Spoofing: co to jest i jak nie dać się nabrać na fałszywego nadawcę

„Dzwoni bank”, „pisze kurier”, „znajomy prosi o pilną pomoc”. W każdej z tych sytuacji to, co widzisz na ekranie, wygląda wiarygodnie. Spoofing polega na tym, że oszust ustawia takie dane tak, by wyglądały na prawdziwe. Ten poradnik wyjaśnia, czym jest spoofing, co o fałszowaniu nadawcy mówi CERT Polska, jak sprawdzić prośbę inną drogą i gdzie zgłosić oszustwo.

Opieramy się na stronach CERT Polska (zespół działający w NASK), portalu gov.pl i zasadach BLIK. Pisząc o spoofingu numeru w rozmowach telefonicznych, zaznaczamy granice tych źródeł, bo nie opisują one tego zjawiska szczegółowo. To informacja ogólna, nie porada prawna ani bankowa dla twojej sytuacji.

Czym jest spoofing

Słowo „spoofing” pochodzi z angielskiego i oznacza podszywanie się. W bezpieczeństwie cyfrowym określa fałszowanie danych, które widzi odbiorca, by uchodzić za kogoś innego. To nazwa zbiorcza, a nie osobny rodzaj oszustwa. Najczęściej dotyczy trzech rzeczy:

• nadawcy SMS-a, czyli nazwy lub numeru wyświetlanych nad wiadomością;
• adresu e-mail nadawcy, czyli pola „Od”;
• numeru dzwoniącego, czyli tego, co wyświetla telefon podczas połączenia.

CERT Polska w artykule o rozpoznawaniu phishingu opisuje pierwsze dwa wprost. Pisze, że pole nadawcy SMS-a można sfałszować ogólnodostępnymi narzędziami, tak samo jak nadawcę e-maila. Z tego wyciąga wniosek, że nie da się zbudować obrony na tym, skąd wiadomość przyszła.

Z trzecim punktem, czyli fałszowaniem numeru w trakcie rozmowy, sprawa jest inna. Strony CERT Polska o bezpieczeństwie telefonu i o phishingu opisują oszustwa przez telefon (vishing), ale, jak je odczytaliśmy, nie wyjaśniają, jak technicznie podrabia się numer dzwoniącego ani jak go wykryć. Dlatego nie opisujemy tu szczegółów technicznych i nie przypisujemy tych stwierdzeń CERT Polska. Praktyczna zasada działa jednak niezależnie od techniki: nie opieraj zaufania na tym, co wyświetla ekran.

Dlaczego spoofing działa

CERT Polska zwraca uwagę na dwa mechanizmy, które sprawiają, że oszustwo się udaje.

Po pierwsze, wiadomość naśladuje to, co faktycznie dostajesz: powiadomienie o przesyłce, wezwanie do zapłaty, alert z banku. Po drugie, może przyjść z prawdziwego konta. CERT Polska opisuje oszustwo, w którym przestępca przejmuje konto znajomego i prosi jego kontakty o pieniądze lub kod. Pisze, że wiadomości wysyłane są tak „do kilkunastu osób”. W takiej sytuacji nadawca jest prawdziwy, a podszywanie się dotyczy tożsamości autora.

Oszuści liczą też na pośpiech i odruch pomocy. Strona o szybkich przelewach ostrzega, żeby nie działać pochopnie, bo przestępcy wykorzystują właśnie presję czasu.

Jak sprawdzić prośbę inną drogą

Najprostsza zasada pochodzi wprost z CERT Polska: jeśli prośba dotyczy pieniędzy lub danych, potwierdź ją inną drogą niż ta, którą przyszła. W praktyce:

