Fałszywe SMS-y (smishing): jak rozpoznać

Redakcja: Andrew Pickett · Opublikowano 4.11.2026 · Zasady redakcyjne

„Twoja paczka została wstrzymana”, „Hejka mamo, mam nowy numer”, „Zaplanowano odłączenie energii”, „Kupujący zapłacił za Twój przedmiot”. Fałszywe SMS-y wyglądają jak rutynowe powiadomienia, ale prowadzą do strony wyłudzającej dane karty lub login do banku albo do pliku z aplikacją przejmującą telefon. Poniżej: jak rozpoznać smishing, jak sprawdzić link, gdzie przesłać wiadomość (numer 8080) i co robić po kliknięciu – na podstawie komunikatów CERT Polska, UKE, Policji i ostrzeżeń samych firm.

Najczęstsze fałszywe SMS-y w Polsce

• „Dopłata do paczki”. CSIRT NASK ostrzegał 27 listopada 2023 r. przed masową wysyłką SMS-ów podszywających się pod InPost i Pocztę Polską („Twoja paczka zostala wstrzymana z powodu braku numeru ulicy na paczce. Zaktualizuj informacje o wysylce”); link prowadził do strony podobnej do przewoźnika z fałszywym formularzem płatności za rzekomą ponowną dostawę (gov.pl, Baza wiedzy). InPost podkreśla, że „nigdy nie wysyła SMS-ów z informacją o dopłatach” – rozliczenia pojawiają się wyłącznie w Managerze Paczek lub na fakturze (InPost, „Bezpieczeństwo z InPost”).
• „Hejka mamo, mam nowy numer”. Policja opisała 4 marca 2025 r. wiadomość, w której rzekome dziecko podaje link i nowy numer oraz prosi o kontakt przez komunikator: link może zainstalować oprogramowanie do zdalnego sterowania telefonem, a rozmowa kończy się prośbą o pilny przelew, np. na „grzywnę”. Takie SMS-y są rozsyłane losowo (Policja.pl).
• „Odłączenie energii”. Kampania „PGE” krążyła już w marcu 2022 r.: „Na dzień 23.03 zaplanowano odłączenie energii elektrycznej! Prosimy o uregulowanie należności” plus link do aplikacji albo fałszywej strony banku. Policja cytuje zasadę PGE: w SMS-ach o zaległościach zawsze jest numer klienta i nie ma linku do systemów płatności (Policja.pl, 24 marca 2022 r.; CERT Polska, 12 kwietnia 2022 r.).
• „Kupujący zapłacił” na OLX. Oszust pisze poza czatem serwisu, np. na WhatsAppie, i podsyła link, na którym trzeba „odebrać pieniądze”, podając dane karty. OLX przypomina, że powiadomienie o zakupie dostajesz w wiadomościach na OLX, a transakcję sprawdzisz w zakładce Twoje konto → Twoje przesyłki → Sprzedajesz (OLX, ostrzeżenie o phishingu).
• Mandat, zwrot nadpłaty, „dwa razy opłacona faktura”. Ministerstwo Cyfryzacji wymieniało 10 lutego 2026 r. wiadomości o rzekomym mandacie, o „korekcie rachunku za energię” ze zwrotem nadpłaty i o podwójnie opłaconej fakturze u operatora – wszystkie z linkiem do strony wyłudzającej dane karty (gov.pl, Ministerstwo Cyfryzacji).
• „Twoja karta została zablokowana – zadzwoń”. UKE opisuje wariant, w którym SMS każe zadzwonić pod podany numer, a nagranie każe podać dane karty, rzekomo po to, by ją odblokować (UKE, „Phishing – kradzież informacji”). Wersję telefoniczną opisujemy w poradniku o fałszywym pracowniku banku.

