Istnieje kategoria SMS-owych oszustw, wobec której wszystkie klasyczne porady okazują się bezużyteczne.
„Sprawdź numer nadawcy." Jest prawidłowy. „Zobacz, czy wiadomość przychodzi z nieznanego numeru." Nie przychodzi z nieznanego numeru. „Porównaj z wcześniejszymi wiadomościami od banku." Ona jest tuż pod wcześniejszymi wiadomościami od Twojego banku, w tym samym wątku, z tym samym nagłówkiem, tą samą nazwą nadawcy, tym samym układem.
To zjawisko ma swoją nazwę: podszywanie się pod nadawcę, czyli spoofing. Nie jest to techniczna nowość — słabość jest równie stara jak komercyjny SMS — ale jej uprzemysłowienie przez siatki oszustów, w połączeniu z automatyzacją scenariuszy manipulacji przy pomocy AI, uczyniło z niej wektor numer jeden telefonicznych oszustw bankowych we Francji.
I w przeciwieństwie do fałszywej paczki czy fałszywego przypomnienia o wizycie lekarskiej, tego typu wiadomości nie da się rozpoznać gołym okiem. Trzeba zmienić metodę.
Dlaczego oszust może wpisać „CreditMutuel" w polu nadawcy
Kiedy firma wysyła Ci SMS-a, zwykle nie używa numeru telefonu, lecz identyfikatora alfanumerycznego: „Ameli", „Colissimo", „SFR", „BNPPARIBAS". Technicznie to pole nazywa się Sender ID i jest zdefiniowane w standardzie GSM od lat 90.
Problem da się streścić w jednym zdaniu: to pole ma charakter deklaratywny.
W pierwotnym protokole SMS nie istnieje żaden mechanizm uwierzytelniania porównywalny z tym, co znamy z poczty elektronicznej (SPF, DKIM, DMARC). Nadawca wypełnia ciąg maksymalnie jedenastu znaków, a sieć przenosi go w niezmienionej postaci aż na Twój ekran. Nic w standardzie nie weryfikuje, czy organizacja, która wpisuje „CAISSEEPARGNE", to rzeczywiście Caisse d'Épargne.
U rzetelnego francuskiego operatora i na tzw. trasie „premium" kontrole istnieją: agregator A2P (Application-to-Person) wymaga pełnomocnictwa, weryfikuje tożsamość zleceniodawcy, rejestruje Sender ID. Ale SMS to globalnie połączona sieć. Wiadomość może zostać wstrzyknięta u zagranicznego operatora, przez tanio kupioną „szarą" trasę, i dotrzeć do Francji z podrobionym identyfikatorem. Dokładnie tak działają platformy oszustów, często hostowane poza Europą i sprzedawane w abonamencie.
Szczegół, który czyni spoofing druzgocącym: grupowanie wątków
Sprawa robi się poważna po stronie smartfona.
Zarówno iOS, jak i Android grupują konwersacje według identyfikatora nadawcy, a nie według trasy technicznej czy certyfikatu. Jeśli Twój bank pisze do Ciebie z „MOJBANK", a oszust wstrzyknie wiadomość z dokładnie identycznym ciągiem znaków, obie trafią do tej samej konwersacji.
Fałszywa wiadomość dziedziczy wówczas cały nagromadzony kapitał zaufania:
- pojawia się pod Twoimi prawdziwymi kodami autoryzacyjnymi;
- dzieli widoczną historię Twoich autentycznych wymian;
- korzysta z kontekstu („no tak, to przecież wątek mojego banku");
- wymyka się filtrom antyspamowym opartym na nieznanych numerach.
Żadna czujność wzrokowa tego nie zrekompensuje. To problem strukturalny.
Typowy scenariusz roku 2026: SMS to tylko przynęta
Błędem byłoby sądzić, że celem wiadomości jest skłonienie Cię do kliknięcia w link. Coraz częściej nie ma tam żadnego linku — co pozwala obejść automatyczne filtry i alerty bezpieczeństwa.
Dominujący schemat wygląda tak:
- SMS z alertem. „Wykryto próbę płatności na 749 € w [sklep]. Jeśli to nie Ty, skontaktuj się pod numerem 09 XX XX XX XX." Wiadomość pojawia się w prawdziwym wątku banku.
- Telefon. Albo sam dzwonisz na podany numer, albo — w bardziej agresywnym wariancie — „doradca" dzwoni do Ciebie w ciągu kilku minut, z numerem również podrobionym (spoofing istnieje także w telefonii głosowej).
- Manipulacja. Rozmówca zna Twoje nazwisko, czasem ostatnie zakupy, Twój oddział. Jest spokojny, profesjonalny, wręcz odradza Ci pośpiech. Prosi, żebyś „zablokował" oszukańczą transakcję.
- Przechwycenie. Każe Ci zatwierdzić operację w aplikacji bankowej, podyktować kod otrzymany SMS-em albo zarejestrować nowe urządzenie na koncie. To Ty autoryzujesz przelew.
