Od lat walka z oszukańczymi SMS-ami opiera się na prostym założeniu: wiadomość od oszusta musi przez coś przejść. Przez platformę wysyłkową, przez agregatora, przez operatora. A skoro wiadomość płynie jakąś rurą, można ją odfiltrować, zablokować i dotrzeć do nadawcy.
W 2026 roku to założenie się rozpada. Nowa generacja oszustw nie korzysta już z żadnej rury. Wiadomość nie pochodzi od Orange, Play, T-Mobile ani Plusa. Nie pochodzi od żadnego operatora. Jest emitowana bezpośrednio w eter, z urządzenia leżącego w bagażniku samochodu, który jedzie albo stoi zaparkowany pięćdziesiąt metrów od ciebie.
To właśnie SMS Blaster — nazywany też „fałszywym przekaźnikiem", „fake base station" albo, w starszym słowniku służb specjalnych, kuzynem IMSI catchera. A sedno problemu jest takie: twój operator nie może odfiltrować wiadomości, której nigdy nie widział.
Czym naprawdę jest SMS Blaster
Telefon komórkowy nie jest urządzeniem nieufnym. Jego podstawowa logika, odziedziczona po pierwszych standardach GSM z lat 90., polega na łączeniu się z anteną oferującą najlepszy sygnał. Nie żąda od tej anteny żadnych dokumentów. W najstarszych generacjach sieci — zwłaszcza w 2G — uwierzytelnianie działa jednokierunkowo: sieć sprawdza, czy twoja karta SIM jest legalna, ale twój telefon nie sprawdza, czy legalna jest antena.
SMS Blaster wykorzystuje dokładnie tę lukę projektową. Urządzenie mieści się w torbie sportowej albo w sztywnej walizce: radio programowalne, wzmacniacz, akumulator, czasem zwykły laptop do sterowania całością. Podszywa się pod stację bazową, zmusza okoliczne telefony do porzucenia 4G lub 5G i przejścia na 2G, a następnie wstrzykuje im bezpośrednio SMS-a.
Zasięg zależy od mocy i otoczenia — zwykle od kilkudziesięciu do kilkuset metrów w gęstej zabudowie miejskiej. Poruszając się powoli handlową aleją, linią metra nadziemnego albo zakorkowaną arterią, jedno urządzenie może w ciągu godziny dotrzeć do kilku tysięcy telefonów.
Kluczowy punkt: tak rozesłany SMS nie istnieje w systemach operatora. Nie pojawia się w żadnym rejestrze rozliczeniowym, żadnej platformie nadzoru, żadnym narzędziu antyspamowym. Dla sieci ta wiadomość nigdy nie została wysłana.
Dlaczego zwykłe zabezpieczenia nie mają tu nic do powiedzenia
Operatorzy znacząco rozbudowali swój arsenał w ostatnich latach. Francuski system 33700, prowadzony przez Association Française du Multimédia Mobile, pozwala zgłosić niechciany SMS i doprowadzić do odcięcia nadużywanych numerów. Filtry sieciowe wykrywają masowe wysyłki, adresy URL z czarnych list i powtarzalne wzorce. Mechanizm MAN (Mécanisme d'Authentification des Numéros) mocno utrudnił podszywanie się pod numery telefonów.
Wszystkie te mechanizmy dzielą jedno założenie: wiadomość przechodzi przez nadzorowaną infrastrukturę. SMS Blaster to założenie wysadza w powietrze.
