Jest takie doświadczenie, które przeżył niemal każdy, a o którym prawie nikt nie mówi: otrzymanie wiadomości, która ewidentnie nie była przeznaczona dla nas.
Czasem jest niewinna — „Spotykamy się o 19:00 przed kinem?" od nieznajomego. Czasem znacznie mniej niewinna: kod logowania do konta bankowego, wynik badania lekarskiego, wezwanie, wiadomość o rozstaniu, zdjęcie dziecka. O nic nie prosiłeś, niczego nie zhakowałeś, niczego nie przechwyciłeś. Wiadomość trafiła do Ciebie, bo ktoś pomylił jedną cyfrę albo dlatego, że Twój numer należał wcześniej do kogoś innego.
I wtedy pojawia się seria pytań, na które nikt nigdy nie udzielił Ci odpowiedzi. Czy wolno mi to przeczytać? Czy powinienem odpowiedzieć? Czy czymś ryzykuję? Jak sprawić, żeby to się skończyło?
Dlaczego Twój numer odbiera cudze wiadomości
Istnieją cztery główne przyczyny i każda wymaga innej reakcji.
Numer po recyklingu. To zdecydowanie najczęstszy i najbardziej uporczywy przypadek. We Francji rozwiązany numer komórkowy nie jest niszczony: wraca do puli operatora, który musi odczekać okres „kwarantanny", zanim przydzieli go ponownie. ARCEP reguluje ten mechanizm w krajowym planie numeracji, ale okres ten wynosi zaledwie kilka miesięcy. Po jego upływie Twój zupełnie nowy numer ma już za sobą wcześniejsze życie: abonament na siłownię, konto klienta u dostawcy energii, rejestrację na platformie dostawczej, kartotekę w laboratorium analiz. Wszystkie te bazy danych nadal piszą do poprzedniego właściciela — czyli do Ciebie.
Błąd przy wpisywaniu. Przestawiona cyfra przy ladzie w aptece, recepta podyktowana przez telefon, formularz wypełniony w pośpiechu. Wiadomość trafia do nieznajomego, który nawet nie wie, że istnieje jakiś problem.
Nigdy nieczyszczona baza klientów. Firma dysponuje numerem zdobytym osiem lat temu i nigdy nie sprawdziła, czy nadal jest aktualny. Tymczasem RODO nakłada wymóg prawidłowości danych (art. 5 ust. 1 lit. d): dane nieprawidłowe muszą zostać „usunięte lub sprostowane bez zbędnej zwłoki". W praktyce ten obowiązek jest masowo ignorowany w bazach marketingowych.
Oszukańczy SMS udający pomyłkę. To czwarty przypadek i najbardziej podstępny. Wiadomość w stylu „Cześć, tu Marie, widzimy się jutro?" nie jest pomyłką: to początek oszustwa opartego na relacji, często prowadzącego do wyłudzenia w ramach fałszywych inwestycji w kryptowaluty. Scenariusz, w literaturze z zakresu cyberbezpieczeństwa nazywany pig butchering, zawsze zaczyna się od fałszywej wiadomości wysłanej „przez pomyłkę", żeby nawiązać rozmowę.
Rozróżnienie tych czterech przypadków to pierwsza rzecz, jaką należy zrobić, ponieważ w ostatnim z nich sposób postępowania jest radykalnie inny.
Co mówi francuskie prawo: przeczytanie nie jest przewinieniem, wykorzystanie już tak
Wiele osób sądzi, że samo otwarcie wiadomości nieprzeznaczonej dla nich stanowi już przestępstwo. To nieprawda, a to rozróżnienie zasługuje na jasne postawienie.
Tajemnica korespondencji jest chroniona przez art. 226-15 francuskiego kodeksu karnego, który przewiduje karę roku pozbawienia wolności i 45 000 € grzywny za „popełnione w złej wierze otwarcie, usunięcie, opóźnienie lub przechwycenie korespondencji, która dotarła lub nie dotarła do adresata, a jest skierowana do osób trzecich". Liczą się tu dwa elementy:
- zła wiara: potrzebny jest zamiar. Bierne otrzymanie SMS-a na własny telefon i przeczytanie go w powiadomieniu nie ma nic wspólnego z zamiarem;
- przechwycenie: przepis dotyczy tego, kto sięga po cudzą korespondencję, a nie tego, komu została ona dostarczona przez pomyłkę.