To tzw. oszustwo „na fałszywego doradcę bankowego", które Banque de France i Observatoire de la sécurité des moyens de paiement rok po roku dokumentują jako jedno z najkosztowniejszych w przeliczeniu na ofiarę. Podrobiony SMS nie jest samym oszustwem: jest kluczem otwierającym drzwi.
Zasada, która chroni przed 90 % takich scenariuszy, mieści się w jednym zdaniu: żaden bank nigdy nie poprosi Cię o zatwierdzenie, anulowanie ani „zablokowanie" operacji poprzez podyktowanie kodu lub potwierdzenie powiadomienia w trakcie rozmowy telefonicznej. Zatwierdzenie służy wyłącznie do autoryzowania, nigdy do anulowania.
Co wprowadziła Francja (i jakie są tego granice)
Wbrew obiegowej opinii, temat nie jest ignorowany przez regulatora.
Ustawa z 30 maja 2023 r. o zwalczaniu oszustw i nadużyć w telemarketingu ustanowiła zasadę mechanizmu uwierzytelniania numerów. Arcep opublikował następnie referencyjny dokument techniczny zwany MAN (Mécanisme d'Authentification des Numéros), wdrażany etapami od października 2024 r. dla numerów stacjonarnych, a potem dla numerów komórkowych.
Zasada jest taka: francuski operator musi sprawdzić, czy połączenie lub wiadomość prezentowana z francuskim numerem rzeczywiście pochodzi od uprawnionego użytkownika tego numeru. W przeciwnym razie ruch musi zostać odcięty. Efekty są realne w przypadku oszukańczych połączeń wyświetlających fałszywe francuskie numery geograficzne.
Trzeba jednak uczciwie powiedzieć, czego ten mechanizm nie rozwiązuje:
| Sytuacja | Objęta przez MAN? |
|---|---|
| Połączenie z fałszywym francuskim numerem 01/09 | Tak, w dużej mierze filtrowane |
| Połączenie z fałszywym francuskim numerem komórkowym | Tak, od rozszerzenia mechanizmu |
| SMS z fałszywym francuskim numerem | Częściowo |
| SMS z podrobionym alfanumerycznym Sender ID | Nie, poza bezpośrednim zakresem |
| SMS wstrzyknięty z zagranicy z identyfikatorem marki | Zależy od filtrów operatora docelowego |
Równolegle Fédération française des télécoms i operatorzy opracowali listy chronionych identyfikatorów alfanumerycznych: marka rejestruje swój Sender ID, a operatorzy blokują zagraniczne wiadomości próbujące się pod niego podszyć. System ten działa — ale opiera się na dobrowolności firm i nie obejmuje tysięcy niezarejestrowanych marek ani wariantów typograficznych („MOJ-BANK", „MOJBANK1").
Innymi słowy: sytuacja się poprawia, ale problem nie został rozwiązany.
Skuteczna metoda weryfikacji w trzech krokach
Skoro oględziny wzrokowe są bezskuteczne, trzeba przejść na logikę weryfikacji poza kanałem. Zasada jest prosta: nigdy nie potwierdzaj informacji w tym samym kanale, który ją przyniósł.
1. Wstrzymaj działanie, nie myślenie
Wszystkie te scenariusze opierają się na sztucznie wywołanej presji czasu. Kwota jest wysoka, termin krótki, rozmówca buduje napięcie. Środek zaradczy jest mechaniczny: żadna sprawa bankowa nie rozstrzyga się w pięć minut. Żadna wykryta przez bank oszukańcza operacja nie wymaga Twojej natychmiastowej interwencji telefonicznej; procedury reklamacyjne istnieją i działają post factum.
2. Rozłącz się i zadzwoń samodzielnie
Numer, który należy wybrać, nigdy nie jest tym podanym w wiadomości ani wyświetlonym na ekranie. To ten zapisany na odwrocie Twojej karty bankowej lub w oficjalnej aplikacji. Ważny szczegół, często pomijany: na starych liniach stacjonarnych oszust mógł utrzymać połączenie otwarte, by zasymulować oddzwonienie. Na komórce to ryzyko jest niemal zerowe, ale mimo wszystko odczekaj kilka sekund przed wybraniem numeru.
Dla osób zarządzających kilkoma kontami lub kartami najbardziej niezawodnym rozwiązaniem pozostaje trzymanie numerów do zastrzegania poza telefonem: zwykły notes na numery telefonów leżący przy biurku albo zalaminowana karteczka w portfelu jest lepszy niż notatka zagubiona w smartfonie, który może zostać skradziony lub przejęty.
3. Sprawdzaj w aplikacji, nigdy przez link
Otwórz aplikację bankową z ikony, a nie z SMS-a. Jeśli podejrzana operacja istnieje, będzie tam widoczna. Jeśli nic się nie pojawia, wiadomość jest fałszywa. Ta weryfikacja zajmuje dwadzieścia sekund i neutralizuje przytłaczającą większość prób.
Ograniczanie powierzchni ataku z wyprzedzeniem
Spoofing działa tym lepiej, im więcej oszust o Tobie wie. Wiadomość „Twoja karta kończąca się na 4412" nie ma w sobie nic magicznego: te dane krążą po wyciekach baz klientów. Kilka działań ogranicza ekspozycję.
