"InPost: Twoja paczka została wstrzymana z powodu niedopłaty 2,99 zł. Ureguluj tutaj: [link]". Czekasz akurat na przesyłkę, kwota śmieszna, logo się zgadza - więc klikasz, nie myśląc. Trzy złote to przecież nie pieniądze. Problem w tym, że oszustowi nie chodzi o trzy złote, tylko o dane twojej karty, które zaraz wpiszesz na podstawionej stronie.
Smishing, czyli phishing przez SMS, nie wygrywa techniką. Wygrywa psychologią: mała kwota, żeby nie uruchomić czujności, plus presja czasu, żeby wyłączyć myślenie. Fałszywy nadawca "InPost" czy "mBank" to tylko dekoracja. Cały atak stoi na jednym założeniu - że w pośpiechu klikniesz link, zamiast wejść do aplikacji samodzielnie.
I stąd bierze się jedna zasada, która rozbraja praktycznie każdy taki SMS. Jeśli mnie pytasz, nie ma sensu uczyć się na pamięć wszystkich scenariuszy - wystarczy nawyk: żadnych linków z SMS-a do płatności, banku czy logowania. Do konta wchodzisz przez aplikację albo wpisując adres ręcznie. Reszta tekstu pokazuje, jak ten sam atak zmienia przebranie i co zrobić, gdy już kliknąłeś.
Skala zjawiska - dlaczego to twój problem
Smishing to dziś jedna z najczęstszych form oszustwa w polskim internecie. CERT Polska rok w rok raportuje setki tysięcy zgłoszeń podejrzanych wiadomości, a operatorzy blokują ogromne liczby fałszywych SMS-ów na podstawie wzorców przekazywanych przez zespół reagowania. Skala rośnie, bo atak jest tani, masowy i wystarczy, że zadziała na ułamku odbiorców. Dla pojedynczej ofiary liczy się jednak co innego niż statystyki: jeden nieopatrzny klik potrafi wyczyścić konto.
Najczęstsze scenariusze w Polsce
Paczka od kuriera
Najpopularniejszy chwyt. Treść w stylu:
"InPost: Twoja paczka (nr PL123456789) została wstrzymana z powodu niedopłaty. Dopłać 2,99 zł: [link]"
Kwota jest celowo mikra - kilka złotych nie budzi podejrzeń. Po kliknięciu trafiasz na stronę z formularzem płatności, wpisujesz dane karty, a oszust wyprowadza z konta znacznie więcej. Pod tę metodę podszywa się InPost, DPD, DHL, UPS i Poczta Polska. Przykłady rozbieramy w tekście o fałszywych SMS-ach od InPost, DPD i DHL.
Alarm z banku
Scenariusz oparty na strachu:
"mBank: Zablokowaliśmy dostęp do konta z powodu podejrzanej aktywności. Zweryfikuj się: [link]"
Prawdziwy bank nie każe ci "weryfikować się" przez link z SMS-a. Gdy realnie zablokuje konto, poinformuje cię w aplikacji albo poprosi o kontakt na oficjalny numer z karty.
Urząd i zaległość
"Urząd Skarbowy: zaległość podatkowa 347 zł. Brak wpłaty w 24h uruchamia egzekucję: [link]"
Skarbówka, ZUS i NFZ nie wysyłają linków do płatności SMS-em. Oficjalna korespondencja idzie przez ePUAP, list polecony albo bezpośredni kontakt.
"Mamo, zepsuł mi się telefon"
Wyjątkowo perfidny wariant: "Mamo, piszę z nowego numeru, stary telefon padł, potrzebuję pilnie zrobić przelew...". Po odpowiedzi oszust prosi o pieniądze albo przenosi rozmowę na WhatsApp. To ta sama psychologia, co metoda "na wnuczka" u telefonicznych naciągaczy - strach o bliskich i presja natychmiastowego działania.
"Na policjanta" przez SMS
Wiadomość zawiera oskarżenie i numer do "pilnego kontaktu". Po oddzwonieniu oszust proponuje "polubowne załatwienie sprawy" za opłatą. Panika i wstyd sprawiają, że ofiara nie sprawdza, czy instytucja jest prawdziwa - to ten sam mechanizm, co w klasycznej metodzie na policjanta i pracownika banku.
Jak rozpoznać fałszywy SMS - 7 sygnałów
- Podejrzana domena w linku - InPost linkuje tylko z inpost.pl, bank z własnej domeny. "inpost-platnosc.pl" to podróbka.
- Prośba o dane karty lub logowanie - żadna uczciwa firma nie zbiera ich przez link w SMS-ie.
- Mała kwota jako pretekst - 1,99 zł, 2,99 zł, 3,49 zł. Chodzi o dane, nie o te grosze.
- Presja i groźby - "zapłać w 24h", "konto zostanie zablokowane", "sprawa trafi do sądu".
- Brak twojego imienia - prawdziwy bank wie, jak się nazywasz; podróbka pisze "Szanowny Kliencie".
- Błędy językowe - literówki i dziwna składnia to często celowy trik na filtry antyspamowe.
- Podszyta nazwa nadawcy - wyświetlana nazwa zamiast numeru (np. "InPost") jest łatwa do sfałszowania.
Co zrobić z podejrzanym SMS-em
Przekaż go na numer 8080
Podejrzaną wiadomość z linkiem przekaż - opcją "Przekaż dalej", bez edytowania - na bezpłatny numer 8080. To usługa CERT Polska: zgłoszenie zasila bazę, a rozpoznany wzorzec bywa blokowany u operatorów w kilka minut, chroniąc kolejne osoby. W praktyce to najprostsze i najskuteczniejsze narzędzie, jakie masz pod ręką - jeden gest zamiast całej procedury.
