Nauczyliśmy się — wszyscy razem — nie ufać wiadomościom o paczce zatrzymanej na cle. Taki komunikat stał się wręcz żartem: „Twoja przesyłka nie mogła zostać doręczona, dopłać 1,99 €". Nawet osoby najmniej obeznane z technologią rozpoznają go dziś na pierwszy rzut oka.
Oszuści doskonale o tym wiedzą. I się przeprowadzili.
Od 2024 roku, a w sposób znacznie wyraźniejszy w 2025 i 2026, cała rodzina oszustw SMS-owych przeniosła się na teren o wiele bardziej skuteczny: zdrowie. Fałszywe przypomnienie o wizycie u specjalisty, rzekoma aktualizacja karty Vitale, „dostępne" wyniki badań, powiadomienie z Mon espace santé, ponaglenie z ubezpieczenia dodatkowego. Zmienił się rejestr, zmienił się też mechanizm.
Te wiadomości nie grają już bowiem na chciwości ani na strachu przed mandatem. Grają na czymś znacznie głębszym: na odruchu podporządkowania wobec systemu ochrony zdrowia. Kiedy dostajemy wiadomość, która wygląda, jakby przyszła z laboratorium analitycznego, nie zadajemy sobie pytania „czy to oszustwo?". Zadajemy sobie pytanie „o czym zapomniałem?".
Dlaczego zdrowie stało się idealnym polem gry
Złożyły się na to trzy czynniki.
Pierwszy to spowszednienie legalnych SMS-ów medycznych. Od czasu upowszechnienia rezerwacji wizyt online każdy naprawdę dostaje SMS-y przypominające: z gabinetu stomatologicznego, z pracowni radiologicznej, z laboratorium diagnostycznego, od fizjoterapeuty. Te wiadomości są krótkie, oschłe, często wysyłane z numeru skróconego lub od nieznanego nadawcy alfanumerycznego i regularnie zawierają link. Innymi słowy: oszukańcza wiadomość nie musi przypominać niczego wyjątkowego. Wystarczy, że przypomina normę.
Drugi to wdrożenie Mon espace santé. Otwarta automatycznie dla ogromnej większości ubezpieczonych, ta cyfrowa książeczka zdrowia pozostaje słabo znana w praktycznym działaniu. Wiele osób wie, że ma konto, nie wiedząc dokładnie, co ono zawiera, kto może umieścić tam dokument ani jak wygląda oficjalne powiadomienie. Ta niejasność to dokładnie ta przestrzeń, w której kwitnie phishing.
Trzeci to wartość zbieranych danych. Oszustwo zdrowotne nie szuka wyłącznie numeru karty płatniczej. Szuka numeru ubezpieczenia społecznego, daty urodzenia, czasem kopii zaświadczenia o prawie do świadczeń. Te elementy zasilają następnie znacznie bardziej dochodowe oszustwa: zakładanie kont, kradzież tożsamości, wnioski kredytowe albo odsprzedaż na przestępczych giełdach danych.
Skompromitowaną kartę płatniczą zastrzega się w dziesięć minut i wymienia w tydzień. Numer ubezpieczenia społecznego towarzyszy nam przez całe życie.
Pięć najczęstszych scenariuszy w 2026 roku
1. „Aktualizacja" karty Vitale
To scenariusz królewski. Wiadomość informuje, że karta Vitale traci ważność, wymaga odnowienia albo że prawa do świadczeń zostaną zawieszone z powodu braku aktualizacji. Link prowadzi do strony imitującej interfejs Ameli, żądającej danych osobowych, numeru ubezpieczenia społecznego, numeru rachunku „do zwrotów kosztów", a następnie karty płatniczej „na opłatę wysyłkową w wysokości 1 €".
Rzecz do zapamiętania jest prosta i ostateczna: karta Vitale nie traci ważności, a jej odnowienie nigdy nie jest płatne. Assurance Maladie przypomina o tym wprost na swojej stronie. Aktualizację karty wykonuje się w terminalu w aptece lub w punkcie obsługi, nigdy przez link otrzymany SMS-em.