Dlaczego fałszywy SMS wygląda jak prawdziwy

Po pierwsze, nazwę nadawcy da się wpisać dowolnie. UKE tłumaczy, że oszuści korzystają z internetowych bramek SMS, które pozwalają tak skonfigurować wiadomość, „żeby na ekranie naszego telefonu w polu nadawcy ukazał się wybrany przez nich tekst” – tak podszywają się pod banki czy operatorów (UKE). Po drugie, wiadomości idą masowo i na ślepo: CERT Polska pisze, że są „rozsyłane na losowe numery z nadzieją na trafienie na osobę znajdującą się w pasującej sytuacji” – kogoś, kto akurat czeka na paczkę (CERT Polska). Ustawa z 28 lipca 2023 r. nazywa to smishingiem: wysłaniem krótkiej wiadomości tekstowej, „w której nadawca podszywa się pod inny podmiot w celu nakłonienia odbiorcy tej wiadomości do określonego zachowania”, zwłaszcza przekazania danych, otwarcia strony, zadzwonienia lub instalacji oprogramowania (art. 3 ust. 1 pkt 2; Dz.U. 2023 poz. 1703). Podmianę numeru w połączeniach głosowych opisujemy w tekście o spoofingu.

Jak sprawdzić link i nadawcę w minutę

1. Nie klikaj, tylko czytaj adres. Oszukańcze domeny różnią się od prawdziwych drobiazgiem – UKE podaje przykłady „www.logowanie-mojbank.pl” zamiast „www.mojbank.pl”, „.com” zamiast „.pl” albo adres zaczynający się od numeru IP (UKE). W przykładzie CSIRT NASK fałszywy adres brzmiał „inpost.pl-admin.cyou” – „inpost” to tylko ozdobnik przed obcą domeną (gov.pl). OLX wprost wymienia swoje prawdziwe adresy: marketplace.olx.pl, delivery.olx.pl i przesylki.olx.pl – „jeśli w adresie strony przed olx.pl widnieje inny tekst”, to nie jest strona OLX (OLX, 20 stycznia 2020 r.).
2. Sprawdź „u źródła”. Wejdź samodzielnie do aplikacji lub na stronę firmy i zadzwoń na numer stamtąd – InPost zastrzega: „nigdy nie wybieraj numeru telefonu podanego w takiej wiadomości” (InPost). Tę samą radę daje CSIRT NASK (gov.pl).
3. Szukaj sygnałów ostrzegawczych. Ministerstwo Cyfryzacji wymienia presję czasu, błędy językowe, adresy z końcówkami darmowych domen z egzotycznych krajów oraz prośby o PIN, login lub hasło poza oficjalną stroną lub aplikacją (gov.pl). W cytowanym wyżej SMS-ie podszywającym się pod InPost brakuje też polskich znaków („zostala”, „wysylce”).
4. Korzystaj z Listy Ostrzeżeń. CERT Polska od marca 2020 r. prowadzi listę domen wyłudzających dane; Orange, Plus, Play i T-Mobile przystąpiły do porozumienia z Prezesem UKE, Ministrem Cyfryzacji i NASK i blokują takie strony u siebie. Czy Twój operator z niej korzysta, sprawdzisz na lista.cert.pl; jeśli nie, dodaj listę do rozszerzenia blokującego w przeglądarce, np. uBlock Origin (CERT Polska, Lista Ostrzeżeń).
5. Nie instaluj niczego z linku. Jeśli strona „do śledzenia paczki” każe pobrać plik z aplikacją, zamknij ją – aplikacje instaluj tylko z Google Play lub App Store. CERT Polska ostrzega zwłaszcza przed zgodą na „Dostępność” („Ułatwienia dostępu”), która na Androidzie pozwala aplikacji czytać ekran i klikać w Twoim imieniu, oraz przed dostępem do SMS-ów z kodami z banku (CERT Polska, „Bezpieczny telefon”).

