„Nie rozumiem, przecież nikomu nie podaję swojego numeru”.
To zdanie słyszy się za każdym razem, gdy ktoś skarży się na trzy oszukańcze SMS-y tygodniowo. I jest ono szczere: ta osoba naprawdę nie pamięta, żeby podawała numer. Tyle że go podała — przy kasie w sklepie, przy zakładaniu karty lojalnościowej, w formularzu wyceny ubezpieczenia, w ogłoszeniu o sprzedaży roweru, przy zamówieniu online, żeby dostać powiadomienie o dostawie, przy rejestracji konta wymagającego weryfikacji SMS-em.
Numer komórkowy przestał być zwykłym sposobem kontaktu. Stał się uniwersalnym identyfikatorem: niepowtarzalnym, stabilnym przez lata, rzadko zmienianym, powiązanym u operatora z tożsamością cywilną. Żadna inna dana osobowa nie ma takiej wartości dla kogoś, kto chce się do Ciebie dobić — czy to handlowca, czy oszusta.
Dobra wiadomość jest taka, że liczba oszukańczych SMS-ów, które dostajesz, nie jest zjawiskiem pogodowym, na które nie masz wpływu. Zależy wprost od ekspozycji Twojego numeru. A tę ekspozycję można ograniczyć.
Skąd naprawdę biorą się atakowane numery
Wbrew rozpowszechnionemu przekonaniu oszuści nie kupują wszystkich numerów na nielegalnych giełdach. Źródła są znacznie bardziej banalne — i właśnie dlatego zjawisko tak trudno powstrzymać.
Generowanie automatyczne
To metoda najprostsza i niewymagająca żadnego wycieku. Zakresy numerów komórkowych są jawne: regulator przydziela operatorom bloki numeracyjne, a te bloki są publicznie udokumentowane. Program może więc wygenerować miliony poprawnych kombinacji i zalać je wiadomościami.
Ten typ kampanii tłumaczy SMS-y całkowicie ogólnikowe: „Twoja przesyłka oczekuje”, „Konto zablokowane, ureguluj należność”. Żadnej personalizacji, żadnego nazwiska. Wiadomość stawia na to, że jedna osoba na sto akurat tego dnia czeka na paczkę.
Wycieki baz klientów
Lata 2023–2026 przyniosły serię masowych naruszeń danych dotykających operatorów, ubezpieczycieli zdrowotnych, sieci handlowych i podmioty przetwarzające dane medyczne. Organy ochrony danych opublikowały w tej sprawie liczne wezwania i kary, a osobom, których dane wyciekły, zalecają wzmożoną czujność wobec otrzymywanych wiadomości.
To właśnie te wycieki rodzą SMS-y niepokojące: takie, które znają Twoje nazwisko, czasem miasto, czasem nazwę Twojego ubezpieczyciela. Treść staje się wiarygodna, bo opiera się na prawdziwych danych.
Zbieranie legalne, ale odsprzedane dalej
To źródło najbardziej masowe i najbardziej niedoceniane. Za każdym razem, gdy zaznaczasz — albo zapominasz odznaczyć — zgodę na przekazywanie danych „naszym partnerom”, Twój numer wchodzi do całkowicie legalnego łańcucha handlowego. Jest wynajmowany, wzbogacany, krzyżowany z innymi bazami.
RODO reguluje tę praktykę, ale tylko ją reguluje: nie zakazuje jej. A baza zbudowana legalnie może potem wyciec, zostać odsprzedana poza przewidzianymi ramami albo trafić do podmiotu niespecjalnie skrupulatnego. Droga od „karty lojalnościowej marketu budowlanego” do „SMS-a od fałszywego doradcy bankowego” jest krótsza, niż się wydaje.
Scraping ogłoszeń
Serwisy ogłoszeniowe to kopalnia. Wielu sprzedających podaje numer bezpośrednio w treści ogłoszenia, żeby uniknąć wewnętrznego czatu. Boty nieprzerwanie zasysają te numery, i to z bonusem: wiedzą, że dana osoba coś sprzedaje, za ile i w jakim mieście. To dokładnie paliwo dla oszustw „na fałszywego kupca”.