2. Fałszywe wyniki badań
„Twoje wyniki są dostępne, sprawdź je tutaj." Wiadomość przychodzi czasem kilka dni po prawdziwym pobraniu krwi — czysty przypadek albo efekt skali: kiedy wysyła się setki tysięcy SMS-ów, część z nich siłą rzeczy trafi do osób faktycznie oczekujących na wyniki.
Prawdziwe laboratoria zwykle przesyłają identyfikator i odsyłają do portalu wymagającego kodu podanego na papierowym wydruku wyników. Nigdy nie proszą o numer karty płatniczej ani o żadną „opłatę manipulacyjną".
3. Fałszywe powiadomienie z Mon espace santé
Bardziej wyrafinowane, naśladuje instytucjonalny ton: „Do Twojej dokumentacji medycznej dodano nowy dokument." Celem jest przejęcie danych logowania do konta, które daje dostęp do pełnej historii medycznej — idealnego surowca do szantażu lub późniejszej inżynierii społecznej.
Przydatne przypomnienie: dostęp do Mon espace santé odbywa się wyłącznie przez oficjalną aplikację lub oficjalną stronę, z kodem tymczasowym przesłanym przy zakładaniu konta. Żadne prawdziwe powiadomienie nie prosi o ponowne wpisanie hasła po kliknięciu w link z SMS-a.
4. Fałszywa wizyta u specjalisty
„Twoja wizyta 12.09 została potwierdzona. Aby ją odwołać: [link]." Ten format jest szczególnie perfidny, ponieważ o nic nie prosi: skłania do kliknięcia, by odwołać coś, czego nigdy nie rezerwowaliśmy. Odruch ma charakter naprawczy, nie chciwy. I działa.
5. Fałszywe ubezpieczenie dodatkowe
Wiadomość zapowiadająca oczekujący zwrot kosztów, nadpłatę do odebrania albo bliskie rozwiązanie umowy. Często wykorzystuje się nazwę realnie istniejącego ubezpieczyciela. I tu również obietnica należnych — a nie żądanych — pieniędzy rozbraja czujność.
Metoda trzech pytań
Wobec takiego SMS-a nie ma sensu zapamiętywać listy oszukańczych numerów: zmieniają się co godzinę. Lepiej zastosować stały klucz interpretacyjny.
Pytanie 1: czy ta wiadomość każe mi działać w trybie pilnym? Zawieszenie praw, wygaśnięcie w ciągu 48 godzin, ostatnie przypomnienie. Presja czasu to główne narzędzie oszusta, ponieważ skraca drogę do weryfikacji. Żadna francuska instytucja zdrowotna nie zawiesza praw do świadczeń SMS-em z dwudniowym terminem.
Pytanie 2: czy ta wiadomość prosi mnie o dane, które nadawca już posiada? Twoja kasa chorych zna Twój numer ubezpieczenia społecznego. Twoje laboratorium zna Twoje nazwisko. Legalna instytucja nie pyta ponownie o to, co ma w bazie. Kiedy wiadomość żąda całej Twojej tożsamości administracyjnej, ona nie weryfikuje: ona zbiera.
Pytanie 3: czy korzystam z podanego linku, czy z własnej drogi dostępu? To najsolidniejsza zasada całego codziennego bezpieczeństwa cyfrowego. Nigdy nie wchodź do serwisu przez drzwi, które ktoś Ci otwiera. Zamknij SMS-a, otwórz oficjalną aplikację albo samodzielnie wpisz adres. Jeśli informacja jest prawdziwa, będzie tam. Jeśli jej nie ma, sprawa jest rozstrzygnięta.
Co automatyczne filtry potrafią (a czego nie potrafią)
W 2026 roku aplikacje do obsługi wiadomości wyraźnie się poprawiły. Google Messages przenosi część podejrzanych SMS-ów do osobnego folderu i wyświetla ostrzeżenia przy wątpliwych linkach; iOS od kilku wersji filtruje nieznanych nadawców do oddzielnej zakładki. Te zabezpieczenia dobrze wykrywają kampanie masowe, powtarzalne, wysyłane ze „spalonych" numerów.
