SMS-a zawsze czytamy w złej kolejności. Najpierw tekst, obietnicę albo groźbę, którą zawiera, a potem — czasem zbyt późno — linijkę powyżej: tę, która mówi, kto pisze. Tymczasem to właśnie ta linijka zawiera niemal całą użyteczną informację.
We Francji wiadomość może bowiem dotrzeć pod co najmniej pięcioma różnymi tożsamościami technicznymi: jako zwykły numer komórkowy zaczynający się od 06 lub 07, numer geograficzny, numer skrócony cztero- lub pięciocyfrowy, nazwa zapisana literami („AMELI", „Colissimo", „BANQUE") albo numer międzynarodowy. Każdy z tych formatów podlega odmiennym zasadom, kosztuje nadawcę inną kwotę i daje bardzo nierówny poziom gwarancji.
Umiejętność ich rozróżniania nie zastępuje ostrożności, ale radykalnie zmienia sytuację: pozwala w trzy sekundy — zanim jeszcze przeczytamy treść wiadomości — oddzielić to, co jest prawdopodobne, od tego, co nim nie jest.
Pięć twarzy nadawcy SMS-a
1. Zwykły numer komórkowy (06 / 07)
To format osoby prywatnej. Prawdziwy francuski numer komórkowy przydzielony przez ARCEP operatorowi, a następnie abonentowi. Pozwala odpowiedzieć, pozwala zadzwonić.
Firma czy administracja normalnie nie ma żadnego powodu, by pisać do Ciebie z numeru 06 lub 07 w sprawie oficjalnego powiadomienia. Kiedy tak się dzieje — „Twoja przesyłka została zablokowana, ureguluj tutaj" podpisane numerem 07 — nadawcą jest albo osoba prywatna, albo, o wiele częściej, oszust wyposażony w przedpłacone karty SIM lub urządzenie do automatycznej wysyłki (słynne „SIM boxy").
Zapamiętaj ten prosty odruch: wiadomość instytucjonalna wysłana z prywatnego numeru komórkowego to anomalia, niezależnie od jej treści.
2. Numer skrócony (4 do 5 cyfr)
Numery skrócone są we Francji przydzielane i nadzorowane przez ARCEP w ramach planu numeracji. Dzielą się na duże rodziny rozpoznawalne po prefiksie:
| Format | Zastosowanie | Przykład rzeczywistego użycia |
|---|---|---|
| 3xxxx (5 cyfr) | Usługi SMS, w tym MAN (Multi-Access Number) | Powiadomienia o śledzeniu przesyłek, alerty |
| 36xxx / 38xxx | SMS Multi-Access Number, w tym 38028 (Signal Spam / 33700) | Zgłaszanie spamu |
| 7xxxx / 8xxxx | SMS-y o podwyższonej opłacie, gry, głosowania, darowizny | Darowizny na rzecz stowarzyszenia |
| 1xx | Służby ratunkowe i socjalne (112, 114, 115, 119) | 114: pogotowie SMS-owe dla osób głuchych i niedosłyszących |
Dwa numery skrócone warto zapamiętać we Francji:
- 33700: usługa zgłaszania niechcianych SMS-ów i połączeń, prowadzona przez francuskich operatorów. Przekazuje się jej oszukańczą wiadomość, a następnie odsyła numer nadawcy, gdy o niego poprosi.
- 114: numer alarmowy dostępny przez SMS, przeznaczony dla osób głuchych, niedosłyszących lub niemogących mówić.
Ważna kwestia: numery skrócone są wynajmowane u agregatorów, a nie kupowane na stałe. Ten sam pięciocyfrowy numer może więc kolejno służyć różnym reklamodawcom. Numer skrócony, który „już się gdzieś widziało", nie jest dowodem autentyczności — to jedynie znak, że nadawca przeszedł przez zadeklarowany kanał profesjonalny.
3. Nadawca alfanumeryczny (nazwa zamiast numeru)
To format najbardziej zwodniczy i ten, który trzeba zrozumieć w pierwszej kolejności. Kiedy Twój telefon wyświetla „AMELI", „SFR" czy „LIVRAISON" u góry rozmowy, nie pokazuje zweryfikowanej tożsamości: pokazuje ciąg znaków dostarczony przez samego nadawcę w technicznym polu wiadomości, zwanym sender ID lub OADC (Originating Address).