Prosty test, żeby sprawdzić, jak jest u Ciebie
Zanim zaczniesz działać, warto zmierzyć. Przez dwa tygodnie zapisuj każdy niechciany SMS w trzech kolumnach:
| Typ | Wskazówka | Co to zdradza |
|---|---|---|
| Ogólnikowy, bez Twojego nazwiska | „Twoja przesyłka”, „Twoje konto” | Generowanie automatyczne — nie do uniknięcia |
| Z Twoim imieniem lub nazwiskiem | „Dzień dobry, Marto, Pani sprawa…” | Twój numer jest w bazie imiennej |
| Z konkretnym kontekstem | Nazwa Twojego banku, ubezpieczyciela, niedawnego zakupu | Ukierunkowany wyciek lub odsprzedaż kwalifikowanej bazy |
Jeśli większość Twoich SMS-ów jest ogólnikowa, ekspozycja jest normalna i wystarczą środki filtrujące. Jeśli regularnie dostajesz wiadomości imienne i osadzone w kontekście, Twój numer krąży w bazach kwalifikowanych — a wtedy praca do wykonania jest inna: dotyczy dystrybucji numeru, a nie tylko filtrowania.
Ograniczanie ekspozycji: co naprawdę działa
Przestań używać jednego numeru do wszystkiego
To dźwignia najskuteczniejsza i najprostsza. Strukturalny błąd polega na używaniu tego samego numeru do banku, rodziny, dostaw, ogłoszeń i rejestracji online. Wszystko jest wymieszane, więc wszystko jest wystawione na ryzyko na poziomie najsłabszego ogniwa.
Rozwiązaniem nie jest zmiana numeru — to nieskuteczne, uciążliwe, a nowy numer i tak zostanie wyeksponowany w osiemnaście miesięcy. Rozwiązaniem jest segmentacja.
Drugi numer przeznaczony do zastosowań „publicznych” (ogłoszenia, formularze handlowe, rejestracja w usługach niekrytycznych) drastycznie zmniejsza zanieczyszczenie numeru głównego. Jest kilka opcji:
- karta SIM prepaid bez zobowiązań, doładowywana doraźnie, często za kilka euro;
- dodatkowa eSIM, jeśli telefon ją obsługuje — bez fizycznego żonglowania kartami;
- smartfon dual SIM, pozwalający utrzymać obie linie aktywne bez drugiego urządzenia.
Dla tych, którzy nie chcą zmieniać sprzętu, adapter dual SIM pozostaje przyzwoitym rozwiązaniem awaryjnym w starszych modelach, choć obsługa jest mniej płynna niż w prawdziwym dual SIM.
Nie podawaj numeru, gdy nie jest obowiązkowy
Prosta zasada prawna, przypominana przez organy ochrony danych: administrator może zbierać wyłącznie dane niezbędne do zadeklarowanego celu. Numer komórkowy prawie nigdy nie jest niezbędny do karty lojalnościowej, newslettera czy pobrania broszury.
W praktyce w sklepie odpowiedź „wolę go nie podawać” wystarcza w zdecydowanej większości przypadków. Karta i tak zostaje założona. Numer był wymagany dlatego, że wymagał go formularz, a nie dlatego, że wymagała go usługa.
W formularzach internetowych pole bywa oznaczone jako obowiązkowe po prostu z lenistwa projektowego. Gdy usługa jest naprawdę przydatna, nie ma nic złego w podaniu tam numeru dodatkowego.
Posprzątaj po starych ogłoszeniach
Jeśli publikowałeś ogłoszenia z numerem podanym wprost, prawdopodobnie wciąż są zaindeksowane. Wyszukanie własnego numeru w cudzysłowie w wyszukiwarce daje czasem zaskakujące wyniki: ogłoszenia z rynku wtórnego, konta firmowe, stare fora, listy członków stowarzyszeń, protokoły zebrań opublikowane w PDF.
Każdy znaleziony wynik to wniosek o usunięcie do wysłania. RODO daje Ci prawo do usunięcia danych, realizowane wobec administratora strony, z możliwością zgłoszenia sprawy do organu nadzorczego w razie odmowy.
Skorzystaj z prawa sprzeciwu wobec marketingu
RODO przewiduje prawo sprzeciwu wobec marketingu bezpośredniego, z którego można skorzystać bez uzasadniania. Konkretnie:
- w przypadku telemarketingu wpis na listę typu Bloctel pozostaje bezpłatny i wiążący dla firm w zakresie połączeń telefonicznych;
- w przypadku legalnych SMS-ów handlowych słowo STOP wysłane na numer skrócony działa i nie kosztuje więcej niż zwykły SMS;
- w przypadku SMS-ów oszukańczych STOP przynosi odwrotny skutek: potwierdza, że numer jest aktywny i czytany.