Mówiąc wprost: nie popełniasz żadnego przestępstwa, czytając wiadomość, która sama trafiła do Ciebie. Czerwona linia przebiega gdzie indziej.
Nielegalne nie jest to, że zobaczyłeś wiadomość. Nielegalne jest jej wykorzystanie, rozpowszechnienie albo posłużenie się nią, by uzyskać dostęp do czegoś, co do Ciebie nie należy.
Trzy zachowania zmieniają sytuację:
- Wykorzystanie kodu otrzymanego przez pomyłkę. Jeśli kod autoryzacji bankowej lub kod logowania trafia do Ciebie i z niego korzystasz, natychmiast wychodzisz z obszaru pomyłki i wchodzisz w obszar nieuprawnionego dostępu do systemu automatycznego przetwarzania danych (art. 323-1 kodeksu karnego), a w zależności od zastosowania — również oszustwa.
- Rozpowszechnianie treści. Opublikowanie zrzutu ekranu intymnej wiadomości otrzymanej przez pomyłkę, z czytelnym numerem lub nazwiskiem, może stanowić naruszenie prywatności (art. 226-1), a jeśli chodzi o treści o charakterze seksualnym — rozpowszechnianie bez zgody (art. 226-2-1).
- Przechowywanie i wykorzystywanie danych o zdrowiu. Wynik badania, który trafił do Ciebie, pozostaje objęty tajemnicą lekarską. Ty osobiście jej nie podlegasz, ale jakiekolwiek wykorzystanie naraziłoby Cię na odpowiedzialność.
Innymi słowy, prawo całkiem dobrze chroni niezamierzonego odbiorcę — pod warunkiem że zachowuje się on jak niezamierzony odbiorca.
Czy odpowiadać? Zasada trzech odpowiedzi
To najczęstsze pytanie, a właściwa odpowiedź zależy od rodzaju wiadomości.
Przypadek 1: wiadomość osobista, ewidentnie od człowieka
Znajomy pisze do znajomego, rodzic pisze do dziecka, ktoś ustala spotkanie. Tutaj odpowiedź jest nie tylko dozwolona, ale i przydatna: „Dzień dobry, to nie jest numer osoby, której Pan/Pani szuka, wiadomość trafiła do niewłaściwego odbiorcy." Jedno zdanie, neutralne, bez komentowania treści.
Taka odpowiedź pozwala uniknąć najgorszego: sytuacji rodzinnej pilnej sprawy, w której nikt nie rozumie, dlaczego druga strona nie odpowiada.
Jedna ostrożność: odpowiadaj SMS-em, a nie oddzwaniając — zwłaszcza jeśli wyświetlany numer jest zagraniczny albo zaczyna się od prefiksu o podwyższonej opłacie.
Przypadek 2: zautomatyzowana wiadomość od firmy lub instytucji
Wizyta lekarska, ponaglenie do zapłaty faktury, powiadomienie o dostawie, kod bezpieczeństwa. Nie odpowiadaj na samą wiadomość: większość takich wysyłek pochodzi z numerów skróconych, na które nie da się odpowiedzieć, a Twoja odpowiedź trafi w próżnię.
Skuteczne działanie polega na skontaktowaniu się bezpośrednio z instytucją jej oficjalnym kanałem — a nie przez link zawarty w SMS-ie — i zażądaniu usunięcia lub sprostowania numeru. Możesz wyraźnie powołać się na prawo do sprostowania przewidziane w art. 16 RODO. Sformułowanie, które działa:
„Państwa firma wysyła na mój numer, którego jestem właścicielem od [data], SMS-y zawierające dane osobowe osoby trzeciej. Na podstawie art. 16 RODO wnoszę o sprostowanie lub usunięcie tego numeru w danej kartotece oraz o potwierdzenie dokonanej aktualizacji."
Jeśli firma nie zareaguje w ciągu miesiąca, CNIL przyjmuje skargi online dokładnie z tego powodu. To nie jest marginalne zastosowanie tego mechanizmu: nienależyte prowadzenie baz kontaktowych jest w pełni zasadnym powodem skargi.
