- Poniedziałek - Piątek : 09:00 - 17:00
SMS przychodzi w środku dnia. Twoje konto zostało zablokowane, potwierdź tożsamość w ciągu 30 minut. Wiadomość wygląda znajomo, bo ląduje w tym samym wątku, w którym dostajesz prawdziwe powiadomienia z banku. I na tym właśnie polega cała sztuczka.
Phishing bankowy to próba wyłudzenia danych przez podszycie się pod bank, a jego wersja SMS-owa nazywa się smishing. To nie margines: według raportu rocznego CERT Polska za 2025 rok zespół zarejestrował 78 391 incydentów phishingowych, czyli około jednej trzeciej wszystkich zgłoszonych zdarzeń, a na podstawie 790 rozpoznanych wzorców kampanii smishingowych zablokowano dostarczenie blisko 1,88 miliona złośliwych wiadomości SMS (CERT Polska, raport za 2025 r., opubl. 8 kwietnia 2026 r.). W tym poradniku pokazuję, po czym poznać fałszywy SMS, jak sprawdzić wiadomość w minutę i co robić, kiedy link został już kliknięty.
Phishing bankowy polega na tym, że ktoś udaje Twój bank, żeby wyciągnąć od Ciebie dane logowania, kod autoryzacyjny albo pieniądze. Oszust może zadzwonić, napisać mailem albo przez komunikator. SMS jest jednak wygodniejszy, bo mieści się w nim tylko kilka zdań, a krótka wiadomość nie daje miejsca na językowe potknięcia, które w mailu zwykle zdradzają fałszywkę.
Dochodzi do tego przyzwyczajenie. Kody, powiadomienia o przelewach i alerty o logowaniu przychodzą SMS-em od lat, więc telefonowi ufamy bardziej niż skrzynce pocztowej. Oszuści dokładnie na tym grają. Podobne mechanizmy działają przy fałszywych ofertach finansowania, o czym piszemy szerzej w poradniku jak rozpoznać oszustwo kredytowe online.
To nie jest wyłącznie żargon informatyków. Ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703) opisuje smishing jako wysłanie wiadomości SMS, w której nadawca podszywa się pod inny podmiot, żeby nakłonić odbiorcę do określonego zachowania: przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, zainicjowania połączenia albo instalacji oprogramowania.
Ta sama ustawa nakłada na operatorów telekomunikacyjnych obowiązek blokowania wiadomości, które pasują do wzorców przekazanych przez CSIRT NASK. Dlatego ma znaczenie, czy zgłaszasz podejrzaną wiadomość, czy tylko ją kasujesz. Jeden zgłoszony wzorzec potrafi zatrzymać wiadomość u tysięcy kolejnych odbiorców.
Nazwa nadawcy widoczna zamiast numeru telefonu, na przykład skrót nazwy banku, to zwykłe pole tekstowe w wiadomości. Telefon jej nie sprawdza. Jeśli oszust wpisze tam ten sam ciąg znaków, którego używa bank, system operacyjny potraktuje wiadomość jako część dotychczasowej rozmowy i wyświetli ją pod prawdziwymi powiadomieniami.
Właśnie dlatego takim wiadomościom ufa się bardziej niż mailom, choć nie ma ku temu żadnego powodu: umiejscowienie SMS-a w znanym wątku nie dowodzi niczego. Sprawdzaj treść i to, dokąd prowadzi link, a nie sąsiedztwo w skrzynce.
Fałszywą wiadomość poznasz najczęściej po tym, że łączy presję czasu z żądaniem, żebyś w coś kliknął. Prawdziwe powiadomienie bankowe informuje, natomiast wiadomość od oszusta zawsze czegoś od Ciebie chce, i to natychmiast. Poniżej cztery sygnały do sprawdzenia, zanim cokolwiek klikniesz.
Trzydzieści minut na potwierdzenie tożsamości, konto zablokowane do końca dnia. Termin ma wyłączyć Twoje myślenie. Bank nie stawia takich ultimatum SMS-em, bo blokada środków to procedura, o której informuje w aplikacji albo przez infolinię i której nie odwraca się kliknięciem w link.
