Istnieje kategoria oszustw SMS-owych, o której mówi się niewiele, bo w ogóle nie wygląda na oszustwo. Żadnej fałszywej strony banku, żadnego sześciocyfrowego kodu do pilnego przepisania, żadnej groźby zawieszenia konta. Tylko dobra wiadomość: zostałeś wylosowany, twoja lojalność została nagrodzona, twoja paczka jest gratis, wystarczy opłacić 1,95 € kosztów wysyłki.
Sześć tygodni później na wyciągu bankowym widnieją trzy obciążenia po 49,90 € na rzecz firmy, o której nigdy nie słyszałeś. A najbardziej nieprzyjemna część tej historii jest taka: gdzieś na stronie, którą wypełniłeś w trzydzieści sekund, było napisane – jasnoszarą czcionką, rozmiarem 7, pod przyciskiem zatwierdzenia – że wykupujesz odnawialny abonament miesięczny.
W żargonie anglosaskim nazywa się to negative option billing, po polsku – domyślną subskrypcją albo ukrytym abonamentem. To nie jest dokładnie kradzież. To coś znacznie gorszego w praktyce: to prawna szara strefa zaprojektowana tak, by przypominała umowę.
Dlaczego ta pułapka działa lepiej niż fałszywa strona banku
Klasyczne kampanie smishingowe – fałszywe SMS-y od poczty, od ubezpieczyciela zdrowotnego, od twojego banku – opierają się na strachu i presji czasu. Działają, ale napotykają dziś rosnący opór: opinia publiczna została masowo uświadomiona, banki przypominają, że nigdy nie proszą o kod SMS-em, a Cybermalveillance.gouv.fr powtarza ten komunikat od lat.
SMS z prezentem całkowicie omija tę mentalną obronę. Nie uruchamia żadnego z alarmów, których nauczyłeś się słuchać:
- Nie prosi o żadne hasło.
- Nie prosi o żaden kod autoryzacji bankowej – no dobrze, prosi, ale później i na śmiesznie niską kwotę, którą zatwierdzasz bez zastanowienia.
- Niekoniecznie podszywa się pod instytucję publiczną: często ogranicza się do mglistych wzmianek o „twoim operatorze", „dużej sieci handlowej", „naszym partnerze".
- Nie stawia cię w sytuacji zagrożenia, tylko sprawia ci przyjemność.
Dźwignią psychologiczną nie jest tu strach, lecz wzajemność i efekt posiadania: od chwili, w której powiedziano ci, że coś już do ciebie należy, rezygnacja z tego jest odbierana jako strata. Dodaj do tego odliczanie na ekranie („twoja nagroda jest zarezerwowana przez 9 min 47 s") i czas na refleksję znika.
Oszuści wykorzystujący ten model nie próbują ukraść 800 € za jednym razem. Próbują ściągać po 49 € przez sześć miesięcy od tysięcy osób, z których każda z osobna nigdy nie złoży zawiadomienia o tak niewielką kwotę.
Mechanizm krok po kroku
1. Wiadomość-przynęta
SMS jest krótki, często bez błędów i coraz bardziej spersonalizowany – to zasługa krzyżowania danych z wyciekłych baz. Powtarzające się sformułowania w 2026 roku:
- „Dzień dobry [Imię], Twoje zamówienie nr 8842 kwalifikuje się do prezentu. Wybierz go tutaj: …"
- „Twoja taryfa uprawnia Cię do 1 darmowego akcesorium w tym miesiącu."
- „Zwrot 74,32 € dostępny na Twoim koncie. Potwierdź swoje dane."
- „Test produktu: odbierz [znana marka] i zatrzymaj go."
Link prowadzi do świeżo zarejestrowanej, krótkiej domeny bez związku z przywoływaną marką, często umieszczonej pod egzotycznym rozszerzeniem lub na generycznej subdomenie.
2. Lejek kwalifikacyjny
Strona nie prosi od razu o kartę. Najpierw każe ci zagrać: kręcące się koło fortuny, trzy skrzynie do otwarcia, quiz z czterech pytań. Ten objazd nie jest dekoracją. Ma dwie funkcje:
- Stopniowo cię zaangażować. Ktoś, kto odpowiedział już na cztery pytania, dużo trudniej rezygnuje na piątym etapie.
- Zebrać twoje dane. Wiek, sytuacja życiowa, zainteresowania, kod pocztowy: te informacje bywają warte więcej niż sam abonament na rynku odsprzedaży baz danych.
3. Karta płatnicza „na koszty"
Potem przychodzi prośba o dane karty, uzasadniona mikroskopijną kwotą: 1 €, 1,95 €, 2,90 € udziału w kosztach przesyłki. Zatwierdzasz w aplikacji bankowej – silne uwierzytelnianie działa bez zarzutu, potwierdza płatność, którą rzeczywiście autoryzowałeś.
I to jest sedno problemu: PSD2 i uwierzytelnianie dwuskładnikowe nie chronią cię przed umową, którą podpisałeś bez czytania. Weryfikują, że to naprawdę ty, a nie że transakcja jest uczciwa.
