Fałszywy SMS i podrobiona strona banku: jak rozpoznać oszustwo i gdzie je zgłosić

„Twoja przesyłka czeka na dopłatę 1,99 zł”, „Mamo, zepsuł mi się telefon, napisz na nowy numer”, „Wykryliśmy próbę logowania na Twoje konto”. Każda z tych wiadomości jest krótka, pilna i prowadzi do jednego: żebyś kliknął, zanim się zastanowisz. Oszuści liczą na odruch, bo według CERT Polska większość wejść na strony wyłudzające dane następuje w ciągu 15 minut od otrzymania wiadomości.

Skala: blisko 300 tysięcy zgłoszonych SMS-ów w 2025 roku

W raporcie rocznym za 2025 rok zespół CERT Polska podaje, że przyjął 295 169 zgłoszeń podejrzanych SMS-ów. To o 16,8 procent mniej niż rok wcześniej, kiedy zgłoszeń było 354 566. Jeszcze wyraźniej spadła liczba wiadomości uznanych za złośliwe: z 140 659 w 2024 roku do 81 395 w 2025.

Spadek nie oznacza, że problem znika. Wysłanie jednego SMS-a kosztuje oszusta kilkanaście groszy, więc CERT wylicza, że dziesięć tysięcy wiadomości zwraca się, jeśli da się nabrać jedna osoba na 1000 do 2000 zł. Zmieniają się raczej scenariusze.

Paczka, dziecko, inwestycja: schematy, które wracają

Najdłużej znany jest motyw przesyłki: niedoręczona paczka, drobna dopłata i link do strony udającej firmę kurierską, na której podajesz dane karty. CERT odnotowuje, że w 2025 roku ta grupa wiadomości straciła na popularności. Coraz częściej SMS nie zawiera linku, tylko ma skłonić do kontaktu: wiadomość rzekomo od dziecka, które zepsuło telefon i prosi o rozmowę przez komunikator, informacja o zysku na koncie inwestycyjnym albo o próbie logowania do portfela kryptowalut.

Pojawiły się też wiadomości podszywające się pod system e-Doręczeń, które informują o nieodebranej przesyłce urzędowej. Osobną sztuczką jest prośba o odpowiedź na SMS. Odpowiedź aktywuje link zawarty w wiadomości, a przestępcy omijają w ten sposób zabezpieczenie telefonów, które utrudnia otwieranie odnośników od nieznanych nadawców.

Jak rozpoznać fałszywą wiadomość, zanim klikniesz

CERT radzi zadać sobie kilka prostych pytań. Czy naprawdę czekasz na paczkę i czy dostarcza ją akurat ta firma, która pisze? Dlaczego doradca albo giełda wysyła SMS, skoro zwykle korzysta z powiadomień w aplikacji? Czemu dziecko nie poprosiło o kontakt nauczyciela albo znajomego? Wiadomości nie są spersonalizowane, oszuści działają skalą i trafiają w ludzi, którzy akurat na coś czekają.

Do tego dochodzą sygnały techniczne. Adres strony, na którą prowadzi link, różni się od adresu banku czy firmy kurierskiej, choćby jedną literą albo dodatkiem w rodzaju „-dopłata”. Strona prosi o pełne dane karty razem z kodem z odwrotu albo o login i hasło do banku, żeby zapłacić złotówkę. Każda prośba o zalogowanie się do bankowości z linku w SMS-ie powinna zatrzymać. Do banku wchodzi się, wpisując adres samodzielnie albo przez aplikację.

Numer 8080: przekaż podejrzany SMS jednym ruchem

Od listopada 2023 roku działa bezpłatny numer 8080. Podejrzaną wiadomość wystarczy przesłać na ten numer, a trafia do analizy CERT Polska. To nie tylko odpowiedź na pytanie, czy wiadomość jest złośliwa. Na podstawie zgłoszeń CERT tworzy wzorce, które operatorzy komórkowi pobierają automatycznie w ciągu 5 minut i od tej chwili muszą blokować każdy pasujący SMS. W 2025 roku 790 takich wzorców zatrzymało 1 883 610 wiadomości.

Podejrzane strony i e-maile zgłasza się przez formularz na incydent.cert.pl albo w aplikacji mObywatel, w usłudze „Bezpiecznie w sieci”.

Lista Ostrzeżeń blokuje fałszywe strony za Ciebie

Adresy stron wyłudzających dane trafiają na Listę Ostrzeżeń CERT Polska, prowadzoną od marca 2020 roku. W 2025 roku wpisano na nią prawie 245 tys. domen, a lista zablokowała około 141,1 mln wejść na niebezpieczne strony. Domena zostaje na liście przez 6 miesięcy od analizy.

Większość użytkowników korzysta z listy, nie wiedząc o tym, bo używają jej operatorzy telekomunikacyjni, między innymi sieci Plus i Play. Zamiast fałszywej strony zobaczysz wtedy planszę z ostrzeżeniem. Czy Twój operator chroni Cię w ten sposób, sprawdzisz w serwisie lista.cert.pl.

Kliknąłeś i podałeś dane? Działaj w tej kolejności

1. Zadzwoń do banku na numer z odwrotu karty albo z oficjalnej aplikacji i zablokuj kartę lub dostęp do konta.
2. Zmień hasło do bankowości i do poczty e-mail, jeśli wpisałeś je na fałszywej stronie.
3. Zastrzeż numer PESEL, jeśli podałeś dane z dowodu osobistego.
4. Zgłoś sprawę na policję i zachowaj SMS oraz historię operacji, bo bank poprosi o te dowody.

Zastrzeżenie PESEL działa od 1 czerwca 2024 roku. Od tego dnia banki i inne instytucje finansowe muszą sprawdzać, czy numer PESEL jest zastrzeżony, zanim podpiszą umowę kredytu albo pożyczki. Zastrzeżenie jest bezpłatne, robi się je w mObywatelu albo w urzędzie gminy, a z zastrzeżonym numerem nadal wypłacisz pieniądze z bankomatu i zlecisz przelew. Gdy sam będziesz potrzebować kredytu, zastrzeżenie cofniesz w ten sam sposób.

Profil zaufany i konta publiczne też bywają celem

Do mObywatela, Internetowego Konta Pacjenta czy wniosku o wpis firmy logujesz się często danymi z bankowości elektronicznej. Tym bardziej wchodź na nie wyłącznie przez adresy w domenie gov.pl wpisane samodzielnie. Co można załatwić w Internetowym Koncie Pacjenta i jak złożyć wniosek o wpis do CEIDG, opisujemy osobno. Jeśli zaś ktoś w SMS-ie obiecuje pewny zysk ponad inflację, porównaj to z tym, ile naprawdę dają obligacje indeksowane inflacją.