Numer 8080, wzorce wiadomości i nadpisy – jak działa blokada

Od 22 listopada 2023 r. podejrzany SMS możesz przekazać na numer 8080. Wysyłka w Polsce jest bezpłatna, trzeba przekazać całą wiadomość w oryginalnej formie (funkcją „Przekaż” lub „Udostępnij”, bez wycinania linku), a z jednego numeru można zgłosić najwyżej 3 wiadomości w ciągu 4 godzin; zgłaszać wolno także SMS-y bez linku (gov.pl, „Dostałeś niepokojący sms albo email?”). Podstawą jest art. 5 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej: CSIRT NASK przyjmuje zgłoszenia pod tym numerem, a operator zapewnia bezpłatność (Dz.U. 2023 poz. 1703).

Na podstawie zgłoszeń CSIRT NASK tworzy „wzorzec wiadomości” wyczerpującej znamiona smishingu i przekazuje go przez system teleinformatyczny operatorom, Prezesowi UKE i Centralnemu Biuru Zwalczania Cyberprzestępczości; operator ma niezwłocznie blokować SMS-y zgodne ze wzorcem (art. 4 i 6). Wzorzec trafia też na stronę CSIRT NASK, ale dopiero po 14–21 dniach od przekazania operatorom (art. 4 ust. 7). System – telegraf.cert.pl – ruszył 16 stycznia 2024 r., a od 25 marca 2024 r. podłączeni operatorzy mają obowiązek blokowania (gov.pl, 16 stycznia 2024 r.). W kwietniu 2024 r. ministerstwo informowało, że operatorzy świadczący usługi SMS podłączyli się do systemu, a zgodne ze wzorcem wiadomości mają być blokowane „już na etapie wysyłania” (gov.pl, 17 kwietnia 2024 r.).

Drugi mechanizm dotyczy nadpisów, czyli nazw nadawcy wyświetlanych zamiast numeru. CSIRT NASK prowadzi „wykaz nadpisów podmiotów publicznych” – zastrzeżonych nazw i skrótów urzędów oraz ich mylących wariantów (art. 10); podmiot publiczny może zlecać wysyłkę SMS-ów tylko integratorowi wpisanemu do wykazu prowadzonego przez Prezesa UKE (art. 14), a operator w ciągu 3 dni od wpisu blokuje SMS-y z zastrzeżonym nadpisem, które nie pochodzą od takiego integratora, oraz wiadomości z wariantem nazwy (art. 13). Nikt poza podmiotem publicznym nie może używać nadpisu kończącego się na „#RP” (art. 12; Dz.U. 2023 poz. 1703). Wykaz integratorów UKE publikuje w BIP, przypominając, że ustawa weszła w życie 25 września 2023 r. (BIP UKE). Przykładem zastrzeżonego nadpisu jest „e-US” Krajowej Administracji Skarbowej (gov.pl); nadpis ma najwyżej 11 znaków (incydent.cert.pl/nadpis). Wykaz obejmuje tylko podmioty publiczne – nadpisów banków, kurierów czy sklepów ten mechanizm nie obejmuje.

Kliknąłeś albo podałeś dane? Zrób to teraz

1. Bank – od razu. Jeśli wpisałeś dane karty lub login do bankowości, natychmiast skontaktuj się z bankiem i zmień hasło do bankowości internetowej (gov.pl; CERT Polska) – według Policji z innego telefonu, jeśli coś z linku mogło się zainstalować na Twoim (Policja.pl).
2. Hasła i drugi składnik. Zmień hasła do kont, których dane mogły wyciec, i włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie się da (gov.pl).
3. Zgłoszenie do CERT Polska. SMS przekaż na 8080, a fałszywą stronę zgłoś przez formularz incydent.cert.pl/phishing – takie domeny CERT Polska wpisuje na Listę Ostrzeżeń blokowaną przez operatorów (CERT Polska).
4. Policja lub prokuratura. Jeśli straciłeś pieniądze, złóż zawiadomienie o przestępstwie – ustnie w dowolnej jednostce albo pisemnie; to bezpłatne (gov.pl, „Zgłoś przestępstwo”). Zachowaj SMS, adres strony, godziny i potwierdzenia transakcji.

