Istnieje kategoria oszustw, w której SMS służy wyłącznie do tego, żeby twój telefon zadzwonił po raz drugi. Wiadomość czasem nie zawiera nawet linku. Brzmi po prostu tak:
„ALERT: nierozpoznana próba płatności na kwotę 749,00 € w ELEC-STORE. Jeśli to nie Ty wykonałeś tę operację, nic nie rób — skontaktuje się z Tobą doradca.”
Żadnego linku do kliknięcia, żadnego formularza, nic, co przypominałoby kampanie phishingowe, przed którymi cię ostrzegano. Czytasz ponownie, szukasz haczyka, nie znajdujesz go. Trzy minuty później dzwoni telefon — a na ekranie wyświetla się numer twojego oddziału, ten sam, który sam zapisałeś w kontaktach. I to właśnie wtedy oszustwo zaczyna się naprawdę.
Banque de France w regularnych pracach Observatoire de la sécurité des moyens de paiement od kilku lat zwraca uwagę na wzrost liczby oszustw określanych jako „przez manipulację”: takich, w których przestępca nie potrzebuje żadnej luki technicznej, ponieważ to sama ofiara zatwierdza operacje. SMS nie jest już bronią. Jest dzwonkiem do drzwi.
Dlaczego ten scenariusz zastąpił zwykły link-pułapkę
Przez dziesięć lat bankowy smishing działał według prostego modelu: SMS, link, fałszywa strona logowania, zebrane dane dostępowe. Ten model traci skuteczność z trzech bardzo konkretnych powodów.
Po pierwsze, banki upowszechniły silne uwierzytelnianie operacji. Kradzież loginu i hasła już nie wystarcza: ktoś musi jeszcze nacisnąć „Zatwierdź” w aplikacji. Po drugie, przeglądarki i systemy mobilne blokują coraz większą część fałszywych domen w ciągu kilku godzin. Po trzecie, ludzie przyswoili sobie odruch „nie klikam w linki z SMS-ów”.
Oszuści przesunęli więc problem: skoro i tak ofiara musi sama zatwierdzić operację, równie dobrze można uzyskać to zatwierdzenie słowem. To wolniejsze, bardziej rzemieślnicze, ale nieporównanie bardziej opłacalne. Link-pułapka przynosi dane logowania odsprzedawane za kilka euro. Udana rozmowa telefoniczna przynosi przelew na cztero- lub pięciocyfrową kwotę.
SMS zachowuje w tym mechanizmie precyzyjną rolę:
- buduje oczekiwanie. Nie odbierasz nieoczekiwanego telefonu, odbierasz telefon zapowiedziany. Normalna nieufność wobec nieznanego numeru się nie uruchamia;
- wprowadza słownictwo. „Nierozpoznana operacja”, „dział antyfraudowy”, „zabezpieczenie środków”: słowa dalszej rozmowy są już położone na stole;
- wyzwala adrenalinę. Siedemset czterdzieści dziewięć euro to wystarczająco dużo, by podnieść puls, i wystarczająco mało, by pozostać wiarygodnym.
Wyświetlony numer twojego banku niczego już nie dowodzi
Punktem przełomowym, w niemal wszystkich relacjach, jest ekran połączenia. Wyświetlony numer to prawdziwy numer obsługi klienta, czasem nawet bezpośredni numer oddziału. Niektóre ofiary opowiadają, że w trakcie rozmowy sprawdzały numer na odwrocie karty płatniczej — i był identyczny.
To nie magia, to spoofing telefoniczny: fałszowanie numeru dzwoniącego. Protokół zestawiania połączeń powstał w czasach, gdy nie przewidywano, że ktoś będzie kłamał na temat swojej tożsamości, a informacja „numer dzwoniącego” pozostaje w istocie deklaratywna.
Francja zaostrzyła przepisy, wprowadzając mechanizm uwierzytelniania numerów (tzw. MAN), narzucony operatorom przez Arcep od lat 2024–2025: połączenia przychodzące z zagranicy i wyświetlające nieuwierzytelniony francuski numer stacjonarny muszą być blokowane. Rozwiązanie mocno ograniczyło część oszukańczego telemarketingu, ale ma martwe pola: francuskie numery komórkowe legalnie używane w roamingu, pule numerów wynajmowane operatorom o niskich standardach, połączenia wykonywane z terytorium kraju przez bramki.
