Jest piątek, godzina 17.40. Pakujesz swoje rzeczy. Telefon wibruje, nieznany numer, krótka wiadomość:
„Dzień dobry, tu Laurent. Jestem na spotkaniu, nie mogę odebrać. Potrzebuję Pana/Pani przy poufnej operacji, jest Pan/Pani dostępny/a?"
Laurent to imię Twojego dyrektora generalnego. Wiadomość jest uprzejma, bez błędów, bez linku, bez załącznika. Niczego nie żąda — jeszcze nie. Pyta tylko, czy jesteś pod telefonem. I właśnie dlatego, że o nic nie prosi, większość ludzi odpowiada „tak".
Smishing wymierzony w firmy długo traktowano jak problem działu IT, rozwiązywany filtrami na firmowej poczcie. W 2026 roku zmienił on drzwi wejściowe: przechodzi przez telefony komórkowe pracowników — teren, na którym pracodawca niczego nie filtruje, gdzie nie ma alertów bezpieczeństwa, a wiadomość ląduje pomiędzy SMS-em od dentysty a powiadomieniem ze szkoły.
Dlaczego to telefon stał się wybranym ogniwem
Firma, nawet mała, całkiem nieźle chroni swoje skrzynki pocztowe. Antyspam, baner „nadawca zewnętrzny", blokowanie wykonywalnych załączników, uwierzytelnianie wieloskładnikowe: fałszywy e-mail ma spore szanse zostać odsiany lub oznaczony, zanim ktokolwiek go przeczyta.
Służbowy SMS natomiast praktycznie nie istnieje jako uregulowany kanał komunikacji. W ogromnej większości organizacji pilna wymiana informacji wewnątrz firmy odbywa się przez telefon prywatny albo przez nienadzorowany telefon służbowy. W efekcie:
- Brak filtrowania porównywalnego z tym, jakie ma poczta elektroniczna.
- Brak banera ostrzegającego o zewnętrznym lub nietypowym nadawcy.
- Wąski ekran, na którym czyta się szybko, często na stojąco, często w ruchu.
- Społeczna norma zwięzłości: trzylinijkowy SMS bez formuł grzecznościowych nikogo nie dziwi, podczas gdy analogiczny e-mail wydałby się podejrzany.
Do tego dochodzi ogromna dostępność informacji o firmach. Oszust nie musi już niczego infiltrować: publiczne schematy organizacyjne, portale zawodowe, komunikaty prasowe, dane rejestrowe i ogłoszenia rekrutacyjne w zupełności wystarczą, by odtworzyć, kto kieruje firmą, kto prowadzi kadry i płace, kto zatwierdza przelewy i kto właśnie dołączył do zespołu. Nowa osoba w firmie jest zresztą statystycznie uprzywilejowanym celem: nie zna jeszcze zwyczajów panujących w organizacji i nie odważy się odmówić.
Cztery scenariusze, które powtarzają się najczęściej
1. Oszustwo „na prezesa" w wersji SMS
To scenariusz opisany na wstępie. Nigdy nie zaczyna się od prośby o pieniądze. Zaczyna się od niewinnego nawiązania kontaktu — „jest Pan/Pani dostępny/a?", „zmieniam numer, proszę zapisać ten" — którego jedynym celem jest uzyskanie pierwszej odpowiedzi. Ta odpowiedź zmienia charakter relacji: od chwili, gdy napiszesz „tak, słucham", jesteś już w rozmowie, a rozmowa tworzy dorozumiany obowiązek odpowiadania dalej.
Ciąg dalszy rzadko przybiera formę bezpośredniego przelewu. Częściej wybiera dyskretniejsze ścieżki: zakup elektronicznych kart podarunkowych „dla klienta", pilne przesłanie skanu dokumentu, przekazanie listy kontaktów albo zatwierdzenie płatności „przygotowanej już przez biuro rachunkowe".
Policja oraz publiczny serwis Cybermalveillance.gouv.fr od kilku lat dokumentują tę rodzinę oszustw określaną jako „fałszywe polecenie przelewu". Jej mobilna odmiana to tylko adaptacja do najszybszego kanału.
2. Fałszywy dział IT
Tutaj wiadomość imituje zgłoszenie serwisowe lub alert techniczny:
„[IT] Twoja sesja Microsoft wygasa dzisiaj. Zaloguj się ponownie, aby uniknąć zawieszenia konta: …"
Ten scenariusz celuje w hasło, a przede wszystkim w jednorazowy kod weryfikacyjny. Jego najskuteczniejszy wariant w 2026 roku łączy SMS z telefonem: najpierw dostajesz wiadomość, a potem bardzo spokojny rozmówca tłumaczy, że „obsługuje zgłoszenie" i prosi o podanie kodu, który właśnie otrzymałeś. Ten kod to ten sam, który oszust wywołał, próbując zalogować się na Twoje służbowe konto.