Filtry w telefonie

Na iPhonie w aplikacji Wiadomości wybierz Zarządzaj filtrowaniem i włącz „Klasyfikuj nieznanych nadawców”: SMS-y od numerów spoza kontaktów trafią do osobnego folderu bez powiadomień, a łącza w nich pozostaną nieaktywne, dopóki nie oznaczysz nadawcy jako znanego (Wsparcie Apple). W Wiadomościach Google na Androidzie działa ochrona przed spamem i oszustwami: modele na urządzeniu sprawdzają wiadomości od nieznanych nadawców, a zawarty w nich adres URL jest weryfikowany pod kątem bezpieczeństwa; poziom ochrony zmienisz w Ustawieniach Wiadomości → Ochrona i bezpieczeństwo (Pomoc Google). Filtry połączeń głosowych opisujemy w poradniku o blokowaniu niechcianych połączeń.

Co mówi prawo

Ustawa z 28 lipca 2023 r. uczyniła smishing osobnym przestępstwem: kto w celu osiągnięcia korzyści lub wyrządzenia szkody wysyła SMS, MMS albo wiadomość w komunikatorze, podszywając się pod inny podmiot, aby nakłonić odbiorcę do przekazania danych, rozporządzenia mieniem, otwarcia strony, zadzwonienia, instalacji oprogramowania lub podania haseł, podlega karze pozbawienia wolności od 3 miesięcy do lat 5; w wypadku mniejszej wagi grozi grzywna, ograniczenie wolności albo pozbawienie wolności do roku (art. 30; Dz.U. 2023 poz. 1703). Gdy dojdzie do kradzieży pieniędzy, w grę wchodzi też oszustwo z art. 286 § 1 Kodeksu karnego – od 6 miesięcy do 8 lat (Kodeks karny, Dz.U. 2026 poz. 1342). Informacje w tej sekcji mają charakter ogólny i nie zastępują porady prawnej w konkretnej sprawie.

W danych tego serwisu

W danych tego serwisu – nie w statystyce krajowej – próby oszustwa są najczęściej wybieraną kategorią zgłoszeń: w ostatnich 30 dniach (5 października – 3 listopada 2026 r.) użytkownicy przesłali 90 zgłoszeń, z których po moderacji opublikowaliśmy 38, a kategorię „Próba oszustwa” wskazano w 52 przesłanych i 18 opublikowanych. Kategorie zgłoszeń dotyczą połączeń (np. „Nieodebrane (jeden sygnał)” czy „Reklama / telemarketing”), więc numer nadawcy SMS-a często nie ma u nas historii – brak wpisu nie oznacza, że wiadomość jest bezpieczna, a podrobionego nadpisu nie da się sprawdzić jak numeru. Numer do oddzwonienia z SMS-a sprawdź w wyszukiwarce i zostaw relację bez swoich danych. Zasady moderacji opisuje metodologia, a trendy – barometr spamu.