Znacznie gorzej radzą sobie z trzema rzeczami:
- Krótkie i ukierunkowane kampanie, wysyłane zaledwie do kilku tysięcy numerów, które nie zdążą zostać zgłoszone, zanim przyniosą skutek.
- Wiadomości bez linku, które po prostu zachęcają do oddzwonienia pod wskazany numer. Wektorem staje się wtedy głos, a inżynieria społeczna rozgrywa się na żywo.
- Wiadomości wpisujące się w istniejący wątek, gdy podszyto się pod legalnego nadawcę alfanumerycznego i oszukańczy SMS wyświetla się w tej samej konwersacji co prawdziwe.
Ten ostatni punkt zasługuje na dobre zrozumienie: oszukańczy SMS może pojawić się w wątku wiadomości od prawdziwej instytucji, ponieważ wyświetlana nazwa nadawcy nie jest gwarancją autentyczności. Wrażenie ciągłości to techniczna iluzja, a nie dowód.
Osobom, które dostają bardzo dużo wiadomości i zarządzają kilkoma numerami, telefon z dwiema kartami SIM pozwala przynajmniej na rozdzielenie: jedna linia zarezerwowana dla spraw urzędowych i bankowych, druga udostępniana szerzej. To nie jest ochrona przed oszustwem, ale sprawia, że anomalie stają się o wiele bardziej czytelne.
Zgłaszanie: kanały, które naprawdę działają we Francji
Zgłoszenie nie jest gestem symbolicznym. Zasila bazy wykorzystywane przez operatorów do odcinania numerów nadawczych i zamykania oszukańczych domen.
| Kanał | Do czego służy | Jak to zrobić |
|---|---|---|
| 33700 | Oficjalna platforma zgłaszania niechcianych SMS-ów i połączeń, prowadzona przez branżę telekomunikacyjną | Przekazać SMS na numer 33700, a następnie wysłać numer nadawcy, gdy odpowiedź o to poprosi |
| Signal Conso / Phishing Initiative | Zgłaszanie stron phishingowych do zablokowania | Skopiować adres URL bez wchodzenia na stronę |
| Cybermalveillance.gouv.fr | Diagnoza, porady i kontakt z wyspecjalizowanymi usługodawcami | Prowadzona ścieżka online |
| Assurance Maladie (Ameli) | Zgłaszanie podszywania się pod jej identyfikację wizualną | Dedykowana sekcja poświęcona próbom oszustwa |
| Perceval | Zgłaszanie oszukańczego użycia karty płatniczej | Usługa online na service-public.fr |
Numer 33700 pozostaje najbardziej przydatnym codziennym odruchem: jest bezpłatny, zajmuje trzydzieści sekund i to właśnie on umożliwia szybkie wyłączenie numerów nadawczych.
Kliknąłem. I co teraz?
Kliknięcie w link samo w sobie nie jest katastrofą. Niebezpieczeństwo zaczyna się przy wpisywaniu danych. Reakcję trzeba więc odpowiednio zhierarchizować.
Jeśli nic nie wpisałeś: zamknij stronę, usuń wiadomość, zgłoś ją. Ryzyko szczątkowe jest niewielkie.
Jeśli wpisałeś dane logowania: natychmiast zmień hasło do danego serwisu, a także do każdego innego konta, gdzie to samo hasło było użyte ponownie. To moment, by przypomnieć, że menedżer haseł czyni tę operację banalną zamiast stresującej — a przede wszystkim pozwala już nigdy nie używać tego samego hasła w różnych serwisach.
