Istnieje zasadnicza różnica między SMS-em informującym, że Twoje konto bankowe zostało zablokowane, a takim, który upomina się o 2,80 € nieopłaconego przejazdu autostradą. Pierwszy uruchamia alarm: to poważne, to groźne, to podejrzane. Drugi nie uruchamia niczego. Jest drobny, prawdopodobny, wręcz nudny — i właśnie dlatego stał się w 2026 roku jedną z najbardziej dochodowych kampanii smishingowych we Francji.
„Wjechał Pan/Pani na A10 dnia 03/09 bez zarejestrowanego przejazdu. Kwota do zapłaty: 2,80 €. Prosimy o uregulowanie w ciągu 48 h, aby uniknąć podwyższenia opłaty o 90 €."
Nikt nie wpada w panikę, czytając coś takiego. Wzdycha się. Myśli się, że pewnie urządzenie nie zadziałało. I płaci się, bo trzy euro nie są warte trzydziestu minut śledztwa. Tyle że formularz nie prosi o trzy euro: prosi o numer karty, datę ważności, kod CVV, a często także o kod otrzymany SMS-em kilka minut później. W tym momencie z konta znika już nie 2,80 €.
Dlaczego to właśnie kierowcy skupiają tyle kampanii
Kierowca jest idealnym celem z bardzo prostego powodu: zgodnie z prawem otrzymuje mnóstwo krótkich wiadomości związanych z samochodem. Urządzenie do e-myta, zawiadomienie o mandacie, opłata dodatkowa za postój, przypomnienie o przeglądzie technicznym, powiadomienie od ubezpieczyciela, ładowarka do auta elektrycznego, aplikacja parkingowa. Kanał SMS jest już przesycony autentycznymi, bezosobowymi komunikatami, co sprawia, że fałszywkę praktycznie nie sposób wykryć samą lekturą.
Do tego dochodzą trzy czynniki charakterystyczne dla obecnego okresu.
Niejasność regulacyjna. Między stopniowym znikaniem fizycznych bramek na kilku ciągach autostradowych, przejściem na system free-flow, w którym płaci się po przejeździe, a upowszechnieniem opłat dodatkowych za postój obsługiwanych przez prywatnych operatorów, kierowca przestał orientować się, kto właściwie ma prawo żądać od niego pieniędzy i w jakim terminie. Zwłaszcza system free-flow stworzył bezprecedensową sytuację: wiadomość domagająca się płatności kilka dni po przejeździe może być całkowicie legalna. Oszuści wykorzystali tę lukę już w pierwszym kwartale 2026 roku.
Wycieki danych. Bazy krążące na czarnym rynku zawierają często dużo więcej niż numer telefonu: nazwisko, kod pocztowy, czasem markę pojazdu lub częściowy numer rejestracyjny. Wiadomość wyświetlająca „Państwa pojazd o numerze XX-123-XX" staje się natychmiast wiarygodna, nawet jeśli oszust nigdy nie widział Twojego samochodu.
Niska kwota. To prawdziwa innowacja. Kampania żądająca 400 € mandatu osiąga niski współczynnik kliknięć i generuje mnóstwo zgłoszeń. Kampania żądająca 2,80 €, 4,10 € czy 17,50 € przechodzi pod radarem emocjonalnym i pod radarem bankowych systemów antyfraudowych, które przepuszczają mikropłatności bez żadnych oporów.
Cztery rodziny krążących wiadomości
1. Nieopłacony przejazd autostradą
To najbardziej widoczna kampania od wiosny 2026 roku, zwłaszcza poprzez podszywanie się pod znane marki e-myta, takie jak Ulys, Bip&Go czy Ulys/Vinci. Wiadomość mówi o niezarejestrowanym przejeździe, wadliwym urządzeniu albo nieuregulowanej opłacie w systemie free-flow. Kwota jest śmiesznie niska, a groźba podwyżki ma konkretną wysokość i datę.
Cecha rozpoznawcza: link nigdy nie prowadzi do oficjalnej domeny operatora. Spotyka się warianty w rodzaju ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Żaden francuski operator nie obsługuje płatności w równoległej domenie utworzonej tydzień wcześniej.
2. Fałszywy mandat od ANTAI
Agence nationale de traitement automatisé des infractions (ANTAI) to oficjalna instytucja wysyłająca we Francji zawiadomienia o wykroczeniach drogowych. Podszywanie się pod nią jest masowe. SMS informuje o przekroczeniu prędkości, wykroczeniu zarejestrowanym przez fotoradar albo o zbliżającym się podwyższeniu mandatu.
Kluczowa rzecz do zapamiętania: ANTAI nie wysyła pierwotnych zawiadomień o mandacie SMS-em. Zawiadomienie przychodzi pocztą na adres widniejący w dowodzie rejestracyjnym albo trafia do konta osobistego na oficjalnej stronie antai.gouv.fr. SMS pojawiający się znikąd i żądający zapłaty mandatu, którego nigdy nie otrzymałeś listownie, to w ogromnej większości przypadków oszustwo. Cybermalveillance.gouv.fr regularnie przypomina o tym w swoich alertach dotyczących smishingu.