4. Niewidzialna klauzula
Pod przyciskiem, w bloku szarego tekstu na białym tle, zdanie w rodzaju: „Zatwierdzając, przystępujesz do usługi Premium w cenie 49,90 € miesięcznie po 3-dniowym okresie próbnym, z możliwością rezygnacji w każdej chwili." Pierwsze obciążenie pojawia się tydzień później, z nieprzejrzystym opisem na wyciągu: trzyliterowy skrót, spółka zarejestrowana poza Francją, zero związku z pierwotnym SMS-em.
Co mówi prawo francuskie – i dlaczego jest po twojej stronie
Wbrew temu, co sądzi wiele ofiar, ta praktyka nie jest legalna tylko dlatego, że klauzula istniała. Prawo francuskie i europejskie bardzo ściśle reguluje ten rodzaj sprzedaży na odległość.
| Zasada | Podstawa prawna | Co to dla ciebie oznacza |
|---|---|---|
| Wyraźna zgoda na każdą dodatkową płatność | Art. L. 224-2 Kodeksu konsumenckiego | Wstępnie zaznaczone pole lub utopiona w tekście wzmianka nie stanowią zgody |
| Wprowadzająca w błąd praktyka handlowa | Art. L. 121-2 i następne | Ukrycie istotnej informacji (rzeczywistej ceny) jest przestępstwem |
| Prawo odstąpienia w ciągu 14 dni | Art. L. 221-18 | W przypadku usługi biegnie od zawarcia umowy |
| Jasna i zrozumiała informacja przedumowna | Art. L. 221-5 | Jasnoszary tekst rozmiaru 7 pod przyciskiem nie jest ani jasny, ani czytelny |
| Reklamacja nieautoryzowanej płatności | Art. L. 133-18 Kodeksu monetarnego i finansowego | Zwrot środków przez bank, pod pewnymi warunkami |
Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) regularnie publikuje ostrzeżenia dotyczące takich „konkursów", które kończą się abonamentami. Zgłoszenia przyjmuje platforma SignalConso. W wymiarze cyberprzestępczym Cybermalveillance.gouv.fr kieruje do odpowiednich instytucji, a platforma Pharos przyjmuje zgłoszenia nielegalnych treści.
Jeśli chodzi o sam SMS: każdą oszukańczą wiadomość można bezpłatnie przesłać dalej pod numer 33700, krajowy system zgłaszania spamu SMS zarządzany przez Association Française du Multimédia Mobile we współpracy z operatorami.
Co robić, jeśli pieniądze już są pobierane
Kolejność ma znaczenie. Wiele ofiar zaczyna od napisania do obsługi klienta firmy – to najgorszy pierwszy krok, bo traci się dni, w trakcie których pojawiają się kolejne obciążenia.
Krok 1 – Zablokuj przepływ, nie tylko go zakwestionuj
Zadzwoń do banku i poproś wprost o:
- blokadę wobec danego akceptanta (zatrzymanie przyszłych obciążeń od tego odbiorcy);
- a jeśli wątpliwości są poważne, o wymianę karty. Nowy numer unieważnia cykliczne autoryzacje.
Uwaga: zwykłe „zastrzeżenie z powodu utraty" nie zawsze wystarcza, by zatrzymać już autoryzowane płatności cykliczne. Użyj dokładnych słów: „kwestionuję cykliczną autoryzację płatności i żądam jej zablokowania".
Krok 2 – Zażądaj zwrotu na piśmie
Skieruj do banku pisemną reklamację (listem poleconym lub przez bezpieczną skrzynkę w bankowości elektronicznej), powołując się na brak wyraźnej zgody. Dołącz:
- zrzut ekranu otrzymanego SMS-a;
- adres strony, jeśli nadal masz go w historii;
- wykaz obciążeń;
- dokładną chronologię zdarzeń.
Ustawowy termin na zakwestionowanie nieautoryzowanej transakcji wynosi 13 miesięcy od daty obciążenia (art. L. 133-24 Kodeksu monetarnego i finansowego). Nie pozwól, by ten termin upłynął w przekonaniu, że „i tak jest już za późno".
Krok 3 – Rozwiąż umowę formalnie, nawet jeśli jest wadliwa
Wyślij list polecony z wypowiedzeniem i odstąpieniem od umowy na adres podany w informacjach prawnych strony. To dokument, który później ci się przyda. Wiele osób nie zachowuje żadnego papierowego śladu swoich działań; przechowywanie potwierdzeń odbioru w segregatorze z przezroczystymi koszulkami pozwala uniknąć odtwarzania całej dokumentacji w pośpiechu pół roku później.
Krok 4 – Zgłoś sprawę
- SignalConso (DGCCRF) w sprawie praktyki handlowej.
- 33700 w sprawie SMS-a.
- Zawiadomienie na policji lub żandarmerii, jeśli kwota jest znacząca, albo zgłoszenie wstępne przez internet.