Zweryfikuj samodzielnie, nie przez link
SMS dotyczy paczki? Wejdź do aplikacji kuriera, wpisując adres ręcznie. Konta bankowego? Sprawdź w aplikacji banku. Zaległości w urzędzie? Zadzwoń na oficjalny numer. Zasada jest jedna: do żadnej z tych rzeczy nie wchodź przez link, który sam do ciebie przyszedł.
Kliknąłeś albo podałeś dane? Działaj natychmiast
- Zadzwoń do banku na numer z karty i zażądaj blokady karty oraz konta. Infolinia działa całą dobę.
- Zmień hasła do bankowości i e-maila.
- Zgłoś fałszywą stronę do CERT Polska przez formularz incydentu, podając adres, na który trafiłeś.
- Złóż zawiadomienie na policję - online lub osobiście.
Gdzie i jak jeszcze zgłaszać tego typu nadużycia, rozpisujemy w poradniku o tym, jak zgłosić spam telefoniczny do właściwych instytucji.
Złote zasady
- Nigdy nie klikaj linków z SMS-a prowadzących do banku, płatności czy logowania - wchodź przez aplikację lub ręcznie wpisany adres.
- Mała kwota to przynęta - celem są dane karty, nie te kilka złotych.
- Brak twojego imienia w wiadomości "od banku" to sygnał alarmowy.
- Podejrzany SMS przekaż na 8080 - za darmo, w kilka minut.
- Przekaż tę wiedzę bliskim, zwłaszcza starszym - to oni najczęściej padają ofiarą.
Dlaczego filtry operatora i antywirus nie załatwiają sprawy
Łatwo pomyśleć, że skoro operatorzy blokują miliony fałszywych SMS-ów, a w telefonie masz antywirusa, to problem rozwiąże się sam. Prawda jest taka, że te warstwy pomagają, ale z zasady działają z opóźnieniem - i to opóźnienie jest całym modelem biznesowym smishingu.
Filtr operatora rozpoznaje wzorzec dopiero wtedy, gdy dana kampania zostanie zgłoszona i opisana. Pierwsze tysiące wiadomości z nowego szablonu i świeżej domeny przechodzą, zanim system się ich nauczy - a oszustom wystarczy właśnie ta pierwsza fala. Dlatego zmieniają treść, nadawcę i adres strony co kilka godzin. Antywirus z kolei ostrzega głównie przed znanymi złośliwymi stronami; świeżo postawiona podróbka banku bywa jeszcze "czysta" w bazach, bo powstała tego samego ranka.
Wniosek jest niewygodny, ale prosty: technika kupuje ci prawdopodobieństwo, nie pewność. Filtr, antywirus i lista ostrzeżeń zmniejszają liczbę SMS-ów, które w ogóle do ciebie dotrą, ale nie zdejmują z ciebie ostatniej decyzji. Tą decyzją jest zawsze to samo - czy klikniesz link, czy wejdziesz do aplikacji samodzielnie. I właśnie dlatego jeden nawyk bije każdy filtr: on nie ma opóźnienia, działa od pierwszej wiadomości nowej kampanii.
Jest w tym też druga strona medalu, o której warto pamiętać. Zbyt agresywne filtry czasem wyłapują prawdziwe SMS-y - kod do logowania, powiadomienie z przychodni, wiadomość od kuriera. Dlatego nie warto ślepo ufać, że "skoro doszło, to jest bezpieczne", ani panikować, że "skoro nie doszło, to na pewno spam". Filtr to sito o dużych oczkach, a nie zamknięte drzwi.
FAQ
Skoro operator blokuje spam, czy muszę się jeszcze pilnować?
Tak. Blokady działają z opóźnieniem i łapią głównie znane wzorce, a nowa kampania z świeżą domeną przechodzi przez pierwsze godziny. Twój nawyk - nie klikać linków z SMS-a do banku i płatności - działa natychmiast, bez czekania na aktualizację filtrów.
Dostałem SMS z małą dopłatą za paczkę. Zapłacić te kilka złotych?
Nie. Kwota jest przynętą, a formularz płatności zbiera dane twojej karty, nie 2,99 zł. Sprawdź status paczki w aplikacji kuriera, nie przez link.
Przekazanie SMS-a na 8080 coś kosztuje?
Nie, jest bezpłatne. Obowiązuje jedynie limit kilku zgłoszeń w krótkim czasie z jednego numeru, żeby nie zapychać systemu.
Kliknąłem link, ale nie podałem żadnych danych. Jestem bezpieczny?
Ryzyko jest wtedy znacznie mniejsze, ale dla pewności nie wpisuj niczego na tej stronie, zamknij ją i przeskanuj telefon. Jeśli podałeś jakiekolwiek dane karty lub logowania - działaj jak w sekcji powyżej.
Podsumowanie
Smishing nie łamie twojego telefonu, tylko twój pośpiech - mała kwota usypia czujność, a presja czasu wyłącza myślenie. Nie musisz rozpoznawać każdego wariantu: paczka, bank, urząd czy "mama z nowego numeru" to jeden trik w różnych przebraniach. Wystarczy nawyk, że do banku i płatności nigdy nie wchodzisz przez link z SMS-a, tylko przez aplikację. A podejrzaną wiadomość przekaż na 8080 - jednym gestem chronisz siebie i tysiące innych.