Technicznie rzecz biorąc, to pole ma charakter deklaratywny. Nic w protokole SMS go nie certyfikuje. To właśnie umożliwia spoofing nadawcy: podszycie się pod nazwę marki, aby wiadomość wyświetliła się we właściwym miejscu.
I tu właśnie rozgrywa się najskuteczniejsza pułapka francuskiego smishingu: grupowanie rozmów. Jeśli oszukańcza wiadomość używa dokładnie tego samego sender ID co wcześniej otrzymana wiadomość legalna, Twoja aplikacja do wiadomości może wstawić ją do tego samego wątku co prawdziwe wiadomości od danej instytucji. SMS phishingowy pojawia się wtedy tuż pod prawdziwym SMS-em z terminem wizyty lekarskiej albo kodem odbioru przesyłki. Kontekst robi resztę roboty.
Wątek rozmowy niczego nie uwierzytelnia. Oszukańcza wiadomość może wśliznąć się do istniejącej, legalnej konwersacji, jeśli użyje tej samej nazwy nadawcy.
Od lat 2023–2024 Francja wdrożyła mechanizm obronny: rejestr MAN oraz obowiązek filtrowania przez operatorów alfanumerycznych sender ID niezgłoszonych w rejestrze. Chodzi o to, by we Francji akceptować wyłącznie nazwy nadawców zarejestrowane przez zidentyfikowane firmy. Mechanizm ograniczył skalę czystego spoofingu, ale go nie wyeliminował: kampanie omijają filtr, korzystając z tras międzynarodowych albo rejestrując wiarygodnie brzmiące nazwy ogólne („INFO-COLIS", „SECURITE"), które nie są chronionymi markami.
4. Numer geograficzny (01 do 05 albo 09)
Otrzymanie SMS-a z numeru 01 czy 09 nie jest już rzadkością: numery stacjonarne mogą technicznie obsługiwać SMS-y od kilku lat. Niektóre gabinety lekarskie, warsztaty samochodowe czy małe sklepy używają ich do przypomnień o wizytach, za pośrednictwem swojego oprogramowania zarządczego.
Numer 09 zasługuje na szczególną uwagę: te „niegeograficzne" numery są masowo wykorzystywane w telefonii IP, więc łatwo je zdobyć w dużych ilościach i porzucić. Wiele akwizycji — i część oszustw — idzie właśnie tą drogą.
5. Numer międzynarodowy
+44, +212, +48 czy +1 przy SMS-ie, który rzekomo pochodzi od Twojego francuskiego banku, to poważna niespójność. Kampanie smishingowe często korzystają z tanich tras międzynarodowych, ponieważ te częściowo wymykają się filtrom krajowym.
Uwaga jednak na pewien niuans: niektóre całkowicie legalne usługi zagraniczne (platforma rezerwacyjna, amerykański komunikator wysyłający kod weryfikacyjny) piszą z numeru międzynarodowego. Kryterium nie brzmi „międzynarodowy = oszustwo", lecz „międzynarodowy, choć instytucja jest czysto francuska = oszustwo".
Czego telefon Ci nie pokazuje
Żaden konsumencki system operacyjny nie wyświetla pełnego nagłówka SMS-a. Nie zobaczysz identyfikatora centrum wiadomości (SMSC), które dostarczyło wiadomość, ani trasy, jaką przebyła, ani rzeczywistego znacznika czasu sieci. Te elementy istnieją — są nawet dostępne dla operatorów, a w razie postępowania dla śledczych — ale nie docierają do ekranu.
Co natomiast możesz zrobić:
- Przytrzymać dłużej wiadomość i wyświetlić szczegóły: w Androidzie menu „Szczegóły" pokazuje czasem surowego nadawcę, godzinę odbioru w sieci i typ (SMS, MMS, RCS).
- Sprawdzić kanał: wiadomość RCS wyświetla się z potwierdzeniem odczytu i często ze zweryfikowanym logo marki (RCS Business Messaging). Wiadomość, która rzekomo pochodzi od dużej marki i przychodzi jako zwykły SMS, podczas gdy ta sama marka zwykle pisze do Ciebie przez RCS z logo, powinna wzbudzić czujność.