Ten sam mechanizm działa w drugą stronę, przez straszenie stratą. Wiadomość o rzekomym przelewie na kilka tysięcy złotych, którego nie zlecałeś, popycha do kliknięcia szybciej niż jakakolwiek zachęta. Reakcja obronna jest tu naturalna i oszuści dokładnie na nią liczą.
Adres w fałszywej wiadomości bywa łudząco podobny do prawdziwego: dodane słowo, myślnik, inna końcówka domeny, czasem skracacz, który ukrywa prawdziwy adres. Na ekranie telefonu adres jest krótki i częściowo przycięty, więc podmiana jest praktycznie niewidoczna.
Reguła jest taka: nie wchodzisz do bankowości z linku w wiadomości. Nigdy. Otwierasz aplikację banku albo wpisujesz adres ręcznie, z pamięci lub z zakładki. Jeśli sprawa jest prawdziwa, znajdziesz ją po zalogowaniu w komunikatach. Jeśli po zalogowaniu nic nie ma, wiadomość była fałszywa i tyle.
Kilku rzeczy bank nie żąda nigdy, ani SMS-em, ani przez telefon, ani mailem: hasła do bankowości, pełnego numeru karty razem z kodem CVV, kodu z aplikacji mobilnej albo z wiadomości autoryzacyjnej. Pracownik banku nie prosi też o zainstalowanie programu do zdalnego dostępu ani o przelew weryfikacyjny na konto techniczne. Takie konto nie istnieje.
Przeczytaj też sam kod autoryzacyjny, zanim go gdziekolwiek wpiszesz. Prawdziwa wiadomość z kodem zawiera opis operacji, na przykład kwotę i odbiorcę przelewu. Jeśli kod dotyczy operacji, której nie zlecałeś, przerwij, zamiast przepisywać cyfry.
Wiele kampanii leci na oślep, do przypadkowych numerów. Stąd SMS o dopłacie do paczki, której nie zamawiałeś, o niedopłacie za prąd w kwocie kilku złotych albo o zaległości w banku, w którym nie masz konta. Drobna kwota jest celowa: przy kilku złotych rzadziej się weryfikuje, a chodzi nie o te kilka złotych, tylko o dane karty wpisane na fałszywej stronie płatności.
Zestaw treść z tym, co faktycznie zrobiłeś w ostatnich dniach. Nie zamawiałeś przesyłki, nie składałeś wniosku, nie zmieniałeś umowy? To znaczy, że ktoś zmyśla.
Kampanie smishingowe zmieniają szatę graficzną, ale ich schematy są zaskakująco stałe.
Pierwszy zaczyna się od blokady konta i pilnej weryfikacji. Link prowadzi do strony podszywającej się pod logowanie, a wpisane dane trafiają od razu do oszusta, który loguje się do Twojej bankowości, gdy Ty czekasz na ekranie ładowania.
Dopłata drobnej kwoty działa inaczej: do przesyłki, rachunku albo mandatu. Chodzi o formularz płatności kartą, czasem o ustawienie cyklicznego obciążenia, o którym dowiesz się dopiero z wyciągu.
Trzeci schemat odwraca role. Dostajesz SMS o podejrzanej transakcji, a chwilę później dzwoni ktoś podający się za pracownika działu bezpieczeństwa i proponuje pomoc w jej anulowaniu. Wiadomość jest tu tylko przygotowaniem gruntu pod rozmowę, w której padnie prośba o kod albo o instalację programu.
Czwarty, fałszywa decyzja kredytowa, dotyczy wprost finansowania.
Osobna grupa wiadomości udaje decyzje kredytowe. Kredyt przyznany, kliknij po umowę. Wniosek gotowy do wypłaty, potwierdź dane. Wersja bardziej dopracowana odwołuje się do pośrednika finansowego i prosi o skan dowodu osobistego oraz o opłatę za rozpatrzenie wniosku.