3. Zmiana numeru rachunku bankowego
Księgowa wersja oszustwa. Wiadomość podszywa się pod stałego dostawcę i informuje o zmianie numeru rachunku, czasem podając dokładny numer faktury — zdobyty przy wcześniejszym włamaniu na skrzynkę prawdziwego dostawcy. SMS służy jako przypomnienie lub potwierdzenie fałszywego e-maila: otrzymanie tej samej informacji dwoma różnymi kanałami tworzy wrażenie spójności, które działa wyjątkowo skutecznie.
4. Fałszywa wiadomość od HR
„Obowiązkowa aktualizacja Twoich danych pracowniczych do 15.09: zaświadczenie, numer rachunku i dokument tożsamości należy przesłać tutaj."
Ta kampania uderza bezpośrednio w pracownika, nie w firmę. Celem jest zebranie kompletnej tożsamości: zaświadczenia, numeru konta, numeru ubezpieczenia społecznego. Wystarczy, by zaciągnąć kredyty konsumenckie, przechwycić zwrot świadczenia albo zbudować dossier do kradzieży tożsamości, które ujawni się dopiero po miesiącach.
Co sprawia, że w 2026 roku te wiadomości trudno wykryć
Trzy zmiany obaliły dotychczasowe punkty odniesienia.
Jakość języka. Błędy ortograficzne i toporne tłumaczenia nie są już wiarygodną wskazówką. Teksty są dziś płynne, poprawnie interpunkcyjnie i dopasowane do słownictwa danej branży.
Wyświetlany numer. Podszywanie się pod identyfikator nadawcy pozwala wyświetlić nazwę zamiast numeru, czasem w wątku rozmowy z istniejącym kontaktem. Arcep i Fédération française des télécoms wsparły wdrożenie mechanizmu uwierzytelniania numerów — tzw. „MAN" — który ogranicza to zjawisko w przypadku połączeń, jednak ekosystem nadawców alfanumerycznych pozostaje niedoskonale szczelny.
Znajomość kontekstu. Oszust przywołuje prawdziwą nazwę projektu, prawdziwy termin, prawdziwą nazwę klienta. Ta informacja rzadko pochodzi z włamania: pochodzi z publikacji samej firmy.
Właściwe pytanie nie brzmi już „czy ta wiadomość jest wiarygodna?", lecz „czy ta prośba jest normalna w tym kanale?". Dyrektor proszący o operację finansową SMS-em to sytuacja nienormalna, nawet jeśli cała reszta wygląda idealnie.
Jedna zasada, która chroni najlepiej: oddzwoń kanałem, który sam wybierzesz
Wszystkie zalecenia mieszczą się w jednym zdaniu: nigdy nie weryfikujemy prośby, korzystając z danych kontaktowych podanych w samej prośbie.
Konkretnie:
- Nie odpowiadaj na SMS, nawet pytaniem „kto to?". Każda odpowiedź potwierdza, że numer jest aktywny i że czytasz wiadomości.
- Oddzwoń do danej osoby na numer, który Ty masz już w swojej książce adresowej, albo skorzystaj z wewnętrznej listy kontaktów, albo po prostu zajrzyj do sąsiedniego pokoju.
- Jeśli prośba dotyczy pieniędzy, zastosuj zasadę podwójnej kontroli: dwie osoby, dwa różne kanały, żadnych wyjątków z powodu pilności.
- Zgłoś wiadomość pod numer 33700, francuskiej krajowej usługi zgłaszania niechcianych SMS-ów, i przekaż ją swojemu administratorowi IT lub kierownictwu.
- Zachowaj zrzut ekranu z datą: przyda się, jeśli trzeba będzie złożyć zawiadomienie.
Presja czasu to jedyne naprawdę niezbędne narzędzie oszusta. Przestępca, który nie może przycisnąć ofiary, traci cały scenariusz. Dlatego najskuteczniejsza obrona w firmie nie jest techniczna, lecz kulturowa: trzeba wprost ustalić, że żadna pilna prośba nigdy nie musi być załatwiona w mniej niż godzinę i że nikt nigdy nie zostanie skrytykowany za to, że sprawdził.
Oddzielić służbowe od prywatnego, bez komplikowania sobie życia
Część problemu bierze się z mieszania zastosowań. Kiedy ten sam telefon odbiera SMS-y z banku, ze żłobka i z pracy, wszystko wygląda podobnie i nic nie jest weryfikowane.
Istnieje kilka prostych rozwiązań, bez potrzeby wprowadzania rozbudowanej polityki firmowej:
- Drugi numer. Telefon z dwiema kartami SIM albo dodatkowa eSIM przeznaczona do pracy pozwala rozdzielić światy. Wiadomość służbowa przychodząca na linię prywatną staje się natychmiast podejrzana — to darmowy i bardzo wiarygodny sygnał ostrzegawczy.
- Profil służbowy. Android oferuje osobną przestrzeń do pracy; iOS pozwala tworzyć odrębne tryby skupienia. Powiadomienia służbowe przestają pojawiać się wieczorem, co automatycznie zawęża okno ataku dla wiadomości wysyłanych poza godzinami pracy.
- Aktualna książka kontaktów. Kompletna i starannie prowadzona lista kontaktów, w miarę możliwości ze zdjęciami, zamienia nieznany numer w sygnał alarmowy. To najtańszy i najbardziej zaniedbywany środek ostrożności.