Jeśli wpisałeś dane bankowe: bez zwłoki zadzwoń na infolinię zastrzeżeń swojego banku, a następnie zgłoś transakcję w Perceval. Europejska dyrektywa o usługach płatniczych ściśle reguluje przypadki zwrotu środków przy nieautoryzowanej transakcji: bank musi zwrócić pieniądze, chyba że wykaże rażące niedbalstwo z Twojej strony, co wymaga od niego rzeczywistego dowodu, a nie zwykłego twierdzenia.
Jeśli podałeś numer ubezpieczenia społecznego i dane osobowe: nie ma przycisku „cofnij". Przez kilka miesięcy obserwuj zestawienia zwrotów na swoim koncie Ameli i powiadom swoją kasę chorych. Zapisz datę i godzinę zdarzenia: te elementy mają znaczenie przy ewentualnym późniejszym złożeniu zawiadomienia.
Nawyk zachowywania pisemnego śladu takich zdarzeń — w zwykłym zeszycie do notatek trzymanym przy biurku albo w zaszyfrowanym pliku — pozwala uniknąć odtwarzania faktów z pamięci pół roku później, gdy jakaś instytucja poprosi o szczegóły.
Szczególny przypadek bliskich w trudniejszej sytuacji
Te oszustwa statystycznie częściej celują w osoby będące pod opieką medyczną: pacjentów przewlekle chorych, osoby starsze, kobiety w ciąży, rodziny z małymi dziećmi. Nie z wyrachowanego okrucieństwa, lecz z prostej mechaniki: to właśnie dla nich SMS dotyczący zdrowia jest wiarygodny przez cały czas.
Trzy proste działania, bez inwigilacji i bez traktowania nikogo jak dziecka:
- Ustalić jedną regułę zamiast listy zakazów. „Nigdy nie wypełniamy formularza, który przyszedł SMS-em" da się zapamiętać. „Uwaga na podejrzane linki .fr" — nie.
- Ustanowić numer awaryjny. Wyznaczona osoba, do której dzwoni się przed podjęciem jakichkolwiek działań, bez oceniania. Wstyd przed przyznaniem się, że „dało się nabrać", jest pierwszą przyczyną milczenia, a więc i pogłębienia szkody.
- Zmniejszyć powierzchnię narażenia. W telefonie przeznaczonym do prostego użytku telefon dla seniora z dużymi klawiszami bez przeglądarki internetowej po prostu eliminuje wektor klikalnego linku. To nie jest cofanie się: to świadome ograniczenie powierzchni ataku.
Aby pomóc bliskiej osobie zdobyć wiedzę bez dramatyzowania, poradnik popularyzujący cyberbezpieczeństwo często działa lepiej niż rodzinne pouczenia, bo przenosi autorytet poza relację rodzinną.
Co warto zapamiętać
Oszustwa zdrowotne wysyłane SMS-em nie są ani technicznie bardziej wyrafinowane, ani trudniejsze do wykrycia niż poprzednie. Są po prostu lepiej wykalibrowane psychologicznie. Nie każą wierzyć w nieprawdopodobną wygraną: każą wierzyć w zwyczajną procedurę administracyjną.
Obrona mieści się w jednym zdaniu, które dotyczy zarówno karty Vitale, jak i banku, ubezpieczenia czy szkoły: żadna prawdziwa informacja nie zależy od linku, który ktoś Ci przysyła. Ona już gdzieś istnieje, w przestrzeni, do której docierasz własnymi środkami. Poświęcenie trzydziestu sekund na weryfikację tą drogą wystarczy, by udaremnić niemal wszystkie takie kampanie.
A gdy wątpliwości pozostają, najbardziej ekonomicznym odruchem jest przekazanie wiadomości na numer 33700 przed podjęciem czegokolwiek innego. Trzydziestosekundowe zgłoszenie rzadko chroni tego, kto je wysyła — ale często chroni tysiące osób, które dostaną tę samą wiadomość w ciągu najbliższej godziny.
Źródła i oficjalne zasoby: Assurance Maladie (ameli.fr), Cybermalveillance.gouv.fr, service-public.fr (Perceval), platforma 33700, Mon espace santé (monespacesante.fr).
