Smishing – jak rozpoznać fałszywy SMS od banku, kuriera lub urzędu?

Smishing to jedna z najniebezpieczniejszych odmian cyberataków, polegająca na wyłudzaniu danych i środków finansowych za pomocą wiadomości tekstowych. Oszuści masowo podszywają się pod zaufane instytucje, wykorzystując zaawansowane techniki socjotechniczne oraz luki w architekturze sieci telekomunikacyjnych.

W mojej codziennej audytorskiej praktyce dla branży finansowej wielokrotnie analizowałam incydenty, w których jedna niepozorna wiadomość prowadziła do utraty oszczędności życia. Zauważyłam, że najczęstszym błędem ofiar jest ślepe zaufanie do nazwy nadawcy wyświetlanej na ekranie smartfona. Niestety, współczesne technologie pozwalają przestępcom perfekcyjnie imitować oficjalne komunikaty z banków, urzędów czy firm kurierskich. Ten artykuł wyjaśnia mechanizmy działania smishingu oraz dostarcza zaawansowanej wiedzy, która pozwala skutecznie chronić się przed cyfrowymi manipulacjami.

Czym jest smishing i dlaczego ofiary dają się zmanipulować?

Mechanizm smishingu opiera się na wywoływaniu silnych, natychmiastowych reakcji emocjonalnych, które skutecznie usypiają analityczne myślenie ofiary. Cyberprzestępcy doskonale rozumieją psychologię człowieka, dlatego projektują kampanie SMS wokół konkretnych bodźców behawioralnych. Jak wynika z analiz ekspertów [Źródło 1], oszuści najczęściej uderzają w poczucie strachu lub obowiązku.

W klasycznym ataku przestępcy wykorzystują następujące techniki inżynierii społecznej (social engineering):

• Sztuczna presja czasu: Wiadomość informuje, że konto zostanie zablokowane za dwie godziny lub paczka wróci do nadawcy o północy. Zmusza to ofiarę do działania w pośpiechu.
• Złudzenie małej kwoty: Komunikat typu „dopłać 1,50 zł do dezynfekcji przesyłki” brzmi niewinnie. Celem oszusta nie jest jednak ta złotówka, lecz kradzież poświadczeń wprowadzanych na fałszywej bramce płatności.
• Wykorzystanie autorytetu: Podszywanie się pod Urząd Skarbowy, ZUS, InPost, mBank czy PKO BP. W obliczu komunikatu od „władzy” lub znanej korporacji, konsumenci stają się znacznie bardziej ulegli.

Przerażające statystyki: Skala ataków SMS w Polsce w 2025 roku

Ostatnie miesiące przyniosły drastyczny wzrost liczby incydentów bezpieczeństwa, co dowodzi, że infrastruktura cyberprzestępcza uległa silnej profesjonalizacji. Dane opublikowane przez rządowe agendy nie pozostawiają złudzeń – żyjemy w erze zmasowanych kampanii phishingowych.

Z oficjalnego raportu rocznego za rok 2025 [Źródło 2] dowiadujemy się o bezprecedensowej skali zagrożeń. Zespół CERT Polska (CSIRT NASK) zarejestrował 260 783 unikalne incydenty bezpieczeństwa. Oznacza to gigantyczny, 152-procentowy wzrost w stosunku do roku 2024. Co więcej, aż 97% tych zdarzeń to ataki wycelowane w człowieka (phishing, smishing i oszustwa inwestycyjne), a nie w luki technologiczne.

Polacy stają się jednak coraz bardziej czujni. W samym 2025 roku obywatele przesłali na specjalny, darmowy numer zgłoszeniowy ponad 350 000 podejrzanych wiadomości SMS [Źródło 3]. Z tej puli analitycy zakwalifikowali ponad 80 000 SMS-ów jako bezdyskusyjnie złośliwe. Z kolei badania rynkowe [Źródło 4] wskazują, że 54% Polaków otrzymało w ostatnim półroczu fałszywą wiadomość, a 18% niestety padło ofiarą jakiejś formy oszustwa w sieci.