3. Opłata dodatkowa za postój
Od czasu depenalizacji płatnego parkowania słynny „FPS" jest zarządzany przez gminy lub ich operatorów. To idealne pole do popisu dla oszustów, bo zasady różnią się w zależności od miasta, a mało kto wie, jak wygląda autentyczne wezwanie. Wiadomość mówi o nieopłaconym postoju w mieście, w którym rzeczywiście byłeś — czasem po prostu z rachunku prawdopodobieństwa, czasem dzięki zakupionym danym.
4. Odwrócony zwrot pieniędzy
Bardziej przebiegła odmiana: nikt niczego od Ciebie nie chce, to Tobie należy się pieniądze. „W związku z błędem w fakturowaniu przysługuje Panu/Pani zwrot w wysokości 38,40 €. Prosimy podać dane bankowe, aby go otrzymać." Mechanizm psychologiczny odwraca się: już się nie boisz, tylko cieszysz. I przekazujesz numer konta, a nawet numer karty, nieznajomemu.
Co tak naprawdę chce zdobyć taka wiadomość
Trzeba rozróżnić trzy cele, bo reakcja w każdym przypadku jest inna.
| Cel | Czego żąda formularz | Konsekwencja |
|---|---|---|
| Bezpośrednia płatność | Karta bankowa na „drobną" kwotę | Jednorazowe obciążenie, czasem ukryta subskrypcja |
| Przechwycenie karty | Karta + kod CVV + kod autoryzacyjny | Oszukańcze zakupy do wysokości limitu |
| Profilowanie | Nazwisko, adres, numer rejestracyjny, e-mail | Odsprzedaż i późniejsze kampanie celowane |
Trzeci przypadek jest najbardziej niedoceniany. Formularz, który nie prosi o pieniądze, nie jest nieszkodliwy: uzupełnia kartotekę, która posłuży do oszustwa „na fałszywego doradcę bankowego" dwa miesiące później — a to już zdecydowanie droższa historia.
Weryfikacja w trzydzieści sekund
Dobra wiadomość jest taka, że istnieje prosta metoda działająca dla wszystkich czterech rodzin wiadomości, niewymagająca żadnych kompetencji technicznych.
1. Nie klikaj w nic. Bez wyjątków. Link jest jedynym punktem wejścia ataku; dopóki go nie otworzysz, nic się nie dzieje.
2. Skorzystaj z oficjalnego kanału, który już znasz. W przypadku mandatu: antai.gouv.fr, wpisany ręcznie w pasku adresu. W przypadku e-myta: aplikacja lub strona Twojego operatora, tego, u którego zawarłeś umowę. W przypadku FPS: oficjalna strona gminy. Jeśli kwota jest rzeczywiście należna, pojawi się na Twoim koncie osobistym. Jeśli nie — wiadomość była fałszywa.
3. Przyjrzyj się kwocie i terminowi. Pilność wyrażona w 24 lub 48 godzinach to charakterystyczny podpis. Francuska administracja działa w terminach liczonych w tygodniach i za pomocą listów.
4. Sprawdź spójność z własnym życiem. Czy jechałeś tą trasą? Parkowałeś w tym mieście? Wiadomość o autostradzie, na której nigdy nie byłeś, dyskwalifikuje się sama.
5. Zgłoś. Numer 33700 pozostaje krajowym systemem zgłaszania oszukańczych SMS-ów: przekaż wiadomość na 33700, a następnie wyślij numer nadawcy, gdy zostaniesz o to poproszony. Usługa jest bezpłatna. Równolegle platforma Signal Conso i strona cybermalveillance.gouv.fr prowadzą rejestr trwających kampanii.
Zasada ogólna: to nigdy nie Ty masz udowadniać, że wiadomość jest fałszywa. To wiadomość ma udowodnić, że jest prawdziwa — a może to zrobić wyłącznie poprzez kanał, który sam wybrałeś.
Szczególny przypadek kierowcy w podróży
Czujność spada, gdy jesteśmy w drodze. Czytamy wiadomość na parkingu przy autostradzie, między dwoma etapami, zmęczeni, z 12 % baterii. To dokładnie ten moment, w który celują kampanie, koncentrując wysyłki na piątkowe wieczory, początki wakacji i weekendy wielkich wyjazdów.
Kilka praktycznych nawyków zmniejsza ryzyko skuteczniej niż jakakolwiek abstrakcyjna porada:
- Miej dobrze zamocowany uchwyt samochodowy na telefon, żeby nigdy nie musieć czytać wiadomości w pośpiechu ani podczas jazdy: SMS przeczytany na postoju to SMS lepiej oceniony.
- Zabierz ze sobą powerbank do smartfona: rozładowany telefon to brak możliwości sprawdzenia czegokolwiek na oficjalnej stronie, a więc pokusa, by „szybko załatwić sprawę" z otrzymanego linku.