Źródła

• Dz.U. 2023 poz. 1703 – ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej – art. 3 (definicja smishingu), art. 4 i 6 (wzorzec wiadomości, publikacja po 14–21 dniach, blokowanie), art. 5 (numer 8080), art. 10–14 (nadpisy, „#RP”, integratorzy, termin 3 dni), art. 30 (kara).
• Dz.U. 2026 poz. 1342 – Kodeks karny, tekst jednolity (obwieszczenie z 2 października 2026 r.) – art. 286 § 1 (oszustwo, wymiar kary).
• gov.pl, Baza wiedzy – „Dostałeś niepokojący sms albo email? Zgłoś go do CERT Polska (CSIRT NASK)” – 8080 od 22 listopada 2023 r., bezpłatność, „Przekaż”, limit 3 wiadomości na 4 godziny, SMS-y bez linku.
• gov.pl, Baza wiedzy – „CSIRT NASK ostrzega: wraca popularne oszustwo na przesyłkę” (27 listopada 2023 r.) – treść fałszywego SMS-a, domena „inpost.pl-admin.cyou”, fałszywy formularz płatności, kontakt z firmą i bankiem.
• gov.pl, Ministerstwo Cyfryzacji – „Wystartował system wymiany informacji o smishingu” (16 stycznia 2024 r.) – obowiązek blokowania od 25 marca 2024 r., nadpis „e-US”, wykaz nadpisów CSIRT NASK.
• gov.pl, Ministerstwo Cyfryzacji – „Nowe zabezpieczenia przed niechcianymi smsami” (17 kwietnia 2024 r.) – operatorzy podłączeni do telegraf.cert.pl, blokowanie na etapie wysyłania.
• gov.pl, Ministerstwo Cyfryzacji – „Phishing i fałszywe inwestycje: sprawdź, jak nie dać się oszukać” (10 lutego 2026 r.) – przykłady (mandat, korekta rachunku, faktura operatora), sygnały ostrzegawcze, zmiana haseł i 2FA.
• gov.pl – „Zgłoś przestępstwo” – jak i gdzie złożyć zawiadomienie.
• CERT Polska – Lista Ostrzeżeń przed niebezpiecznymi stronami – lista od marca 2020 r., porozumienie operatorów, lista.cert.pl, uBlock Origin, formularz incydent.cert.pl/phishing, art. 20.
• CERT Polska – „Kampanie fałszywych SMS-ów PGE/InPost/Blik” (12 kwietnia 2022 r.) – losowa wysyłka, fałszywa bramka płatności, kroki po wyłudzeniu danych.
• CERT Polska – „Bezpieczeństwo w Twojej kieszeni – chroń swój telefon” – aplikacje tylko ze sklepu, uprawnienie „Dostępność”, dostęp do SMS-ów.
• incydent.cert.pl – zgłaszanie nadpisów przez podmioty publiczne – nadpis ma maksymalnie 11 znaków, wniosek z art. 10 ust. 3.
• BIP UKE – Wykaz integratorów usług SMS dla podmiotów publicznych – wejście ustawy w życie 25 września 2023 r., wykazy z art. 14 i 17.
• UKE, Centrum Informacji Konsumenckiej – „Phishing – kradzież informacji” (PDF, 2018) – bramki SMS i dowolny tekst w polu nadawcy, przykłady podobnych adresów, scenariusz „zablokowana karta”.
• Policja.pl – „Hejka mamo, mam nowy numer…” (4 marca 2025 r.) – treść wiadomości, zdalne sterowanie telefonem, prośba o przelew, losowa wysyłka.
• Policja.pl – „Dostałeś sms’a o nieuregulowanym rachunku za energię elektryczną bądź gaz?” (24 marca 2022 r.) – treść fałszywego SMS-a „PGE”, zasada PGE (numer klienta, brak linku), kontakt z bankiem z innego telefonu.
• InPost – „Bezpieczeństwo z InPost” – InPost nie wysyła SMS-ów o dopłatach; nie dzwoń na numer z wiadomości; aplikacja tylko ze sklepu.
• OLX – „Uwaga na fałszywe linki i wiadomości służące wyłudzeniu Twoich danych i pieniędzy” – kontakt poza czatem OLX, link „do odbioru pieniędzy”, gdzie sprawdzić transakcję.
• OLX – „Uwaga na SMSy z fałszywymi linkami do usługi wysyłki przez OLX!” (20 stycznia 2020 r.) – prawdziwe adresy marketplace.olx.pl, delivery.olx.pl, przesylki.olx.pl.
• Wsparcie Apple – „Klasyfikowanie i filtrowanie wiadomości na iPhonie” – „Klasyfikuj nieznanych nadawców”, osobny folder, nieaktywne łącza do czasu oznaczenia nadawcy.
• Pomoc Google – ochrona przed spamem i oszustwami w Wiadomościach Google – modele na urządzeniu, weryfikacja adresów URL, ścieżka w ustawieniach.

Źródła sprawdzone 4 listopada 2026 r.