Czego nie dowiesz się ze zwykłych poradników: SMS SenderID Spoofing

Większość użytkowników wierzy, że jeśli wiadomość od banku trafia do tego samego wątku co wcześniejsze, prawdziwe kody SMS, to musi być autentyczna. To niezwykle groźny i powszechny mit. Wynika on z nieznajomości techniki zwanej SMS SenderID Spoofingiem.

Techniczna manipulacja polega na bezprawnym fałszowaniu pola nadawcy w nagłówku wiadomości tekstowej. Architektura sieci komórkowych (protokół SS7) została zaprojektowana dekady temu i domyślnie nie weryfikuje kryptograficznie autentyczności nadpisu alfanumerycznego. Cyberprzestępcy korzystają z zagranicznych, nieuregulowanych bramek SMS (tzw. Smishing Gateways), aby masowo wysyłać wiadomości, w których jako nadawcę ustawiają ciąg znaków np. „mBank” czy „ZUS”. System operacyjny smartfona (zarówno Android, jak i iOS) automatycznie grupuje takie wiadomości z prawdziwymi SMS-ami od tej samej instytucji [Źródło 5].

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (UzNKE)

W odpowiedzi na plagę spoofingu, polskie prawodawstwo wprowadziło nowatorskie regulacje. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (UzNKE) to potężne narzędzie prawne, które nałożyło na telekomy konkretne obowiązki filtrowania ruchu [Źródło 6].

Na mocy tych przepisów, CSIRT NASK prowadzi specjalny Wykaz Nadpisów (SMS SenderID Registry). Podmioty publiczne zastrzegają tam swoje nazwy (np. „ePUAP”). Jeśli do polskiego operatora trafia SMS z zastrzeżonym nadpisem z zagranicznej, niezaufanej bramki, systemy sieciowe mają obowiązek go natychmiast zablokować. To znacząco utrudnia działanie przestępcom, jednak nie eliminuje problemu całkowicie, zwłaszcza w przypadku firm prywatnych, które nie zawsze korzystają z pełnej ochrony rejestru [Źródło 7].

Nietypowe ujęcie problemu: Dwuetapowe hybrydy (Smishing + Vishing)

Współczesne oszustwa ewoluowały z prostych wysyłek masowych w wieloetapowe operacje operacyjne o wysokim stopniu zaawansowania. Atakujący łączą różne wektory, aby całkowicie zdezorientować ofiarę i pozbawić ją resztek racjonalnego osądu.

Scenariusz ataku hybrydowego najczęściej zaczyna się od smishingu. Ofiara otrzymuje SMS-a z informacją o „podejrzanym logowaniu na konto” i prośbą o zignorowanie wiadomości, jeśli to ona się logowała. Chwilę później następuje drugi etap – Vishing (Voice Phishing). Do ofiary dzwoni osoba podająca się za pracownika działu bezpieczeństwa banku. Przestępca często mówi nienaganną polszczyzną, zna imię ofiary i informuje, że środki są zagrożone [Źródło 8]. W panice, zmanipulowany klient instaluje aplikacje do zdalnego pulpitu (np. AnyDesk) lub dobrowolnie podaje kody BLIK, wierząc, że „ratuje” swoje oszczędności, co szczegółowo analizują eksperci bezpieczeństwa [Źródło 9].

Sekrety branżowe: Nadużycie Ułatwień Dostępu przez trojany bankowe

Nie każdy złośliwy SMS prowadzi na fałszywą stronę logowania stworzoną przy użyciu tzw. Phishing Kits. Coraz częściej celem jest zainfekowanie urządzenia mobilnego zaawansowanym oprogramowaniem typu malware.

W przypadku smartfonów z systemem Android, fałszywy SMS od „kuriera” często zachęca do pobrania aplikacji do śledzenia paczki w formie pliku .apk. Po zainstalowaniu, złośliwe oprogramowanie prosi o przyznanie uprawnień do Ułatwień Dostępu (Accessibility Services). Jest to krytyczny moment ataku. Funkcja ta, zaprojektowana dla osób niedowidzących, pozwala aplikacji na odczytywanie zawartości całego ekranu i symulowanie dotyku. Jak ostrzegają analitycy [Źródło 10], po uzyskaniu tych uprawnień, trojan bankowy może samodzielnie i niewidocznie dla użytkownika logować się do aplikacji bankowej, zatwierdzać przelewy przechwytując SMS-y autoryzacyjne, a następnie usuwać powiadomienia o zrealizowanych transakcjach.