- Spojrzeć na długość: SMS dłuższy niż 160 znaków jest łączony z części. Samo w sobie nie jest to sygnał oszustwa, ale zautomatyzowane kampanie mają często sformułowania wykalibrowane i powtarzalne.
Test trzech pytań
Zanim w cokolwiek klikniesz, w zdecydowanej większości przypadków wystarczą trzy pytania.
1. Czy format nadawcy odpowiada deklarowanej instytucji?
Francuska administracja czy duża firma pisze z numeru skróconego, ze zgłoszonego nadawcy alfanumerycznego albo przez zweryfikowany RCS. Nie z numeru 07, nie z „dziwnego" +33 7, nie z numeru zagranicznego.
2. Czy wiadomość wymaga pilnego działania związanego z płatnością lub identyfikacją?
Trzy najskuteczniejsze kombinacje oszustw we Francji to wciąż: drobna kwota do uregulowania (opłata celna, ponowna wysyłka paczki, mandat), „aktualizacja" danych bankowych oraz „weryfikacja konta" z kodem otrzymanym inną drogą. Pośpiech jest substancją czynną.
3. Czy link prowadzi do oficjalnej domeny?
Francuskie instytucje publiczne używają domen w .gouv.fr lub znanych domen markowych. Skrócony link, domena złożona (ameli-remboursement-fr.com), zwodniczy subdomena (ameli.fr.securite-connexion.net) — wszystko to dyskwalifikuje. Warto zauważyć, że czytanie długiego adresu URL na sześciocalowym ekranie to udręka; wielu czytelników zyska, używając regulowanego uchwytu na telefon, by przyjrzeć się podejrzanej wiadomości na wysokości oczu, a nie na wyciągnięcie ręki, albo po prostu otwierając wiadomość na większym ekranie.
Weryfikacja bez klikania: metoda równoległego kanału
Najskuteczniejszą regułę przeciw smishingowi da się zamknąć w jednym zdaniu: nigdy nie weryfikuje się wiadomości za pomocą samej wiadomości.
Konkretnie:
- SMS z banku? Otwieramy aplikację bankową albo dzwonimy pod numer widniejący na odwrocie karty.
- SMS z ubezpieczenia zdrowotnego (Assurance Maladie)? Logujemy się na konto Ameli, wpisując adres samodzielnie, albo korzystamy z oficjalnej aplikacji.
- SMS od przewoźnika? Wpisujemy numer przesyłki na stronie przewoźnika, bez korzystania z linku.
- SMS z urzędu skarbowego? Wchodzimy przez impots.gouv.fr i swoją strefę indywidualną.
Ta dyscyplina kosztuje dziesięć sekund więcej. Neutralizuje właściwie wszystko, łącznie z bardzo dopracowanymi kampaniami.
Dla gospodarstw domowych, które chcą sformalizować te odruchy — zwłaszcza z nastolatkami albo mniej obytymi z technologią bliskimi — kilka stron z poradnika cyberbezpieczeństwa dla początkujących położonych obok rodzinnego komputera działa często lepiej niż długie kazanie: zobaczenie mechanizmów opisanych czarno na białym czyni je konkretnymi.
Zgłaszanie: co to naprawdę zmienia
Wielu czytelników zakłada, że zgłoszenie znika w próżni. W rzeczywistości we Francji działają dwie ścieżki:
- 33700 (niechciane SMS-y, połączenia i wiadomości), mechanizm prowadzony przez operatorów. Przekazuje się wiadomość na 33700, a następnie odpowiada, podając numer nadawcy. Numery masowo zgłaszane są blokowane, a zidentyfikowani nadawcy mogą zostać ukarani.
- cybermalveillance.gouv.fr oraz platforma THESEE do złożenia zawiadomienia online o oszustwie internetowym. Signal Spam uzupełnia system po stronie poczty elektronicznej.
ARCEP i DGCCRF śledzą ponadto naruszenia zasad akwizycji. A jeśli chodzi o dane osobowe, CNIL regularnie przypomina, że marketing SMS-owy wymaga uprzedniej, wyraźnej zgody: niezamówiona wiadomość handlowa, na którą nigdy nie wyraziłeś zgody, sama w sobie stanowi już nieprawidłowość — nawet jeśli nie jest oszustwem.