Odseparuj swój główny numer. Używanie drugiej linii — karty prepaid lub dodatkowego eSIM — do rejestracji w sklepach, dostaw i ogłoszeń znacząco zmniejsza liczbę oszukańczych wiadomości celujących w Twoją „bankową" linię. Telefony dual SIM są dziś powszechne i czynią tę operację bezbolesną.
Przenieś uwierzytelnianie poza SMS. Jednorazowy kod przesyłany SMS-em pozostaje najsłabszym ogniwem: da się go przechwycić, wyłudzić manipulacją i jest podatny na SIM swapping. Tam, gdzie usługa na to pozwala, aplikacja do uwierzytelniania dwuskładnikowego, a nawet fizyczny klucz bezpieczeństwa FIDO2 do najbardziej wrażliwych kont (główna skrzynka pocztowa, menedżer haseł), całkowicie zmienia poziom ochrony. Klucza sprzętowego nie da się podyktować przez telefon fałszywemu doradcy.
Unikaj powtarzanych haseł. Scenariusz z fałszywym doradcą staje się o wiele bardziej wiarygodny, gdy oszust ma już dostęp do konta w sklepie internetowym. Menedżer haseł, także w wersji darmowej, przerywa ten łańcuch. Dla tych, którzy wolą papier, zamykany na klucz notes z hasłami trzymany w domu wciąż jest znacznie lepszy niż karteczka pod klawiaturą.
Zgłaszaj systematycznie. 33700 to francuski krajowy serwis zgłaszania niechcianych SMS-ów i połączeń, prowadzony przez operatorów. Przekaż wiadomość na numer 33700, a następnie odpowiedz, podając numer nadawcy, jeśli zostaniesz o to poproszony. To bezpłatne i to właśnie zasila listy blokujące. Dodatkowo platforma Cybermalveillance.gouv.fr wskazuje dalsze kroki, a Perceval na service-public.fr pozwala zgłosić oszukańcze użycie karty bankowej.
Czy RCS zmienia sytuację?
To prawdziwie dobra wiadomość ostatniego okresu. RCS (Rich Communication Services), następca SMS-a wdrażany przez operatorów i obsługiwany dziś zarówno przez iOS, jak i Androida, wprowadza pojęcie nieobecne w SMS-ie: zweryfikowanego nadawcę.
W ramach RCS Business Messaging firma musi potwierdzić swoją tożsamość u akredytowanego agregatora. Wiadomość dociera wówczas z logo, zweryfikowaną nazwą i odznaką weryfikacji wyświetlaną przez aplikację do wiadomości. Google Messages dodatkowo wzmocniło w 2025 i 2026 roku automatyczne wykrywanie oszustw, klasyfikując podejrzane wiadomości lokalnie na urządzeniu.
Są jednak dwa zastrzeżenia:
- Współistnienie tworzy szarą strefę. Dopóki klasyczny SMS funkcjonuje jako kanał zapasowy, oszust może celować właśnie w ten nieuwierzytelniony kanał. Wiadomość niezweryfikowana nie musi być oszukańcza — wiele MŚP jeszcze nie przeszło na RCS — ale wiadomość zweryfikowana stanowi solidną gwarancję.
- Odznaka chroni tożsamość, nie treść. Legalna marka może wysłać agresywną kampanię; odwrotnie, brak odznaki przy wiadomości wyglądającej na bankową powinien być odtąd traktowany jako pełnoprawny sygnał ostrzegawczy.
Nawyk do wyrobienia jest więc prosty: przy wiadomości o finansowej stawce szukaj odznaki. Jeśli jej nie ma, bez wyjątku zastosuj procedurę weryfikacji poza kanałem.
Co warto zapamiętać
- Pole nadawcy SMS-a jest deklaratywne: można je podrobić, a fałszywa wiadomość trafia wtedy do prawdziwego wątku Twojego banku.
- Oględziny wzrokowe w tym konkretnym przypadku nic nie dają. Chroni wyłącznie weryfikacja poza kanałem.
- Francuski system uwierzytelniania numerów (referencyjny MAN opracowany przez Arcep) mocno ograniczył połączenia podszywające się pod francuskie numery, ale nie obejmuje identyfikatorów alfanumerycznych.
- Żaden bank nie prosi o zatwierdzanie, dyktowanie ani potwierdzanie czegokolwiek w trakcie rozmowy telefonicznej.
- RCS ze zweryfikowanym nadawcą to pierwsza strukturalna odpowiedź na problem; jego pełne wdrożenie zajmie jeszcze trochę czasu.
SMS został zaprojektowany w 1992 roku jako techniczny kanał serwisowy między inżynierami. Trzydzieści cztery lata później stał się bramą do naszych kont bankowych — nigdy nie otrzymawszy odpowiednich mechanizmów uwierzytelniania. Dopóki ta luka nie zostanie zasypana, najlepszą ochroną pozostaje bardzo ludzki odruch: wyjść poza kanał, żeby sprawdzić.