Zapamiętaj prostą zasadę, aktualną w 2026 roku tak samo jak w 2020: wyświetlony numer nie jest tożsamością. To etykieta naklejona na kopercie przez tego, kto ją wysyła.
To samo dotyczy wątku SMS. Oszukańcza wiadomość wysłana z tego samego nadawcy alfanumerycznego co twój bank trafia do istniejącej konwersacji, pod prawdziwymi wiadomościami, z prawdziwą historią powyżej. Złudzenie jest kompletne.
Scenariusz, faza po fazie
Oszukańcze rozmowy przebiegają według zaskakująco stabilnych scenariuszy. Znajomość ich struktury jest cenniejsza niż jakakolwiek lista „sygnałów ostrzegawczych”, ponieważ struktura się nie zmienia.
Faza 1 — Przejęcie kontroli przez legitymizację
Rozmówca przedstawia się imieniem, nazwiskiem, podaje „numer służbowy”. Podaje informacje, które powinien znać wyłącznie twój bank: cztery ostatnie cyfry karty, twój oddział, czasem jedno lub dwa ostatnie obciążenia. Te dane pochodzą z wycieków baz komercyjnych, sprzedawanych hurtem. Niczego nie dowodzą, ale kupują twoje zaufanie w dziesięć sekund.
Faza 2 — Odwrócenie ról
Niczego od ciebie nie chce. Przeciwnie — on cię chroni. To najskuteczniejsze odwrócenie w całym scenariuszu: ofiara przestaje się zastanawiać „z kim rozmawiam”, a zaczyna „jak z tego wyjść”. Czujność zamienia się we współpracę.
Faza 3 — Test lojalności
„Nigdy nie poproszę Pana o kod, wie Pan o tym, prawda?” To zdanie, wypowiedziane przez samego oszusta, całkowicie rozbraja. Powtarza słowo w słowo oficjalne zalecenie banków, a jego wypowiedzenie sprawia, że klasyfikujesz rozmówcę po właściwej stronie.
Faza 4 — „Zabezpieczenie środków”
To serce oszustwa. Trzeba, jak twierdzi, przenieść twoje pieniądze w bezpieczne miejsce na „konto buforowe”, „konto depozytowe” lub „konto techniczne” na czas zablokowania skompromitowanej karty. Za chwilę dostaniesz powiadomienie w aplikacji: to anulowanie oszukańczej operacji, wystarczy je zatwierdzić. W rzeczywistości zatwierdzasz przelew wychodzący, dodanie odbiorcy albo przypisanie jego telefonu w miejsce twojego.
Faza 5 — Blokada czasu
„Proszę zostać na linii, proszę się nie rozłączać, procedura wygasa za cztery minuty.” Dopóki jesteś przy telefonie, nie możesz zadzwonić do banku ani zapytać kogoś bliskiego o zdanie. Presja czasu nie pełni żadnej funkcji technicznej: służy wyłącznie temu, by uniemożliwić ci weryfikację.
To nie ma nic wspólnego z naiwnością
Trzeba to powiedzieć jasno, bo wstyd jest główną przeszkodą w zgłaszaniu tych spraw: te oszustwa nie są wymierzone w ludzi łatwowiernych. Są wymierzone w ludzi zajętych. Menedżer na spotkaniu, rodzic pilnujący dziecka, rzemieślnik na budowie, ktoś, kto właśnie złożył zamówienie online. Celem nie jest osoba, celem jest moment podzielonej uwagi.
Scenariusze piszą zespoły, które testują je na tysiącach połączeń i zachowują to, co konwertuje. Wobec zawodowca od perswazji pracującego osiem godzin dziennie inteligencja nie chroni. Chroni wyłącznie procedura: reguła ustalona na chłodno, stosowana mechanicznie na gorąco.