Jak krok po kroku zidentyfikować fałszywy SMS?

Obrona przed smishingiem wymaga wdrożenia zasady ograniczonego zaufania (Zero Trust) w codziennym korzystaniu ze smartfona. Rozpoznanie oszustwa jest możliwe, jeśli skupimy się na analizie intencji wiadomości oraz budowie zawartych w niej odnośników.

Podstawową regułą jest weryfikacja linku. Oszuści korzystają ze skracaczy adresów (np. bit.ly) lub rejestrują domeny łudząco przypominające oryginał (np. inpost-paczka-24.pl zamiast inpost.pl). Ponadto, żaden bank ani urząd nigdy nie wysyła w SMS-ach bezpośrednich linków do paneli logowania ani nie prosi o podanie pełnego hasła czy kodu PIN. Poniższe zestawienie systematyzuje najważniejsze różnice między autentyczną komunikacją a atakiem.

Gdzie i jak zgłosić podejrzaną wiadomość? Numer 8080

Aktywne przeciwdziałanie smishingowi to obowiązek nie tylko instytucji państwowych, ale również każdego świadomego obywatela. Szybkie zgłoszenie podejrzanej wiadomości może uchronić tysiące innych osób przed utratą środków.

W Polsce funkcjonuje prosty i całkowicie darmowy mechanizm zgłaszania incydentów. Każdą podejrzaną wiadomość SMS należy przesłać za pomocą funkcji „Przekaż dalej” na bezpłatny numer 8080, obsługiwany przez CERT Polska [Źródło 2]. Systemy analityczne błyskawicznie badają zgłoszenia i generują tzw. Wzorce SMS (SMS Patterns). Te matematyczne algorytmy są natychmiast udostępniane wszystkim operatorom telekomunikacyjnym w kraju. Dzięki temu, gdy oszust próbuje wysłać kolejne tysiące wiadomości o tej samej treści, są one automatycznie blokowane na poziomie infrastruktury sieciowej operatora, zanim w ogóle dotrą do potencjalnych ofiar [Źródło 11].

„Bezpieczeństwo cyfrowe to gra zespołowa. Każdy zgłoszony na numer 8080 złośliwy SMS to konkretny zysk dla całego ekosystemu – pozwala na niemal natychmiastowe nałożenie blokady na fałszywą domenę i uchronienie innych użytkowników przed stratami finansowymi.”

Edukacja, świadomość technik manipulacji oraz znajomość zaawansowanych mechanizmów takich jak spoofing nadawcy, to dziś nasze najlepsze tarcze ochronne w zderzeniu z profesjonalną przestępczością zorganizowaną w cyberprzestrzeni.

Bibliografia i źródła

• [Źródło 1] Analizy socjotechnik i ostrzeżenia o kampaniach phishingowych (niebezpiecznik.pl)
• [Źródło 2] Raport roczny i baza wiedzy o cyberzagrożeniach (cert.pl)
• [Źródło 3] Podsumowanie incydentów i zgłoszeń na numer 8080 (cert.pl)
• [Źródło 4] Raport z badań świadomości na temat cyberbezpieczeństwa w Polsce (smsapi.pl)
• [Źródło 5] Sekcja zwłok ataków: Spoofing nadawcy SMS i hybrydowe oszustwa (sekurak.pl)
• [Źródło 6] Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej i wytyczne rynkowe (uke.gov.pl)
• [Źródło 7] Rejestr nadpisów SMS i przeciwdziałanie smishingowi (nask.pl)
• [Źródło 8] Ewolucja vishingu i oszustwa „na pracownika banku” (niebezpiecznik.pl)
• [Źródło 9] Techniczne kulisy wyłudzeń kodów BLIK i zdalnych pulpitów (sekurak.pl)
• [Źródło 10] Analiza trojanów bankowych i Abuse of Accessibility Services (cert.pl)
• [Źródło 11] Tworzenie Wzorców SMS i współpraca z operatorami (cert.pl)
• [Źródło 12] Skala ataków socjotechnicznych w 2025 roku (cert.pl)

FAQ – najczęściej zadawane pytania