Zapamiętaj dwie rzeczy. Po pierwsze, decyzji kredytowej nie dostaje się na wniosek, którego się nie złożyło. Po drugie, uczciwy pośrednik kredytowy nie pobiera opłaty przed rozpatrzeniem sprawy ani nie zbiera dokumentów tożsamości przez link z SMS-a. Jeśli wiadomość powołuje się na firmę, z którą faktycznie rozmawiasz, zadzwoń pod numer, który masz z jej strony lub z wcześniejszej korespondencji.
Sprawdzasz to szybciej, niż myślisz. Nie klikaj w link, otwórz aplikację banku i sprawdź saldo i komunikaty. Potem zajrzyj do historii operacji. Jeśli nie ma tam ani blokady, ani transakcji z wiadomości, sprawa jest zamknięta, a SMS możesz zgłosić i skasować.
Numer podany w podejrzanej wiadomości jest częścią oszustwa, więc oddzwanianie pod niego nie ma sensu. Jedyny numer, któremu możesz zaufać, to ten z odwrotu karty płatniczej albo ze strony banku, której adres wpisałeś ręcznie.
Zadzwoń z innego telefonu, jeśli możesz. Przy niektórych oszustwach rozmówca zwleka z rozłączeniem i wybierając numer, trafiasz z powrotem do tej samej osoby. Więcej praktycznych nawyków znajdziesz w tekście o cyberbezpieczeństwie w bankowości.
Kliknięcie samo w sobie nie oznacza jeszcze straty pieniędzy. Znaczenie ma to, czy podałeś dane i jak szybko reagujesz. Najwięcej zależy od pierwszej godziny: wtedy ograniczasz straty i zbierasz dowody, które przydadzą się później.
Najpierw odetnij dostęp. Zadzwoń na infolinię banku z numeru z karty i poproś o zablokowanie bankowości elektronicznej oraz karty. Zmień hasło do bankowości i do skrzynki pocztowej, przez którą odzyskuje się hasła. Jeśli instalowałeś jakikolwiek program z linku, odłącz telefon od sieci i usuń aplikację, a przy poważniejszym podejrzeniu zrób kopię danych i przywróć ustawienia fabryczne.
Potem zgłoś nieautoryzowane transakcje, jeśli już się pojawiły. Ustawa o usługach płatniczych wymaga niezwłocznego zgłoszenia, a prawo do reklamacji wygasa po 13 miesiącach od obciążenia rachunku (art. 44 ust. 2 ustawy z 19 sierpnia 2011 r. o usługach płatniczych). Reklamację składaj pisemnie i zachowaj potwierdzenie.
Podejrzaną wiadomość przekaż na bezpłatny numer 8080, prowadzony przez CERT Polska. Przekazujesz ją w całości, opcją „przekaż” lub „udostępnij”, bez wycinania linku, bo to właśnie adres pozwala zbudować wzorzec, który zablokuje całą kampanię. Strony i maile zgłosisz przez formularz na incydent.cert.pl.
Jeśli straciłeś pieniądze albo ktoś użył Twoich danych, złóż zawiadomienie o podejrzeniu popełnienia przestępstwa na policji. Numer sprawy przyda się w reklamacji bankowej, a przy sporze o cudze zobowiązanie staje się podstawowym dokumentem.
Po zgłoszeniu nieautoryzowanej transakcji bank ma zwrócić jej kwotę niezwłocznie, najpóźniej do końca dnia roboczego następującego po dniu zgłoszenia (art. 46 ust. 1 ustawy o usługach płatniczych). To ustawowy termin, nie dobra wola instytucji.
Zwrot nie jest jednak automatyczny w każdej sytuacji. Bank może odmówić, jeśli wykaże, że transakcja została autoryzowana albo że doprowadziło do niej rażące niedbalstwo klienta, na przykład świadome przekazanie kodu autoryzacyjnego osobie trzeciej. Wtedy zaczyna się spór o to, jak ocenić Twoje zachowanie. Po odrzuceniu reklamacji pozostaje wniosek do Rzecznika Finansowego, a następnie droga sądowa. Dlatego opis zdarzenia i daty spisz od razu, póki pamiętasz szczegóły.