Procedura, która ucina sprawę, w czterech krokach
1. Rozłącz się. Zawsze. Nie istnieje żadna sytuacja bankowa, absolutnie żadna, która wymagałaby pozostania na linii. Prawdziwy doradca doskonale zrozumie, że oddzwaniasz. Fałszywy doradca będzie błagał, żebyś się nie rozłączał — to najlepszy istniejący test.
2. Oddzwoń, ale nie natychmiast i nie z tego samego połączenia. Dwie klasyczne pułapki. Oddzwonienie na numer, z którego właśnie dzwoniono, niczego nie dowodzi: oszust mógł podszyć się pod numer, którego nie kontroluje, i trafisz do prawdziwego banku, co niesłusznie uspokoi cię co do pierwszej rozmowy. Przede wszystkim jednak na niektórych liniach stacjonarnych połączenie może pozostać otwarte przez kilka sekund, jeśli dzwoniący się nie rozłączy: wybierz numer z innego urządzenia albo odczekaj pełną minutę. Korzystaj wyłącznie z numeru widniejącego na odwrocie karty lub w aplikacji.
3. Otwórz aplikację samodzielnie i przeczytaj pełną treść każdego powiadomienia, zanim cokolwiek zatwierdzisz. Francuskie aplikacje bankowe wyświetlają dziś rzeczywisty przedmiot operacji: „Dodanie odbiorcy X”, „Przelew na 4 200 €”, „Nowe zaufane urządzenie”. Ten opis jest jedyną prawdą w całej rozmowie. Przeczytaj go powoli, w razie potrzeby na głos.
4. Zapisz wszystko, od razu. Godzina połączenia, wyświetlony numer, podane imię, wymienione kwoty. Zrzut ekranu pierwszego SMS-a jest wart więcej niż wspomnienie. Jeśli sprawa trafi do zawiadomienia o przestępstwie, te elementy zrobią różnicę.
Dla osób zarządzających kontami z domowego komputera zalaminowana lista kontrolna położona obok stanowiska — albo zwykła kartonowa fiszka napisana ręcznie i wsunięta w sztywną koszulkę na dokumenty — działa nieproporcjonalnie skutecznie: zamienia odruch emocjonalny w gest administracyjny.
Szczególny przypadek opiekunów osób bliskich
Ten scenariusz jest wyjątkowo groźny w przypadku osób starszych, z powodu, który nie ma nic wspólnego z jasnością umysłu: wychowały się w czasach, gdy odbierało się telefon i ufało głosowi, który się przedstawia. Odmowa rzucenia komuś słuchawki to głęboko zakorzeniona uprzejmość.
Kilka konkretnych udogodnień, bez infantylizowania:
- zainstalowanie telefonu stacjonarnego z dużymi klawiszami z filtrowaniem połączeń i białą listą, który przepuszcza znane numery, a pozostałe kieruje na komunikat;
- ustalenie rodzinnego hasła, słowa znanego wyłącznie wam, o które należy zapytać każdego, kto dzwoni w imieniu instytucji;
- powieszenie na ścianie, obok telefonu, gotowego zdania: „Nigdy nie załatwiam spraw przez telefon, oddzwonię do mojego oddziału” — wystarczy zwykły magnetyczny notes przyczepiony do lodówki;
- sprawdzenie, czy limit przelewów internetowych jest ustawiony na niską kwotę i czy jego podniesienie wymaga wizyty w oddziale.
Limit jest prawdopodobnie najskuteczniejszym środkiem z całej tej listy. Nie zależy od żadnej czujności i działa nawet w dniu wielkiego zmęczenia.
A jeśli już się stało: co mówi prawo
Francuski kodeks monetarny i finansowy (artykuły L133-18 i następne) ustanawia mocną zasadę: w przypadku nieautoryzowanej transakcji płatniczej bank zwraca środki niezwłocznie, z wyjątkiem oszustwa lub rażącego niedbalstwa klienta. Cała batalia prawna toczy się więc wokół dwóch pojęć: „autoryzowana” i „rażące niedbalstwo”.