| Klasyczne zabezpieczenie | Skuteczność wobec SMS Blastera |
|---|---|
| Filtr antyspamowy operatora | Zerowa — wiadomość nie przechodzi przez sieć |
| Zgłoszenie na 33700 | Przydatne dla śledztwa, ale nie ma numeru do odcięcia |
| Blokada numeru nadawcy | Zerowa — nadawca to dowolnie wybrana etykieta |
| Wykrywanie masowej wysyłki | Zerowa — po stronie operatora nie widać żadnego wolumenu |
| Aplikacja antyspamowa w telefonie | Częściowa — zależy od treści i adresu URL |
Jest jeszcze jedna, bardziej perfidna konsekwencja: wyświetlany nadawca jest całkowicie wybrany przez atakującego. Może to być nazwa banku, nazwa urzędu, znany numer skrócony. W niektórych telefonach, jeśli etykieta dokładnie odpowiada nazwie legalnego nadawcy obecnego już w twoich rozmowach, oszukańcza wiadomość może trafić do istniejącego wątku — tuż pod prawdziwe wiadomości z twojego banku albo z zakładu emerytalnego. To właśnie ten mechanizm grupowania po nazwie nadawcy tłumaczy niedawne fale fałszywych SMS-ów wyświetlających dokładną nazwę oficjalnych instytucji.
Co zawierają te wiadomości
Treść nie różni się zasadniczo od zwykłego smishingu — zmienia się wektor. Wracają wielkie klasyki, w nienagannej polszczyźnie:
- Zatrzymana paczka: opłata celna 1,79 € do pilnego uregulowania, z linkiem do sklonowanej strony płatności.
- Fałszywa wiadomość bankowa: „Zainicjowano operację na 749 €. Jeśli to nie ty, kliknij tutaj."
- Urząd: nieopłacony mandat, aktualizacja karty ubezpieczenia zdrowotnego, zwrot z ubezpieczenia dodatkowego, uregulowanie konta emerytalnego.
- Opłata za autostradę lub parking: szczególnie skuteczne, gdy blaster porusza się wzdłuż ciągu komunikacyjnego.
- Fałszywy kod weryfikacyjny, po którym następuje telefon: „Dzień dobry, dział antyfraudowy pana banku, widzimy próbę operacji na koncie."
Wyzwalacz emocjonalny jest zawsze ten sam: pilna sprawa finansowa lub urzędowa, w połączeniu z działaniem, które trzeba wykonać w niecałe dwadzieścia cztery godziny.
Dlaczego ta technika się rozpowszechniła
Złożyły się na to trzy czynniki.
Sprzęt stał się przystępny cenowo. Programowalne radia SDR, początkowo narzędzia badawcze i krótkofalarskie, kosztują dziś kilkaset euro. Wiedza potrzebna, by je wykorzystać niezgodnie z przeznaczeniem, krąży w zamkniętych społecznościach w postaci gotowych zestawów.
Koszt krańcowy jest zerowy. Wysłanie SMS-a przez operatora kosztuje i zostawia ślad księgowy. Rozesłanie stu tysięcy wiadomości z blastera kosztuje tylko prąd. Zmienia to model ekonomiczny oszustwa: nie trzeba już kont na słupy, SIM boksów ani współpracujących agregatorów.
Śledzenie jest praktycznie niemożliwe. Urządzenie nie ma abonamentu, nie ma użytecznego identyfikatora sieciowego, nie ma adresu IP. Jedyny sposób, by je zneutralizować, to zlokalizować je fizycznie — praca radionamiarowa, która wymaga czasu, sprzętu i koordynacji między ANFR (francuską Agencją Krajową ds. Częstotliwości), operatorami i służbami. Takie operacje istnieją i przynoszą efekty, ale najpierw ktoś musi zgłosić anomalię.
Warto przy okazji przypomnieć, że użycie takiego urządzenia jest we Francji obwarowane surowymi sankcjami karnymi: nadawanie na przydzielonych częstotliwościach bez zezwolenia, zakłócanie działania sieci łączności elektronicznej, oszustwo w zorganizowanej grupie. Grożące kary liczy się w latach więzienia.
Ustawienia, które naprawdę robią różnicę
Nie istnieje przycisk „anty-SMS Blaster". Istnieje jednak działanie o bezpośrednim i mierzalnym efekcie: wyłączenie 2G.
