Fałszywe SMS-y i e-maile: jak je rozpoznać i zgłosić

Fałszywe wiadomości to najczęstsze zagrożenie, z jakim spotyka się zwykły użytkownik w Polsce. Raport CERT Polska za 2025 rok podaje, że oszustwa komputerowe stanowiły 97% z 260 783 zarejestrowanych incydentów. Ten poradnik opiera się na zaleceniach CERT Polska i pokazuje, jak rozpoznać oszustwo, gdzie je zgłosić i co zrobić, jeśli już podałeś dane.

1. Po czym rozpoznać fałszywą wiadomość

CERT Polska wymienia powtarzające się cechy phishingu. Oszuści podszywają się pod znany podmiot, na przykład bank, kuriera albo urząd. Wywierają presję czasu, pisząc o blokadzie konta, zatrzymanej paczce czy wygasającej ofercie. Grają na emocjach, strasząc nieautoryzowaną transakcją albo kusząc nagrodą. Często proszą o drobną dopłatę albo namawiają na rozmowę w komunikatorze lub instalację programu.

We wrześniu 2026 CERT Polska ostrzegał przed powrotem oszustwa „na paczkę”. SMS podszywa się pod firmę kurierską, informuje o problemie z doręczeniem i prowadzi do formularza wyłudzającego dane. Status przesyłki sprawdzaj więc wyłącznie na oficjalnej stronie albo w aplikacji przewoźnika.

Oszustwo przez SMS nazywa się smishingiem, przez telefon vishingiem, a przez kod QR quishingiem. Mechanizm jest ten sam, zmienia się tylko kanał.

2. Jedyna rzecz, której nie da się podrobić

Nadawcę SMS-a, adres e-mail, logo i wygląd strony można sfałszować. Według CERT Polska jedyną informacją, której nie da się podrobić, jest domena widoczna w pasku adresu przeglądarki. Przeglądarka wyróżnia domenę główną, a resztę adresu wyszarza. Zanim wpiszesz hasło, kod albo dane karty, sprawdź, czy wyróżniona część to naprawdę adres twojego banku lub serwisu.

CERT Polska zwraca też uwagę na dwa zabezpieczenia, które działają niezależnie od twojej uwagi. Menedżer haseł uzupełnia dane logowania tylko na prawdziwej domenie, więc na fałszywej stronie nic nie podpowie. Przed zatwierdzeniem operacji w banku przeczytaj treść SMS-a lub powiadomienia autoryzacyjnego, czyli kwotę i rodzaj operacji.

3. Czy samo kliknięcie jest groźne

To najczęstsze pytanie po otrzymaniu podejrzanej wiadomości. W tekście z 2023 roku CERT Polska pisze, że samo kliknięcie w link w znaczącej większości przypadków nie jest niebezpieczne. Szkoda powstaje, gdy na stronie oszustów wpiszesz dane albo zainstalujesz wskazaną aplikację.

Wyjątkiem są luki w oprogramowaniu, które pozwalają zaatakować urządzenie samym otwarciem strony. Takie ryzyko ogranicza aktualizowanie systemu i przeglądarki. Jeśli więc kliknąłeś, ale niczego nie wpisałeś i nie instalowałeś, zamknij stronę i zgłoś wiadomość.

4. Jak zgłosić fałszywy SMS i e-mail

Podejrzany SMS przekaż funkcją „Przekaż” albo „Prześlij dalej” na numer 8080. Według portalu gov.pl usługa jest w Polsce bezpłatna. Z jednego numeru możesz przekazać najwyżej 3 wiadomości w ciągu 4 godzin. Numer 8080 działa od 22 listopada 2023.

Podejrzany e-mail albo stronę zgłosisz przez formularz incydent.cert.pl albo na adres cert@cert.pl. Zgłoszenia nie trafiają w próżnię. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, obowiązująca od 25 września 2023, nakłada na operatorów obowiązki. Muszą blokować SMS-y pasujące do wzorców publikowanych przez CSIRT NASK i ruch do domen z Listy Ostrzeżeń CERT Polska. Duzi dostawcy poczty muszą też stosować mechanizmy SPF, DKIM i DMARC, które utrudniają podszywanie się pod cudze domeny.

5. Co dają zgłoszenia

Raport CERT Polska za 2025 rok pokazuje skalę tego systemu. W ramach numeru 8080 przeanalizowano ponad 350 tys. wiadomości, z czego ponad 80 tys. uznano za szkodliwe. Na tej podstawie powstało 790 wzorców, dzięki którym operatorzy zablokowali 1,88 mln złośliwych SMS-ów.

Na Listę Ostrzeżeń trafiło w 2025 roku blisko 250 tys. domen, około 670 dziennie. Zablokowano 140 mln prób wejścia na te strony. Każde zgłoszenie może więc ochronić innych odbiorców tej samej kampanii.

6. Co zrobić, gdy podałeś dane

Kolejność działań zależy od tego, co trafiło do oszustów. CERT Polska zaleca następujące kroki:

• dane karty albo logowania do banku: natychmiast skontaktuj się z bankiem i zablokuj kartę lub dostęp, a potem przejrzyj ostatnie transakcje,
• hasło do innej usługi: zmień je, także wszędzie tam, gdzie używałeś takiego samego lub podobnego hasła, wyloguj aktywne sesje i włącz uwierzytelnianie dwuskładnikowe, najlepiej w aplikacji, a nie przez SMS,
• skrzynka e-mail: zmień hasło i wyloguj wszystkie sesje, a jeśli oszust zmienił już hasło, skontaktuj się z dostawcą poczty,
• numer PESEL albo zdjęcie dowodu: zastrzeż PESEL w aplikacji mObywatel lub na mobywatel.gov.pl,
• utrata pieniędzy: zgłoś sprawę na policję.

Kartę dowolnego banku zastrzeżesz też całodobowo pod numerem 828 828 828, który przekieruje cię na infolinię wybranego banku. Jeśli oszuści przejęli twoje konto w mediach społecznościowych, ostrzeż znajomych, bo kolejne wiadomości mogą trafić do nich z twojego konta.

7. Zastrzeżenie PESEL po wycieku

Zastrzeżenie numeru PESEL jest bezpłatne i działa od 17 listopada 2023. Zrobisz je w aplikacji mObywatel, na stronie mobywatel.gov.pl albo w urzędzie gminy. Od 1 czerwca 2024 banki i inne instytucje muszą sprawdzać rejestr zastrzeżeń przed zawarciem umowy, na przykład kredytu.

Zastrzeżenie nie wpływa na codzienne korzystanie z konta. Przelewy, logowanie do bankowości i wypłaty z bankomatu działają jak wcześniej. To inne zabezpieczenie niż zastrzeżenie karty albo dowodu osobistego, więc przy wycieku kilku rodzajów danych może być potrzebne każde z nich.

8. Podsumowanie

Przy każdej wiadomości, która prosi o dane albo dopłatę, sprawdź domenę w pasku adresu, zanim cokolwiek wpiszesz. Podejrzane SMS-y przekazuj na 8080, a e-maile zgłaszaj przez incydent.cert.pl. Jeśli dane już wyciekły, liczy się czas. Najpierw bank, potem hasła i sesje, a przy wycieku PESEL albo dowodu zastrzeżenie w mObywatelu.