Budzisz się rano, patrzysz na telefon - brak zasięgu. Próbujesz zadzwonić, cisza. SMS-y nie docierają. Myślisz: awaria sieci. A tymczasem od kilku godzin ktoś inny odbiera twoje wiadomości - w tym jednorazowe kody z banku.

To jest SIM swap. Nie trzeba kraść ci telefonu, instalować wirusa ani łamać hasła. Wystarczy, że przestępca przekona operatora, że jest tobą, i dostaje duplikat karty SIM. Twoja karta milczy, jego działa.

Naszym zdaniem cała dyskusja o SIM swapie sprowadza się do jednego zdania: SMS jako drugi składnik logowania to najsłabsze ogniwo, jakie masz, i dopóki na nim polegasz, jesteś w zasięgu tego ataku. Reszta porad - hasło u operatora, mniej danych w sieci - jest ważna, ale drugorzędna wobec tej jednej zmiany: przeniesienia autoryzacji z SMS-a na aplikację.

Jak działa SIM swap krok po kroku

Atak zaczyna się dużo wcześniej, niż widzisz jego skutki. Zanim ktokolwiek pofatyguje się po duplikat karty, zbiera o tobie dane. Skąd?

  • z wyciekłych baz (PESEL, adres, data urodzenia, numer dowodu),
  • z mediów społecznościowych (imię, nazwisko, miejscowość, zdjęcia),
  • z wcześniejszego phishingu - może kiedyś kliknąłeś podejrzany link,
  • z vishingu - ktoś zadzwonił "z banku" i wyciągnął z ciebie resztę informacji.

Z kompletem danych przestępca idzie do salonu albo dzwoni na infolinię i prosi o duplikat karty SIM. Podaje się za ciebie, zna PESEL i adres, czasem numer dowodu. Jeśli trafi na mniej czujnego pracownika, dostaje kartę. Od tego momentu twój numer jest w jego telefonie.

Co dzieje się dalej? Loguje się do twojej bankowości (login i hasło mógł wcześniej wyłudzić albo kupić w sieci), zleca przelew i zatwierdza go kodem z SMS-a, który teraz przychodzi do niego. Całość - od przejęcia numeru do pustego konta - potrafi zająć mniej niż godzinę.

Dlaczego bank nie wie, że to nie ty

W teorii nie wie. Weryfikacja dwuetapowa przez SMS została pomyślana jako dodatkowa warstwa, ale SIM swap zdejmuje ją w całości. Kod leci na numer telefonu, a numer w tym momencie nie jest już twój. To nie jest luka w twoim haśle - to luka w samym pomyśle, żeby dowodem tożsamości był SMS.

Dlatego banki w Polsce odchodzą od czystych SMS-ów na rzecz autoryzacji w aplikacji mobilnej z osobnym PIN-em lub biometrią. Aplikacja jest przypięta do konkretnego urządzenia, nie do karty SIM. Nawet jeśli ktoś przejmie twój numer, potwierdzenia i tak żąda telefon, którego nie ma. To właśnie ta różnica przesądza o wszystkim.

Sygnały ostrzegawcze

SIM swap rzadko spada bez zapowiedzi. Zwykle wcześniej dzieje się coś, co można wychwycić:

  • dostajesz powiadomienia o próbach logowania, których nie inicjowałeś,
  • ktoś dzwoni "z banku" i wypytuje o dane - to bywa zbieranie amunicji przed atakiem,
  • nagle tracisz zasięg bez powodu (choć to bywa też zwykła awaria),
  • operator przysyła SMS o zmianie karty SIM, której nie zlecałeś.

Ten ostatni sygnał jest najważniejszy. Jeśli dostajesz informację o wydaniu duplikatu, a nie byłeś w salonie i nie dzwoniłeś na infolinię - reaguj natychmiast, z innego telefonu.

Co robić, gdy padniesz ofiarą

Schemat przypomina ten z tekstu o podaniu danych osobowych przez telefon, ale tu zegar tyka szybciej. Kolejność ma znaczenie.

  1. Zadzwoń do operatora - z innego telefonu. Zażądaj natychmiastowego dezaktywowania duplikatu i wydania nowej karty dla ciebie oraz adnotacji o incydencie.
  2. Zadzwoń do banku - powiedz, że padłeś ofiarą SIM swapu. Bank może zablokować konto i wstrzymać operacje.
  3. Zgłoś na policję - to przestępstwo (m.in. oszustwo komputerowe z art. 287 kk). Potwierdzenie zgłoszenia przyda się przy reklamacji.
  4. Zgłoś incydent do CERT Polska - zespół śledzi ten typ ataków i pomaga rozpoznać schemat.

Za nieautoryzowane transakcje odpowiada co do zasady bank - reklamację rozpatruje na podstawie przepisów o usługach płatniczych. Masz realną szansę na zwrot środków, jeśli wykażesz, że operacji nie zleciłeś. Nie ma jej za to, gdy bank uzna, że sam udostępniłeś dane logowania osobom trzecim - dlatego tak ważne jest, żeby nigdy nie dyktować nikomu kodów.