Skoro atak opiera się na wymuszonym przełączeniu na protokół, w którym antena nie musi udowadniać swojej tożsamości, telefon, który po prostu odmawia korzystania z 2G, staje się znacznie trudniejszy do podejścia.
Na Androidzie
Większość nowszych wersji Androida oferuje dedykowany przełącznik. Ścieżka zależy od producenta, ale wygląda mniej więcej tak: Ustawienia → Sieć i internet → Karty SIM → wybierz SIM → „Zezwalaj na 2G", do wyłączenia. Niektórzy producenci umieszczają tę opcję w menu „Bezpieczeństwo i prywatność".
Android w najnowszych wersjach proponuje również tryb ochrony sieci, który odrzuca niezaszyfrowane połączenia i potrafi ostrzec, gdy telefon wykryje stację bazową o nietypowym zachowaniu. Jeśli twoje urządzenie to oferuje, włącz tę opcję.
Na iPhonie
iOS nie ma osobnego przełącznika 2G. Za to Tryb Blokady (Ustawienia → Prywatność i ochrona → Tryb Blokady) wyłącza m.in. przechodzenie na niezabezpieczone sieci komórkowe. To tryb restrykcyjny, pomyślany dla profili szczególnie narażonych — dziennikarzy, adwokatów, polityków — i ograniczający część codziennych zastosowań. Dla większości użytkowników nie jest zalecany na co dzień, ale można go włączyć doraźnie w sytuacji podwyższonego ryzyka.
Pozostałe przydatne ustawienia
- Włącz filtrowanie nieznanych nadawców (iOS: Ustawienia → Aplikacje → Wiadomości; Android: Wiadomości → Ustawienia → Ochrona przed spamem).
- Konsekwentnie odmawiaj instalacji aplikacji spoza App Store lub Play Store. To główna brama wejściowa dla drugiego etapu ataku.
- Sprawdź, czy uwierzytelnianie dwuskładnikowe twoich wrażliwych kont nie opiera się wyłącznie na SMS-ie. Aplikacja uwierzytelniająca, a jeszcze lepiej fizyczny klucz bezpieczeństwa FIDO2, ucina cały łańcuch: nawet zdobywszy twoje dane logowania, atakujący pozostaje zablokowany.
Słowo o zasięgu sieci: w miejscach, gdzie sygnał 4G jest słaby, twój telefon naturalnie przechodzi na 2G — co czyni cię bardziej podatnym. Jeśli mieszkasz w strefie z częściowo białą plamą, wzmacniacz sygnału komórkowego z homologacją, zainstalowany zgodnie z przepisami, ogranicza to stałe przełączanie. Uwaga: legalne są wyłącznie modele zatwierdzone i zgłoszone.
Jak rozpoznać, że właśnie zostałeś namierzony
Kilka sygnałów, z osobna niewinnych, razem nabiera sensu:
- Telefon nagle przełącza się na 2G lub „E", choć jesteś w środku miasta, w zwykle dobrze pokrytym zasięgiem miejscu.
- Na kilka sekund tracisz sieć, a tuż po ponownym połączeniu przychodzi SMS.
- Wiadomości nie ma nigdzie w historii twojego konta abonenckiego u operatora.
- Kilka osób wokół ciebie — w tym samym wagonie, tym samym holu, tej samej kolejce — dostaje tę samą wiadomość w tej samej chwili.
- Wyświetlany nadawca jest całkowicie wiarygodny, ale link prowadzi do domeny nieznacznie różniącej się od oficjalnej.
Ten ostatni punkt zasługuje na stały odruch: nigdy nie oceniaj SMS-a po wyświetlanym nadawcy, zawsze po tym, czego od ciebie żąda. Instytucja publiczna nigdy nie prosi SMS-em o pełne dane bankowe. Francuski Ameli przypomina o tym wprost na swojej stronie: Assurance Maladie nigdy nie żąda w wiadomości danych bankowych ani numeru ubezpieczenia społecznego.