Zmniejszanie powierzchni narażenia
Rozpoznawanie nadawcy to umiejętność defensywna. Można też zagrać wcześniej, ograniczając liczbę podejrzanych wiadomości, które w ogóle docierają.
Filtrowanie po stronie telefonu. iOS oferuje filtrowanie nieznanych nadawców (Ustawienia → Aplikacje → Wiadomości → „Filtruj nieznanych nadawców"), które przenosi wiadomości z numerów spoza kontaktów do osobnej zakładki. Google Messages po stronie Androida ma ochronę antyspamową, wyraźnie wzmocnioną w latach 2025–2026, z wykrywaniem schematów oszustw i ukrywaniem linków w podejrzanych wiadomościach.
Rozdzielenie numerów. Używanie numeru dodatkowego — drugiej linii w abonamencie, dedykowanej eSIM, numeru z usługi internetowej — do rejestracji handlowych, ogłoszeń i dostaw. Numer główny zostaje zarezerwowany dla bliskich, banku i administracji. Przedpłacona karta SIM bez zobowiązań w zupełności wystarczy do tej roli i kosztuje kilka euro.
Zabezpieczenie tego, co chroni Twoje konta. SMS pozostaje najsłabszym ogniwem uwierzytelniania dwuskładnikowego, bo opiera się na numerze, który można przechwycić. Przeniesienie wrażliwych kont na aplikację uwierzytelniającą albo na fizyczny klucz bezpieczeństwa FIDO2 odbiera SMS-owi rolę klucza głównego. To gest, który sprawia, że udany smishing kosztuje o wiele mniej.
Zadbanie o sprzęt do czytania. Szczegół prozaiczny, ale realny: spora część przypadkowych kliknięć bierze się z porysowanego ekranu, mokrego palca albo czytania w metrze. Szkło hartowane ochronne i odrobina światła wystarczą, by ograniczyć fałszywe ruchy.
Szczególny przypadek SMS-ów politycznych i instytucjonalnych
Wiosna 2026 roku przypomniała, przy okazji wyborów samorządowych, że SMS całkowicie legalny może być całkowicie irytujący. Wiadomości kampanijne wysyłane z nadawców alfanumerycznych wywołały wiele reakcji, a spora część odbiorców zastanawiała się, skąd wzięto ich numer.
Trzeba tu rozróżnić dwie rzeczy:
- SMS oszukańczy ma na celu wyłudzenie pieniędzy lub danych logowania. Zgłasza się go na 33700 i usuwa.
- SMS niezamówiony, ale legalny lub półlegalny podlega prawu o marketingu bezpośrednim. Tu narzędziem jest RODO: zażądać od nadawcy informacji o źródle danych, skorzystać z prawa sprzeciwu i zawiadomić CNIL w razie odmowy. Słowo kluczowe „STOP" pozostaje obowiązkowe w SMS-ach handlowych — nie ma natomiast żadnej wartości ani sensu wobec kampanii oszukańczej, gdzie odpowiedź jedynie potwierdza, że numer jest aktywny.
Trzy sekundy, pięć formatów
Z czasem czytanie nadawcy staje się automatyczne. Znany numer skrócony: prawdopodobne. Nazwa marki w już istniejącym wątku: prawdopodobne, ale link i tak trzeba sprawdzić. Numer 07 podpisany przez administrację: do kosza. +48 podpisany przez francuski bank: do kosza. Numer 09 ze skróconym linkiem: do kosza.
SMS nigdy nie został zaprojektowany po to, by udowadniać, kto mówi. Powstał w 1992 roku, aby przenieść 160 znaków w szczątkowym kanale sygnalizacyjnym. Trzydzieści cztery lata później przewozi terminy wizyt lekarskich, kody bankowe i wezwania urzędowe — nigdy nie zyskawszy mechanizmu uwierzytelniania z prawdziwego zdarzenia. To odbiorca musi wypełnić tę lukę, a zaczyna się to od przeczytania pierwszej linijki przed wszystkimi pozostałymi.
