprawdź, czy do konta nie podpięto nieznanych aplikacji lub urządzeń.
4. Jeśli dane dokumentu tożsamości trafiły do oszusta, zastrzeż PESEL. Według CERT Polska zrobisz to w aplikacji mObywatel, w serwisie mobywatel.gov.pl lub w urzędzie gminy.
5. Zgłoś sprawę na policję, jeśli doszło do utraty pieniędzy.
6. Jeśli oszust przejął twoje konto w mediach społecznościowych, ostrzeż bliskich.

Jeśli aplikacja z linku została zainstalowana: strony CERT Polska, z których korzystamy, nie opisują krok po kroku, jak usunąć taką aplikację i ją wykryć. Zasadniczo opisują, że przyznane aplikacji zgody da się sprawdzić i zmienić w ustawieniach telefonu. Zatem w ustawieniach sprawdź zgody (zwłaszcza „Dostępność” i dostęp do powiadomień oraz SMS-ów) i skontaktuj się z bankiem, jeśli korzystasz z bankowości w tym telefonie. Szczegółowej instrukcji usunięcia nie podajemy.

Ten plan opisuje, co zalecają źródła. Nie gwarantuje odzyskania pieniędzy, a o możliwościach zwrotu środków po nieautoryzowanej transakcji powie ci bank.

Jak zgłosić fałszywego SMS-a

Numer 8080

Według strony incydent.cert.pl, w kategorii „Podejrzana wiadomość SMS”, obowiązują takie zasady:

• Podejrzaną wiadomość SMS przekaż w niezmienionej formie tekstowej na numer 8080.
• Wiadomość nie powinna zawierać dopisanych komentarzy ani numeru nadawcy.
• Zgłoszenia w formie MMS, na przykład zrzut ekranu, nie są przetwarzane.
• Numer 8080 jest obsługiwany przez automat, więc nie prowadź rozmowy.

Strona nie opisuje, czy zgłoszenie jest bezpłatne ani czy otrzymasz potwierdzenie. Sprawdź to u swojego operatora [À VÉRIFIER]. CERT Polska pisze, że zgłoszenie pomaga zablokować oszustwo, zanim dotrze do kolejnych osób.

Złośliwa strona z SMS-a

Jeśli chcesz zgłosić samą stronę, do której prowadził link, formularz na incydent.cert.pl ma kategorię „Złośliwa domena”. Wybierasz najpierw „Osoba fizyczna / inne podmioty”. Jednym zgłoszeniem można wskazać maksymalnie 50 domen lub adresów URL, po jednym w linii, z uzasadnieniem. Zwróć też uwagę na zastrzeżenie CERT Polska: nie zgłaszaj tą drogą domen ani adresów e-mail, z których wysyłane są masowo złośliwe wiadomości. Wysłanie formularza wymaga kliknięcia „Nie jestem robotem”.

Podejrzany telefon

Gdy po SMS-ie ktoś dzwoni i nakłania do inwestycji lub zaciągnięcia kredytu, formularz ma kategorię „Podejrzany telefon”. Prosi o numer nadawcy i odbiorcy połączenia, datę i godzinę, opis tego, za kogo podawał się rozmówca, i do czego nakłaniał.

Policja i prokuratura

Jeśli doszło do utraty pieniędzy lub podejrzewasz oszustwo, portal gov.pl radzi zgłosić to na policji lub w prokuraturze. Zgłoszenie złożysz w dowolnej jednostce policji. Jeśli nie jest właściwa miejscowo, zostanie przekazane do odpowiedniej. W prokuraturze zgłoszenie przyjmą w godzinach pracy, czyli według gov.pl najczęściej od 8.00 do 16.00. Usługa jest bezpłatna. Przygotuj dokument ze zdjęciem. Zgłoś jak najszybciej: gov.pl zaznacza, że zwiększa to szansę na zatrzymanie sprawcy.

Strona oznacza usługę jako dostępną „zdalnie” i „anonimowo”, ale nie opisuje, jak dokładnie złożyć zawiadomienie w tych trybach. Informacji o ewentualnym zgłoszeniu zdalnym szukaj na stronie policji [À VÉRIFIER].

Jak się przygotować na kolejny SMS

Kilka nawyków wynika bezpośrednio z zaleceń opisanych wyżej:

• Zanim klikniesz, zadaj sobie pytanie: czy ta wiadomość była oczekiwana? Jeśli to paczka, sprawdź ją w aplikacji kuriera.
• Adres strony wpisuj samodzielnie w przeglądarce, gdy masz podać dane.
• Instaluj aplikacje tylko ze sklepu w telefonie.
• Czytaj opis operacji w aplikacji bankowej, a nie tylko kod.
• Do poczty, banku i mediów społecznościowych używaj długich, osobnych haseł i włącz weryfikację dwuetapową. CERT Polska zaleca minimum 14 znaków, najlepiej kilka słów.
• Proś o potwierdzenie telefoniczne, gdy „znajomy” pisze o pieniądzach.
• Zgłaszaj podejrzane SMS-y pod numer 8080.

Im więcej twoich danych jest widocznych publicznie, tym łatwiej oszustowi napisać wiadomość, która brzmi wiarygodnie. Bezpłatna analiza Remove Me pokazuje, co o tobie widać w wyszukiwarce, w znanych wyciekach i w rejestrze brokerów danych. Nie blokuje oszustów i nie usuwa danych.

Czego źródła nie mówią

• Strony CERT Polska, NASK i gov.pl, które przeczytaliśmy, nie opisują, jak operatorzy telekomunikacyjni blokują fałszywe SMS-y. Dlatego nie piszemy o tym.
• Nie podają aktualnej liczby zgłoszeń SMS w 2026 roku. Jedyna liczba w tym tekście, blisko 30 proc. zgłoszeń z 2023 roku w grudniu, pochodzi z komunikatu NASK z grudnia 2024 roku.
• Nie opisują zasad zwrotu pieniędzy po nieautoryzowanej transakcji. Zapytaj swój bank.
• Nie znaleźliśmy na tych stronach osobnej procedury UOKiK dla fałszywych SMS-ów. Jeśli oszustwo dotyczyło zakupu towaru lub usługi, sprawdź ofertę pomocy konsumentom na stronie uokik.gov.pl [À VÉRIFIER].

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• CERT Polska, Zgłoś incydent: https://incydent.cert.pl/
• CERT Polska, Phishing: jak rozpoznać oszustwo i nie dać się nabrać: https://wiedza.cert.pl/bezpieczenstwo-osobiste/rozpoznanie-phishingu/
• CERT Polska, Uważaj na fałszywe prośby o szybki przelew: https://cert.pl/szybkie-przelewy/
• CERT Polska, Bezpieczeństwo w Twojej kieszeni: https://cert.pl/bezpieczny-telefon/
• NASK, Mocny powrót oszustw na „niedostarczoną paczkę”: https://www.nask.pl/aktualnosci/mocny-powrot-oszustw-na-niedostarczona-paczke
• Gov.pl, Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y: https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-sie-nabrac-na-podejrzane-widomosci-e-mail-oraz-sms-y
• Gov.pl, Zgłoś przestępstwo: https://www.gov.pl/web/gov/zglos-przestepstwo