- Organizacja konsumencka (UFC-Que Choisir, CLCV), jeśli bank się opiera.
Siedem odruchów, które neutralizują tego typu pułapkę
1. Żadna loteria cię nie zna. Nie możesz wygrać w grze, w której nie brałeś udziału. Sama ta zasada eliminuje 90 % przypadków.
2. Nieufnie podchodź do mikropłatności. Celowo śmiesznie niska kwota to sygnał ostrzegawczy, nie gwarancja. Jej jedyną rolą jest zdobycie danych twojej karty i twojego potwierdzenia.
3. Czytaj to, co jest pod przyciskiem, a nie nad nim. Kluczowe warunki są systematycznie umieszczane po wezwaniu do działania, w mało kontrastowym kolorze.
4. Rozdziel środki płatnicze. Do zakupów na nieznanych stronach zarezerwuj wirtualną kartę jednorazową albo doładowywaną kartę przedpłaconą. Limit mechanicznie ogranicza szkody. Większość francuskich banków oferuje tę usługę w swojej aplikacji.
5. Sprawdzaj wyciągi co miesiąc. Obciążenie na 49 € przechodzi niezauważone u kogoś, kto patrzy tylko na saldo. Zwykły zeszyt do domowych rachunków albo arkusz kalkulacyjny wystarczy, by wyłapać nieznany opis transakcji.
6. Nie podawaj wszędzie swojego głównego numeru. Każdy formularz konkursowy, każde losowanie w galerii handlowej zasila bazy, które są potem odsprzedawane. Do mniej istotnych rejestracji świetnie sprawdzi się drugi numer na przedpłaconej karcie SIM bez zobowiązań.
7. Nigdy nie odpowiadaj „STOP" na oszukańczą wiadomość. Ustawowe „STOP" działa wyłącznie w przypadku zadeklarowanego marketingu zidentyfikowanych firm. Wobec oszusta jedynie potwierdza, że numer jest aktywny.
Szczególny przypadek osób wrażliwych
Ten typ oszustwa uderza bardzo nierównomiernie. Osoby samotne, słabo radzące sobie z interfejsami albo używające smartfona bez odpowiednich okularów po prostu nigdy nie zobaczą adnotacji zapisanej rozmiarem 7. To nie jest brak uwagi: to celowo wrogi projekt.
Kilka konkretnych działań, bez infantylizowania:
- Włączyć powiększenie tekstu i wysoki kontrast w ustawieniach dostępności telefonu.
- Do dłuższego czytania z ekranu okulary lupowe o dużym powiększeniu sprawiają, że stają się czytelne zapisy prawne, które interfejsy celowo ukrywają.
- Ustalić w rodzinie prostą i nienegocjowalną zasadę: żadnych danych karty płatniczej wpisywanych z linku otrzymanego SMS-em, nigdy, bez względu na powód.
- Ustawić niski limit płatności na karcie, podnoszony doraźnie w razie potrzeby.
Dla tych, którzy chcą szerzej zrozumieć mechanizmy tych manipulacji, kilka popularnonaukowych książek o cyberbezpieczeństwie skierowanych do szerokiego odbiorcy bardzo dobrze tłumaczy zasady inżynierii społecznej bez wymagania wiedzy technicznej.
A jeśli tylko kliknąłeś?
Kliknięcie w link bez wypełniania czegokolwiek jest w ogromnej większości przypadków bez bezpośrednich konsekwencji na zaktualizowanym smartfonie. Prawdziwe ryzyko zaczyna się przy wpisywaniu danych. Mimo to warto zachować kilka rozsądnych środków ostrożności:
- Sprawdź, czy twój system operacyjny jest zaktualizowany – to najskuteczniejsza i najbardziej zaniedbywana ochrona.
- Na Androidzie skontroluj, czy nie zainstalowała się aplikacja spoza oficjalnego sklepu.
- Jeśli podałeś adres e-mail, spodziewaj się wzrostu ilości spamu; rozważ menedżera haseł, by rozdzielić dostępy, jeśli używasz wszędzie tego samego hasła.
- Obserwuj swoje konta przez trzy miesiące.
Co warto zapamiętać
SMS z prezentem to uśmiechnięta twarz smishingu. Nie atakuje twojego banku, atakuje twoje czytanie. Nie stawia na panikę, stawia na trzydzieści sekund entuzjazmu i na typografię zaprojektowaną tak, by ją zignorować.
Środek zaradczy nie jest ani techniczny, ani skomplikowany: żadnej płatności, nawet na jedno euro, nie wykonuje się z linku otrzymanego SMS-em. Jeśli oferta jest prawdziwa, znajdziesz ją także wpisując samodzielnie adres oficjalnej strony w przeglądarce. A jeśli istnieje wyłącznie w SMS-ie – nigdy nie istniała.
W razie wątpliwości przekaż wiadomość na numer 33700, zgłoś ją na SignalConso i usuń. Prezent, który wymaga twojej karty płatniczej, nie jest prezentem: to faktura w przebraniu.