1. Zadzwoń pod numer, który już znasz. Chodzi o numer zapisany wcześniej w kontaktach, a nie o numer z wiadomości. CERT Polska radzi: „Wybierz zapisany wcześniej numer znajomego i upewnij się, że to on prosi o pomoc”.
2. Do banku dzwoń samodzielnie na oficjalny numer. Zasady BLIK mówią: jeśli weryfikacja tożsamości odbiega od procedury, rozłącz się i wykonaj telefon zwrotny, aby potwierdzić tożsamość konsultanta i powód kontaktu. Oficjalny numer znajdziesz na stronie banku albo na karcie płatniczej. To nasza praktyczna uwaga, nie cytat ze źródła.
3. Zaloguj się samodzielnie. Jeśli wiadomość dotyczy paczki lub konta, otwórz aplikację lub stronę wpisaną ręcznie w przeglądarce i tam sprawdź sprawę. Zasady BLIK radzą wpisywać adres strony bezpośrednio w przeglądarce.
4. Czytaj opis operacji w aplikacji bankowej. CERT Polska zwraca uwagę, że to „jedyne miejsce, w którym zobaczysz, co naprawdę autoryzujesz”. Sprawdź kwotę, rodzaj transakcji i odbiorcę. Zwróć uwagę, czy zatwierdzasz płatność, czy dodanie nowego urządzenia do bankowości. Jeśli coś się nie zgadza, nie potwierdzaj operacji.

Domena: jedyna rzecz, której nie da się podrobić

Dla stron internetowych CERT Polska podaje konkretną wskazówkę. Skopiowanie logo, kolorów i układu jest banalnie proste, ale „jedyną informacją, której nie da się podrobić, jest domena widoczna w pasku adresu”. Przeglądarka wyróżnia tę część adresu. Jeśli nazwy banku lub sklepu nie ma w wyróżnionej części, strona nie jest jego prawdziwą stroną.

Portal gov.pl dodaje, że przestępcy stosują adresy podobne do prawdziwych, a w SMS-ach i e-mailach często pojawiają się skrócone linki. Przed kliknięciem możesz najechać kursorem na link, bez klikania, i sprawdzić pełny adres. Artykuł CERT Polska nie wchodzi w szczegóły dotyczące domen podobnych do oryginalnych, więc nie rozwijamy tego wątku.

Co z tego mają właściciele domen: SPF, DKIM, DMARC

Jako odbiorca nie ustawisz tych zabezpieczeń, ale warto wiedzieć, że istnieją. CERT Polska opisuje trzy mechanizmy poczty elektronicznej, które konfiguruje administrator domeny:

• SPF to wpis w DNS, w którym właściciel domeny wskazuje serwery uprawnione do wysyłania poczty w jego imieniu. Według artykułu sam SPF nie sprawdza pola „Od” wyświetlanego w programach pocztowych, więc nie chroni przed podszywaniem się pod widoczny adres.
• DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca sprawdza kluczem z DNS domeny. Utrudnia to podszywanie się pod nadawcę i zmianę treści w trakcie przesyłania.
• DMARC łączy SPF i DKIM i opiera się na adresie „Od”, który widzisz. Chroni przed podszywaniem się pod widoczny adres nadawcy, czego SPF i DKIM same nie zapewniają.

Z perspektywy czytelnika wniosek jest taki: wiadomość od firmy, która te zabezpieczenia wdrożyła, jest trudniejsza do podrobienia. Ale skuteczność zależy od nadawcy, a ty nie zawsze wiesz, czy je wdrożył. Dlatego nie traktuj dobrego wyglądu wiadomości jako dowodu. Strony CERT Polska nie opisują, jak odbiorca ma samodzielnie sprawdzić wynik tych weryfikacji w swoim programie pocztowym, więc tego nie omawiamy.

Co zrobić, gdy oszust zdobył dane

CERT Polska zaznacza, że po podaniu danych liczy się czas. Zalecane kroki:

1. Jak najszybciej skontaktuj się z bankiem i poproś o zablokowanie karty lub dostępu do bankowości, jeśli oszust zdobył dane logowania lub karty.
2. Zmień hasło w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie używasz tego samego hasła.
3. Wyloguj aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy nie podpięto nieznanych aplikacji lub urządzeń.
4. Jeśli dane dokumentu trafiły do oszusta, zastrzeż PESEL w mObywatel, na mobywatel.gov.pl lub w urzędzie gminy.
5. Jeśli doszło do utraty pieniędzy, zgłoś sprawę na policję.
6. Jeśli przejęto twoje konto w mediach społecznościowych, ostrzeż bliskich, bo takie konta służą przede wszystkim do wyłudzania pieniędzy od znajomych.