Wyłudzone dane rzadko leżą bezużytecznie. Komplet informacji z dowodu osobistego wystarcza, żeby ktoś próbował zawrzeć umowę na Twoje nazwisko, a zobowiązanie pojawia się wtedy w Twojej historii kredytowej. O sprawie dowiadujesz się zwykle późno: przy odmowie kredytu albo z wezwania do zapłaty.
Podstawowa ochrona nic nie kosztuje. Rejestr zastrzeżeń numerów PESEL powstał na mocy ustawy z 7 lipca 2023 roku o zmianie niektórych ustaw w celu ograniczenia niektórych skutków kradzieży tożsamości. Numer zastrzeżysz w aplikacji mObywatel, przez serwis gov.pl albo w urzędzie gminy, i tak samo szybko cofniesz zastrzeżenie, kiedy sam zamierzasz złożyć wniosek.
Od 1 czerwca 2024 roku banki, SKOK-i, firmy pożyczkowe oraz notariusze mają obowiązek sprawdzić, czy numer PESEL nie jest zastrzeżony, zanim zawrą umowę kredytu lub pożyczki. Przy aktywnym zastrzeżeniu instytucja odmawia czynności. W praktyce znaczy to tyle: zastrzeżony PESEL nie przekreśla Twoich planów, tylko wymaga odblokowania na czas własnego wniosku.
Po takiej sytuacji sprawdź, co widnieje na Twoje nazwisko. Raport BIK pokazuje zapytania kredytowe i czynne zobowiązania, więc cudzy wniosek zwykle rzuca się w oczy jako zapytanie z instytucji, do której nigdy nie składałeś dokumentów.
Jeśli w rejestrze pojawi się zobowiązanie, którego nie zaciągałeś, złóż reklamację u wierzyciela i wniosek o korektę danych, dołączając potwierdzenie zawiadomienia z policji. Korygowanie takich wpisów to właśnie to, czym jest czyszczenie BIK: usuwanie informacji nieprawdziwych, spornych lub nieaktualnych, a nie kasowanie rzetelnej historii spłat. Sprawa bywa długa i zwykle wymaga korespondencji z kilkoma instytucjami naraz, więc im wcześniej ją zaczniesz, tym mniej zdąży się wydarzyć.
Nie. Samo przeczytanie SMS-a niczego nie uruchamia. Ryzyko zaczyna się przy kliknięciu w link, wpisaniu danych na stronie, do której prowadzi, albo instalacji pliku z tego adresu. Otwarty i skasowany SMS nie robi Ci nic.
Poproś o pisemne uzasadnienie odmowy i sprawdź, na czym bank opiera swoje stanowisko. Kolejnym krokiem jest wniosek o interwencję do Rzecznika Finansowego, który prowadzi postępowania w sporach klientów z instytucjami finansowymi, a w dalszej kolejności pozostaje droga sądowa. Zawiadomienie z policji i pełna dokumentacja zgłoszenia mają tu istotne znaczenie dowodowe.
Nie czekaj. Odstęp między wyłudzeniem danych a ich wykorzystaniem bywa liczony w tygodniach, bo dane trafiają najpierw do dalszego obrotu. Zmień hasła, zgłoś sprawę bankowi, zastrzeż numer PESEL i przez kilka miesięcy obserwuj historię kredytową. Brak natychmiastowych skutków nie oznacza, że sprawa jest zamknięta.
Zwykle nie wiedzą. Kampanie idą masowo na duże pule numerów telefonów, a nadawca podszywa się pod popularną instytucję, licząc na trafienie. Bywa też, że numer telefonu pochodzi z wycieku danych z innego serwisu. Trafność wiadomości nie jest więc dowodem, że ktoś ma dostęp do Twojego konta.