Przypadek 3: wiadomość, która pachnie scenariuszem
„Dzień dobry, czy to doktor Chen?" „Przepraszam, czy to numer Sophie?" „Wybacz, zły numer… z jakiego jesteś regionu?"
Nie odpowiadaj nic. Absolutnie nic, nawet „zły numer". Każda odpowiedź potwierdza, że linia jest aktywna i czytana przez człowieka, co zwiększa wartość Twojego numeru w odsprzedawanych bazach.
Zgłoś wiadomość pod numer 33700, oficjalną francuską platformę zgłaszania niechcianych i oszukańczych SMS-ów, prowadzoną przez operatorów pod egidą władz publicznych. Przekaż wiadomość na 33700, a następnie wyślij numer nadawcy, gdy platforma o to poprosi. Możesz też złożyć zgłoszenie na cybermalveillance.gouv.fr, gdzie scentralizowane jest wsparcie dla ofiar.
Szczególny przypadek kodów weryfikacyjnych, które Cię nie dotyczą
Otrzymywanie jednorazowych kodów przeznaczonych dla kogoś innego jest czymś zwyczajnym, gdy dziedziczy się numer po recyklingu — i jest to zarazem najbardziej delikatny scenariusz.
Najpierw dobra wiadomość: zazwyczaj oznacza to, że poprzedni właściciel nie zaktualizował swoich kont online, a nie że ktoś próbuje włamać się do Twoich.
Ale dwie sytuacje powinny wzbudzić czujność:
| Co otrzymujesz | Co to prawdopodobnie oznacza | Reakcja |
|---|---|---|
| Pojedynczy kod, raz w miesiącu | Stare konto, nigdy niezaktualizowane | Skontaktować się z usługodawcą, zażądać usunięcia |
| Seria kodów w ciągu kilku minut | Trwająca próba dostępu do konta powiązanego z tym numerem | Nie robić nic z kodem, zgłosić danemu serwisowi |
| Kod, po którym następuje telefon „z działu bezpieczeństwa" | Próba oszustwa wymierzona w Ciebie | Rozłączyć się, nigdy nie podawać kodu |
Trzeci przypadek warto znać: oszuści celowo wywołują wysłanie kodu, a następnie dzwonią do ofiary, podając się za dział bezpieczeństwa banku lub platformy, i proszą o kod „w celu weryfikacji". Żadna francuska instytucja nigdy nie poprosi o podanie kodu przez telefon. To zasada numer jeden, przypominana zarówno przez Fédération bancaire française, jak i przez ubezpieczycieli.
Jeśli odziedziczyłeś numer i regularnie otrzymujesz kody, warto też przeprowadzić audyt własnych kont: przeniesienie uwierzytelniania dwuskładnikowego z SMS-a do dedykowanej aplikacji, a nawet na fizyczny klucz bezpieczeństwa FIDO2, likwiduje problem u źródła. Poradnik o codziennym cyberbezpieczeństwie to rozsądna inwestycja, jeśli temat wydaje Ci się niejasny: SMS pozostaje najsłabszym składnikiem uwierzytelniania w obecnym ekosystemie, a ANSSI nie zaleca go już jako drugiego składnika przy zastosowaniach wrażliwych.
Jak odzyskać kontrolę, gdy Twój numer pochodzi z recyklingu
Jeśli wiadomości napływają nieprzerwanie i z wielu źródeł, to nie jest jednorazowa pomyłka: Twój numer krąży w dziesiątkach baz. Metoda, która działa, składa się z czterech etapów.
1. Zrób inwentaryzację przez dwa tygodnie. Zapisuj każdego nadawcę, charakter wiadomości i częstotliwość. Wystarczy zwykły notes na spirali, ale najważniejszy jest ślad: pomoże Ci ustalić priorytety i ewentualnie udokumentować skargę do CNIL.
2. Zajmij się rozpoznawalnymi nadawcami jeden po drugim. Do każdej rozpoznawalnej instytucji wyślij żądanie sprostowania na podstawie RODO. To żmudne, ale to jedyne działanie, które definitywnie zatrzymuje strumień wiadomości. Licz na trzy do czterech tygodni na jedną sprawę.