Ten plan opisuje, co zalecają źródła. Nie gwarantuje odzyskania pieniędzy, a o możliwościach zwrotu środków po nieautoryzowanej transakcji powie ci bank.

Jedna uwaga o danych: im więcej twoich informacji jest widocznych publicznie, tym łatwiej oszustowi napisać wiadomość, która brzmi wiarygodnie, na przykład z poprawnym imieniem, miastem lub nazwą banku. Bezpłatna analiza Remove Me pokazuje, co o tobie widać w wynikach wyszukiwania, w znanych wyciekach danych (Have I Been Pwned) i w rejestrze brokerów danych. Raport otwierasz sześciocyfrowym kodem wysłanym na adres e-mail podany w analizie. Analiza nie blokuje oszustów i nie usuwa danych.

Rozpocznij bezpłatną analizę

Jak zgłosić podejrzaną wiadomość

• SMS: według CERT Polska podejrzanego SMS-a można przekazać na numer 8080. Szczegóły zasad (format wiadomości, ewentualne koszty) opisuje strona incydent.cert.pl, a my ich tu nie powtarzamy [À VÉRIFIER].
• E-mail i inne wiadomości: CERT Polska przyjmuje zgłoszenia przez formularz na incydent.cert.pl. Zgłoszenie ma pomóc zablokować oszustwo, zanim trafi do kolejnych osób.
• Utrata pieniędzy: portal gov.pl radzi zgłosić sprawę na policji lub w prokuraturze. Zgłoszenie złożysz w dowolnej jednostce policji, a jeśli nie jest właściwa miejscowo, zostanie przekazane do odpowiedniej.

Szczegółowy opis zgłaszania SMS-ów i dalszych kroków znajdziesz w poradniku Fałszywy SMS i smishing, a ogólny obraz phishingu w tekście Phishing: jak go rozpoznać, uniknąć i zgłosić.

Czego źródła nie mówią

• Strony CERT Polska o telefonie i phishingu nie wyjaśniają, jak technicznie fałszuje się numer dzwoniącego ani jak go wykryć. Nie opisujemy tego, bo nie mamy oficjalnego źródła.
• Nie znaleźliśmy na stronie Urzędu Komunikacji Elektronicznej (UKE) informacji o spoofingu numerów ani o obowiązkach operatorów w tej sprawie. Jeśli takie przepisy lub procedury istnieją, sprawdź je na uke.gov.pl [À VÉRIFIER].
• Strony nie mówią, czy i jak operatorzy telekomunikacyjni blokują połączenia z podrobionych numerów. Zapytaj swojego operatora.
• Nie podajemy statystyk dotyczących liczby oszustw tego typu. Nie mamy dla nich źródła pierwotnego.
• Artykuły nie opisują zasad zwrotu pieniędzy po nieautoryzowanej transakcji. Zapytaj swój bank.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• CERT Polska, Phishing: jak rozpoznać oszustwo i nie dać się nabrać: https://wiedza.cert.pl/bezpieczenstwo-osobiste/rozpoznanie-phishingu/
• CERT Polska, SPF, DKIM i DMARC: https://wiedza.cert.pl/odpornosc-infrastruktury/bezpieczenstwo-uslug/poczta-spf-dkim-dmarc/
• CERT Polska, Uważaj na fałszywe prośby o szybki przelew: https://cert.pl/szybkie-przelewy/
• CERT Polska, Bezpieczny telefon: https://wiedza.cert.pl/bezpieczenstwo-osobiste/bezpieczny-telefon/
• BLIK, Dobre nawyki: https://blik.com/dobre-nawyki
• Gov.pl, Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y: https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-sie-nabrac-na-podejrzane-widomosci-e-mail-oraz-sms-y
• Gov.pl, Zgłoś przestępstwo: https://www.gov.pl/web/gov/zglos-przestepstwo