Właściwy odruch w trzech krokach
Nie klikaj. To banalne, ale to jedyny punkt zerwania, który należy w całości do ciebie. Nieprzeczytany SMS nic nie robi. Przeczytany SMS też nic nie robi. Dopiero kliknięcie uruchamia dalszy ciąg.
Zweryfikuj kanałem, który sam wybrałeś. Nie numerem z wiadomości, nie linkiem: aplikacją bankową otwartą ręcznie, numerem wydrukowanym na odwrocie karty, oficjalną stroną wpisaną samodzielnie w przeglądarce.
Zgłoś. Przekaż wiadomość na 33700 (bezpłatnie, u wszystkich operatorów), a w razie szkody złóż zawiadomienie przez dedykowany serwis internetowy. Portal Cybermalveillance.gouv.fr kieruje do właściwych instytucji i udostępnia przejrzyste karty postępowania. Nawet bez możliwego do namierzenia nadawcy takie zgłoszenia zasilają statystyki, które uruchamiają operacje lokalizacyjne ANFR.
Jeśli szkoda już się stała
Kliknięcie poszło, dane logowania zostały wpisane. Pozostaje okno na działanie i jest ono krótkie.
- Natychmiast zastrzeż kartę w swoim banku, a następnie przez międzybankową usługę zastrzegania kart pod numerem 0 892 705 705.
- Zmień hasła do objętych ryzykiem kont z innego urządzenia — komputera, jeśli podejrzewasz, że telefon jest zainfekowany. Menedżer haseł zapobiega przy okazji łańcuchowemu przejęciu kont, które współdzielą to samo hasło.
- Sprawdź przekierowania połączeń i reguły przekazywania SMS-ów. Częstą praktyką jest dyskretne włączenie przekierowania, by przechwytywać kody weryfikacyjne.
- Udokumentuj wszystko: zrzuty ekranu z datą i godziną wiadomości, numeru, czasu. To właśnie te elementy zrobią różnicę przy składaniu zawiadomienia i przy wniosku o zwrot środków od banku, uregulowanym artykułami L.133-18 i następnymi francuskiego kodeksu monetarnego i finansowego.
Jeśli pomagasz bliskiej osobie, która czuje się mniej pewnie w tych sprawach, praktyczny poradnik o cyberbezpieczeństwie na co dzień, położony na stole w salonie, często robi więcej niż długi wykład: pozwala wracać do tematu wielokrotnie, bez poczucia, że to lekcja.
Co zmieni się w najbliższych latach
Dobra wiadomość jest taka, że wektor techniczny powoli wymiera. 2G jest oficjalnie wygaszane u francuskich operatorów — Orange i SFR uruchomiły swoje harmonogramy wyłączania, pozostali idą w ich ślady. Kiedy żaden telefon w obiegu nie będzie mógł przełączyć się na 2G, ta konkretna kategoria ataków straci większość swojego pola manewru.
Zła wiadomość jest taka, że badacze już dokumentują warianty wymierzone w 4G, wykorzystujące komunikaty sygnalizacyjne poprzedzające pełne uwierzytelnienie. Zasada pozostaje ta sama: między momentem, w którym telefon wykrywa antenę, a momentem, w którym weryfikuje jej wiarygodność, istnieje okno. Z każdą generacją się zwęża, ale jeszcze nie znika.
Do tego czasu warto trzymać się prostego rozumowania, które wykracza daleko poza SMS Blastery: pozorne pochodzenie wiadomości nigdy nie jest dowodem. Ani nazwa nadawcy, ani wątek rozmowy, w którym się pojawia, ani jakość redakcji. Liczy się wyłącznie pytanie o to, do czego wiadomość cię nakłania — a jeśli działanie dotyczy twoich pieniędzy, danych logowania lub danych osobowych, zasługuje na weryfikację gdzie indziej, drogą, którą wybierzesz samodzielnie.