Jak chronić konto - lista kontrolna

  • Przełącz autoryzację z SMS na aplikację - jeśli zrobisz tylko jedną rzecz z tej listy, niech to będzie ta.
  • Ustaw hasło do obsługi u operatora - dodatkowe hasło telefoniczne, które pracownik musi usłyszeć, zanim cokolwiek zmieni na koncie.
  • Ogranicz dane osobowe w sieci - im mniej publicznych okruchów (data urodzenia, adres, dowód), tym trudniej zbudować twój profil. Więcej w tekście o tym, jak nie zostawiać numeru wszędzie w internecie.
  • Włącz powiadomienia push o logowaniach - natychmiast zobaczysz cudzą próbę wejścia na konto.
  • Rozdziel maile - inny adres do banku, inny do social mediów, żeby przejęcie jednego nie otwierało drzwi do drugiego.

FAQ

Czy aplikacja bankowa naprawdę jest odporna na SIM swap?

Tak, w praktyce zdejmuje ten wektor ataku. Autoryzacja w aplikacji jest przypięta do twojego urządzenia i chroniona osobnym PIN-em lub biometrią, nie numerem telefonu. Przejęcie numeru nie daje dostępu do potwierdzeń, bo te wymagają twojego telefonu, a nie karty SIM.

Po czym poznać, że właśnie trwa atak?

Najczęstszy sygnał to nagła, niewyjaśniona utrata zasięgu połączona z powiadomieniami o logowaniach do twoich kont. Jeśli oba zdarzają się naraz, potraktuj to jak alarm i natychmiast zadzwoń z innego telefonu do banku i operatora.

Czy metoda na policjanta i SIM swap to to samo?

Nie, ale często się uzupełniają. "Na policjanta" celuje w twoją decyzję w trakcie rozmowy, a SIM swap omija cię zupełnie. Bywa, że wcześniejszy telefon "z banku" służy właśnie zebraniu danych do późniejszego przejęcia numeru - dlatego warto znać metodę na policjanta i pracownika banku.

Czy operatorzy jakoś się przed tym bronią?

Tak, procedury weryfikacji przy wymianie karty są od kilku lat zaostrzane, a hasło do obsługi konta to prosta bariera, którą sam możesz włączyć. Nadal jednak wiele zależy od czujności konkretnego pracownika, dlatego nie polegaj wyłącznie na operatorze.

Czy eSIM jest bezpieczniejsza od zwykłej karty SIM?

Nie zmienia to istoty problemu. eSIM też można przenieść na inne urządzenie, a atak polega na oszukaniu operatora, nie na fizycznej kradzieży plastiku. Plusem eSIM bywa to, że jej aktywacja częściej wymaga zalogowania do aplikacji operatora, co dokłada jedną barierę - ale nie traktuj tego jak ochrony samej w sobie. Realną tarczą pozostaje hasło do obsługi konta u operatora i autoryzacja bankowa w aplikacji.

Prosta analogia - klucz spod wycieraczki

Wyobraź sobie, że twój numer telefonu to zapasowy klucz do mieszkania schowany pod wycieraczką. Dopóki nikt nie wie, że tam leży, wszystko działa. SIM swap to moment, w którym ktoś przekonuje dozorcę - czyli operatora - że to on jest właścicielem, dostaje kopię klucza i wchodzi, nie wyważając drzwi. Zamek jest w porządku, hasło do banku też; zawiodło ogniwo, które łączy twoją tożsamość z numerem.

Dlatego przeniesienie autoryzacji z SMS-a na aplikację to jak wymiana zamka na taki, który otwiera się wyłącznie twoim odciskiem palca, a nie kluczem spod wycieraczki. Nawet jeśli ktoś zdobędzie kopię klucza, drzwi i tak się nie otworzą. To ta sama różnica, o której mówimy od początku - tyle że łatwiejsza do zapamiętania w stresie, gdy telefon nagle traci zasięg.

Skala problemu w Polsce

Polscy operatorzy - Orange, Play, Plus i T-Mobile - od kilku lat zaostrzają weryfikację przy wydawaniu duplikatów kart, a nadzór nad tym typem nadużyć sprawują między innymi UKE i sektor bankowy. Widać przy tym stały wzorzec: przed samym przejęciem numeru pojawia się fala telefonów i SMS-ów mających wyciągnąć brakujące dane. Innymi słowy SIM swap rzadko jest pierwszym ruchem - to zwykle finał wcześniejszego zbierania informacji.

To dlatego kluczowa różnica między SIM swapem a większością oszustw telefonicznych jest tak istotna: tu nie musisz nic zrobić źle. Nie klikasz linku, nie dyktujesz kodu - wystarczy, że przestępca ma twoje dane i trafi na podatnego pracownika. Właśnie z tego powodu proaktywne ustawienia ważą więcej niż czujność w trakcie jednej rozmowy.

Podsumowanie

SIM swap jest groźny właśnie dlatego, że nie wymaga od ciebie żadnego błędu - wystarczą twoje dane i podatny pracownik operatora. Dlatego czujność w trakcie rozmowy nie wystarczy, a ratuje cię proaktywna zmiana ustawień. Jedna decyzja liczy się najbardziej: przenieś autoryzację z SMS-a na aplikację, a hasło u operatora potraktuj jako drugą kłódkę. Reszta porad to sensowne dopełnienie, nie zamiennik tych dwóch kroków.