- Trzymaj dokumenty pojazdu — dowód rejestracyjny, polisę ubezpieczeniową, druk zgłoszenia szkody — w jednym samochodowym etui na dokumenty. Kiedy wiesz, gdzie są Twoje papiery, sprawdzasz numer rejestracyjny w dziesięć sekund, zamiast ufać liczbie wyświetlonej w SMS-ie.
Nic z tego nie jest spektakularne, ale oszustwo na fałszywą opłatę drogową nie rozgrywa się na poziomie techniki: rozgrywa się w tych pięciu sekundach, w których decydujemy, czy sprawdzić, czy nie.
Jeśli już kliknąłeś i zapłaciłeś
Ten błąd zdarza się często i nie ma w nim nic wstydliwego. Liczy się wyłącznie szybkość.
W ciągu godziny: zadzwoń do banku lub zastrzeż kartę w jego aplikacji. Międzybankowy numer alarmowy do zastrzegania kart to 0 892 705 705. Zażądaj wyraźnie zablokowania karty, a nie tylko zakwestionowania obciążenia.
Tego samego dnia: zmień hasła do kont korzystających z tego samego adresu e-mail, który podałeś w formularzu, zaczynając od samej skrzynki pocztowej. Jeśli przekazałeś kod otrzymany SMS-em, przyjmij, że powiązane konto jest przejęte. Menedżer haseł, a w ostateczności papierowy notes na hasła schowany poza zasięgiem wzroku, pozwala uniknąć używania wszędzie tej samej kombinacji — a to właśnie oszuści wykorzystują w następnej kolejności.
W ciągu tygodnia: złóż zawiadomienie o przestępstwie. Wstępne zgłoszenie online jest możliwe na stronie francuskiego Ministerstwa Spraw Wewnętrznych, ale osobiste zgłoszenie na komisariacie lub posterunku żandarmerii pozostaje skuteczniejsze, jeśli chodzi o uzyskanie protokołu przydatnego dla banku. Zachowaj zrzuty ekranu SMS-a, znaczniki czasu, numer nadawcy i wyciąg z obciążeniem.
Prawo po Twojej stronie: artykuł L. 133-18 francuskiego kodeksu monetarnego i finansowego przewiduje natychmiastowy zwrot kwoty nieautoryzowanej transakcji płatniczej zgłoszonej w terminie. Bank może odmówić, powołując się na rażące niedbalstwo klienta, ale Cour de cassation wielokrotnie przypominał, m.in. w orzeczeniach z 2023 i 2024 roku, że samo przekazanie danych w następstwie oszukańczej wiadomości podszywającej się pod oficjalną instytucję nie wystarcza, by uznać takie niedbalstwo za rażące. W razie odmowy zwróć się do rzecznika bankowego, a następnie w razie potrzeby do Banque de France.
Zmniejszanie powierzchni ataku z wyprzedzeniem
Nie da się powstrzymać oszusta przed wysłaniem SMS-a, ale można zmniejszyć prawdopodobieństwo bycia celem, a przede wszystkim prawdopodobieństwo połknięcia haczyka.
- Rozdzielaj swoje dane kontaktowe. Używanie zapasowego adresu e-mail do rejestracji w serwisach parkingowych, ładowania aut czy przewozów współdzielonych ogranicza możliwość skorelowania wycieków.
- Włącz filtr antyspamowy SMS w telefonie. Zarówno Android, jak i iOS oferują filtrowanie nieznanych nadawców — niedoskonałe, ale przydatne.
- Nigdy nie zapisuj karty bankowej w aplikacjach parkingowych, jeśli nie jest to absolutnie konieczne. Wirtualna karta jednorazowego użytku, oferowana przez wiele banków, mechanicznie ogranicza szkody.
- Uprzedź bliskich. Najbardziej narażeni kierowcy to często ci, którzy rzadko korzystają z cyfrowych narzędzi i którzy w obliczu SMS-a wspominającego o urzędzie wolą zapłacić „dla świętego spokoju". Poradnik o cyberbezpieczeństwie na co dzień zostawiony pod ręką w rodzinnym domu zdziała więcej niż długie kazanie.
Co warto zapamiętać
Fałszywy SMS o opłacie drogowej lub mandacie nie został zaprojektowany, by oszukiwać łatwowiernych. Został zaprojektowany, by oszukiwać ludzi w pośpiechu, na kwotę na tyle niską, że nie zasługuje na weryfikację. To oszustwo masowe: nie zarabia dużo na jednej ofierze, ale przy każdej fali dociera do setek tysięcy numerów.
Jego słabość jest niezmienna i taka pozostanie: potrzebuje, żebyś kliknął w link. Administracja nigdy nie żąda zapłaty przez adres URL otrzymany w wiadomości; zawsze zostawia możliwość samodzielnego wejścia na oficjalną stronę. W dniu, w którym ten odruch stanie się automatyczny — sprawdzać gdzie indziej, nigdy w samej wiadomości — kampania się zawali, niezależnie od stopnia jej wyrafinowania.
A jeśli wątpliwości pozostają: autentyczne wezwanie spokojnie poczeka trzydzieści minut na weryfikację. Oszustwo — nie. I na tym polega cała różnica.