Stanowisko sądów ewoluowało raczej na korzyść ofiar. Cour de cassation w kilku orzeczeniach wydanych od 2023 roku uznał, że podanie kodu po zwiedzeniu przez wyrafinowany mechanizm oszukańczy — zwłaszcza gdy numer banku został podrobiony — nie stanowi automatycznie rażącego niedbalstwa. Ciężar dowodu spoczywa na banku, który musi precyzyjnie wykazać uchybienie, a nie poprzestać na stwierdzeniu, że klient „przecież zatwierdził”.
Nie oznacza to automatycznego zwrotu środków. Oznacza, że odmowę z zasady można podważyć.
Kolejne kroki, po kolei:
| Etap | Gdzie | Termin |
|---|---|---|
| Zastrzec kartę | Numer alarmowy banku, następnie potwierdzenie na piśmie | Natychmiast |
| Złożyć pisemną reklamację | List polecony do oddziału z żądaniem zwrotu na podstawie L133-18 | Maksymalnie 13 miesięcy |
| Złożyć zawiadomienie | Komisariat, żandarmeria lub zgłoszenie online | Bez zwłoki |
| Zgłosić SMS | Platforma 33700 (przez przesłanie wiadomości) | Natychmiast |
| Zwrócić się do mediatora | Mediator bankowy, bezpłatnie | Po pisemnej odmowie banku |
| Zaalarmować | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | W dowolnym momencie |
Praktyczna rada, o której często się zapomina: wyślij pismo reklamacyjne nawet wtedy, gdy doradca powiedział ci ustnie, że „sprawa jest w toku”. Ustne ustalenia nie zostawiają śladu, a trzynastomiesięczny termin biegnie. Zapas kopert na listy polecone albo po prostu zeszyt do ewidencji korespondencji pozwala nie pogubić tych dat.
Trzy mity do wyrzucenia
„Mój bank nigdy do mnie nie zadzwoni.” Nieprawda — i to właśnie umożliwia to oszustwo. Działy antyfraudowe rzeczywiście dzwonią, często z nieznanych numerów. Właściwa zasada nie brzmi „mój bank nie dzwoni”, tylko „nigdy niczego nie załatwiam podczas połączenia przychodzącego”.
„SMS bez linku jest nieszkodliwy.” To dokładnie opisany tu model. Brak linku jest argumentem uwiarygodniającym, a nie dowodem niewinności.
„Chroni mnie 2FA.” Uwierzytelnianie dwuskładnikowe chroni przed tym, kto kradnie twoje dane logowania, a nie przed tym, kto grzecznie prosi cię o naciśnięcie „Zatwierdź”. Cały wysiłek oszustów skupia się dziś na tym ostatnim geście.
Co warto zapamiętać
Oszustwa oparte na manipulacji nie zwalcza się antywirusem, filtrem ani aplikacją. Zwalcza się je jednym zdaniem wyuczonym na pamięć i rozsądnym limitem przelewów.
A zdanie brzmi tak: „Rozłączę się i oddzwonię do mojego banku na numer podany na odwrocie karty.” Wypowiedziane spokojnie, kończy 100% oszukańczych rozmów. Żaden oszust nie zostaje po tym na linii. Żaden prawdziwy doradca się nie obrazi.
Jeśli chcesz pójść dalej, francuskie zasoby publiczne są solidne i bezpłatne: karty postępowania Cybermalveillance.gouv.fr, publikacje Observatoire de la sécurité des moyens de paiement przy Banque de France, ostrzeżenia DGCCRF oraz serwis 33700 do zgłaszania oszukańczych SMS-ów przez zwykłe przesłanie wiadomości. Praktyczny poradnik cyberbezpieczeństwa dla osób prywatnych w wersji papierowej może też posłużyć jako punkt wyjścia do rozmowy w rodzinie, zwłaszcza z nastolatkami czy starszymi rodzicami — temat łatwiej przechodzi przy książce niż w formie bezpośredniego pouczenia.
A jeśli już coś zatwierdziłeś: nie trać godziny na wstyd. Ta godzina liczy się do zablokowania przelewu.