3. Włącz filtry w telefonie. Zarówno iOS, jak i Android pozwalają filtrować nieznanych nadawców do osobnej zakładki i zablokować numer w dwóch ruchach. Na Androidzie filtr antyspamowy w Wiadomościach Google przechwytuje sporą część zautomatyzowanych wysyłek. Na iPhonie opcja „Filtruj nieznanych nadawców" w ustawieniach Wiadomości robi to samo. Filtry niczego nie usuwają, ale sprawiają, że szum staje się znośny.
4. Wpisz numer do Bloctel. Publiczny system sprzeciwu wobec marketingu telefonicznego nie obejmuje SMS-ów marketingowych w taki sam sposób jak połączeń, ale ogólnie oczyszcza sytuację. Od wejścia w życie zmian legislacyjnych dotyczących uprzedniej zgody marketing bez wyraźnego przyzwolenia jest coraz surowiej karany przez DGCCRF.
A jeśli to Ty wysyłasz pod zły numer?
Problem ma symetryczną stronę, o której mówi się jeszcze mniej.
Jeśli zorientujesz się, że wysłałeś wrażliwą wiadomość do niewłaściwego odbiorcy, wiedz, że dostarczonego SMS-a nie da się cofnąć: sieć nie zna funkcji „anuluj wysyłkę". RCS na Androidzie pozwala w niektórych konfiguracjach usunąć wiadomość u wszystkich, ale tylko wtedy, gdy obaj rozmówcy korzystają z RCS — co przy nieznajomym zdarza się rzadko.
To, co pozostaje możliwe:
- natychmiast wysłać drugą wiadomość z uprzejmą prośbą o usunięcie;
- jeśli wiadomość zawierała kod lub identyfikator, bezzwłocznie unieważnić ten kod, uruchamiając nowe uwierzytelnienie;
- jeśli wiadomość zawierała dane służbowe, powiadomić inspektora ochrony danych w swojej organizacji: przypadkowe ujawnienie danych osobowych osobie trzeciej stanowi naruszenie ochrony danych w rozumieniu art. 33 RODO, potencjalnie podlegające zgłoszeniu do CNIL w ciągu 72 godzin.
Najlepsza ochrona pozostaje prewencyjna: sprawdzić trzy ostatnie cyfry przed wysłaniem wiadomości zawierającej wrażliwe informacje i nigdy nie przesyłać SMS-em identyfikatora, kodu dostępu ani pełnego numeru karty. W przypadku haseł i loginów udostępnianych w rodzinie lub między współpracownikami menedżer haseł albo zwykły bezpieczny notes na hasła trzymany w domu całkowicie eliminuje potrzebę przesyłania ich wiadomościami.
Co warto zapamiętać
- Otrzymanie i przeczytanie wiadomości, która nie była przeznaczona dla Ciebie, nie jest przestępstwem; jej wykorzystanie, rozpowszechnienie lub użycie otrzymanego kodu — już tak.
- W przypadku pojedynczej wiadomości od człowieka: krótka, neutralna odpowiedź, bez komentowania treści.
- W przypadku wiadomości zautomatyzowanej: kontakt z instytucją jej oficjalnym kanałem i powołanie się na prawo do sprostowania (art. 16 RODO).
- W przypadku wiadomości próbującej nawiązać rozmowę: nie odpowiadać nic, przekazać na 33700.
- Żadnego kodu weryfikacyjnego nie podaje się przez telefon, nigdy i nikomu.
- Jeśli Twój numer pochodzi z recyklingu, tylko metodyczne oczyszczenie baz nadawców kończy napływ wiadomości; filtry w telefonie jedynie maskują szum.
Źle zaadresowany SMS to zawsze tylko jeden błąd więcej w systemie, który produkuje ich miliony dziennie. Ale bywa też fragmentem cudzego życia, który ląduje na Twoim ekranie. Właściwa postawa mieści się w jednym zdaniu: zgłosić błąd, niczego nie wykorzystywać i zrobić to, co trzeba, żeby się nie powtórzył.