Dla pracowników obsługujących wrażliwe konta — księgowość, kadry i płace, administracja systemów — zastąpienie kodu otrzymywanego SMS-em fizycznym kluczem bezpieczeństwa FIDO2 zmienia naturę ryzyka: kod można podyktować oszustowi przez telefon, fizycznego klucza — nie. To dziś jedyna ochrona odporna na scenariusz „dzwoni do Ciebie fałszywe wsparcie IT".
W tym samym duchu menedżer haseł zapobiega ponownemu użyciu tych samych danych logowania w skompromitowanym serwisie prywatnym i w dostępie służbowym. A na laptopach używanych w open space, w pociągu czy w coworkingu filtr prywatyzujący na ekran uniemożliwia odczytanie tych samych informacji z boku — najlepiej zorganizowani oszuści zbierają dane także offline.
Co mówią francuskie przepisy
Trzy kwestie warto, by znał każdy pracownik.
Prywatny telefon nie może być monitorowany. Jeśli używasz własnego telefonu do pracy, pracodawca nie może instalować na nim narzędzi kontrolnych bez ścisłych ram prawnych i uprzedniego poinformowania. CNIL regularnie przypomina, że wdrażanie rozwiązań bezpieczeństwa na sprzęcie prywatnym wymaga przejrzystości, proporcjonalności i konsultacji z przedstawicielstwem pracowników. Pracownik, który padł ofiarą smishingu, nie musi więc obawiać się przeszukania swojego prywatnego telefonu.
Zgłoszenie to nie przewinienie. Wielu pracowników milczy po kliknięciu — ze wstydu albo ze strachu przed karą. To najgorszy możliwy scenariusz: czas między kliknięciem a zgłoszeniem jest zmienną decydującą o skali szkód. Firma, która karze za zgłoszenia, po prostu sprawia, że przestaje być informowana.
Zwrot pieniędzy przez bank zależy od kanału. Francuski kodeks monetarny i finansowy przewiduje zwrot nieautoryzowanych transakcji płatniczych, ale operacja zatwierdzona przez samą ofiarę w jej aplikacji podlega innemu reżimowi — rażącego niedbalstwa, ocenianego indywidualnie. Orzecznictwo Cour de cassation kilkakrotnie uznało, że wyrafinowanie metody — zwłaszcza podszycie się pod numer telefonu banku — może wykluczyć rażące niedbalstwo. Innymi słowy: jakość podróbki działa na korzyść ofiary, pod warunkiem że potrafi ją udokumentować.
Prosty plan do wywieszenia w firmie
| Sytuacja | Natychmiastowy odruch | Czego absolutnie unikać |
|---|---|---|
| SMS od dyrektora z nieznanego numeru | Oddzwonić na numer z wewnętrznej listy kontaktów | Odpowiadać „tak" lub „czy to Pan?" |
| Prośba o kod otrzymany SMS-em | Rozłączyć się, bez wyjątków | Dyktować kod, nawet „technikowi" |
| Zmiana numeru rachunku zapowiedziana wiadomością | Zadzwonić do dostawcy na numer ze starej faktury | Zatwierdzać wyłącznie na podstawie wiadomości |
| Link do portalu HR lub IT | Otworzyć portal z istniejącej zakładki | Klikać z poziomu SMS-a |
| Wiadomość już kliknięta | Powiadomić dział IT w ciągu godziny, zmienić hasło | Czekać i patrzeć, czy będą konsekwencje |
Dla firm, które nie mają działu IT, papierowy praktyczny poradnik cyberbezpieczeństwa dla mikro-, małych i średnich przedsiębiorstw zostawiony w pokoju socjalnym często robi więcej niż okólnik: daje wspólne słownictwo i legitymizuje zadawanie pytań.
Sedno problemu
Smishing wymierzony w firmy nie opiera się na żadnym technicznym wyczynie. Opiera się na organizacji pracy, w której premiuje się pośpiech, w której prywatny telefon wchłania firmowe przepływy informacji i w której powiedzenie „sprawdzę" wciąż uchodzi za brak refleksu.
Kampanie 2026 roku wykorzystują tę szarą strefę z zabójczą skutecznością, bo nie atakują systemów, lecz przyzwyczajenia. Dobra wiadomość jest taka, że przyzwyczajenia zmienia się szybciej niż infrastrukturę: wspólna decyzja, że żadna sprawa finansowa nie jest załatwiana SMS-em, wystarczy, by unieszkodliwić całą rodzinę oszustw.
A jeśli wiadomość już zasiała w Tobie wątpliwość, zapamiętaj tę zasadę: prawdziwy dyrektor, prawdziwy dostawca, prawdziwy dział IT zawsze zrozumieją, że poświęciłeś pięć minut na weryfikację. Oszust — nigdy.
Przydatne zasoby: zgłaszanie fałszywych SMS-ów pod numerem 33700; platforma Cybermalveillance.gouv.fr oferująca diagnozę i wsparcie; system Perceval (service-public.fr) do zgłaszania oszukańczego użycia karty płatniczej; Info Escroqueries pod numerem 0 805 805 817 (połączenie bezpłatne).