To rozróżnienie jest kluczowe i właśnie tu wiele osób się myli. SMS od znanej sieci handlowej z dopiskiem „STOP 36xxx” to uregulowana komunikacja handlowa: odpowiedź STOP ją zatrzymuje. SMS oszusta nie ma legalnej adnotacji STOP — albo ją imituje. W takim przypadku nie odpowiada się, tylko przekazuje wiadomość do systemu zgłoszeń (we Francji numer 33700).
Filtrowanie tego, co i tak się przedostanie
Zmniejszanie ekspozycji trwa miesiącami. W międzyczasie filtrowanie ogranicza codzienne szkody.
Filtry wbudowane w telefony
Zarówno Android, jak i iOS oferują automatyczne sortowanie nieznanych nadawców oraz filtrowanie wiadomości niechcianych, wzmocnione dziś przez modele analizy lokalnej, które wychwytują typowe sformułowania smishingu. Funkcje te są przydatne, ale rzadko włączone domyślnie na wszystkich urządzeniach — warto zajrzeć do ustawień aplikacji Wiadomości.
Ich ograniczenie jest znane: słabo filtrują wiadomości podszywające się pod legalną nazwę nadawcy, które wślizgują się do istniejącego wątku rozmowy.
Ręczne blokowanie, z umiarem
Blokowanie każdego numeru nadawcy to naturalny odruch, ale jego skuteczność jest niska: kampanie smishingowe zmieniają numer przy każdej wysyłce. Blokowanie ma głównie wartość psychologiczną — nie widzisz już wiadomości — i realną wartość w jednym tylko przypadku: nękania przez stałego nadawcę.
Zgłaszanie nadużyć
Przekazanie wiadomości do systemu zgłoszeniowego operatorów (we Francji numer 33700) nie chroni Cię indywidualnie, ale zasila mechanizm, który odcina nadużywających nadawców. Jest bezpłatne, nieobciążające abonamentu, i to jedyny gest o mierzalnym efekcie zbiorowym.
Ochrona wrażliwych zastosowań: prawdziwa stawka
Ograniczenie oszukańczych SMS-ów to kwestia komfortu. Ale realny cel leży gdzie indziej: chodzi o to, by przejęty numer nie oznaczał przejęcia Twoich kont.
Dziś numer komórkowy nie jest bowiem tylko kanałem odbioru. Często jest kluczem do odzyskania konta: „nie pamiętasz hasła? odbierz kod SMS-em”. Oznacza to, że kto kontroluje Twój numer, kontroluje Twoje konta.
Wyprowadź SMS z uwierzytelniania, gdzie tylko się da
SMS pozostaje najpowszechniejszym i najsłabszym czynnikiem uwierzytelniania. Agencje bezpieczeństwa odradzają go od lat na rzecz rozwiązań odporniejszych. W przypadku ważnych kont — główna poczta, chmura, media społecznościowe, platformy płatnicze — lepiej przejść na aplikację uwierzytelniającą generującą kody offline.
Dla kont naprawdę krytycznych fizyczny klucz bezpieczeństwa w formacie USB pozostaje najwyższym poziomem: nawet jeśli atakujący zdobędzie Twoje hasło i kody SMS, bez tego przedmiotu nic nie zrobi.
Zabezpiecz samą kartę SIM
Przejęcie linii — wyrobienie nowej karty SIM na Twoje nazwisko, by przechwytywać kody — pozostaje rzadkie, ale rujnujące. Dwa proste środki:
- utrzymuj aktywny kod PIN na karcie SIM, inny niż 0000 czy 1234 — wiele osób wyłącza go dla wygody;
- zapytaj operatora, czy przy każdym wniosku o duplikat SIM można wymagać hasła lub podwójnego potwierdzenia. Większość to oferuje, mało kto o tym informuje.
Nie trzymaj haseł w SMS-ach
Częstym nawykiem jest wysyłanie samemu sobie wrażliwych informacji SMS-em: kodu do sejfu, loginu, numeru umowy. Wątek wiadomości staje się wtedy pękiem kluczy na widoku, czytelnym dla każdego, kto weźmie telefon do ręki na kilka sekund.
Szyfrowany menedżer haseł rozwiązuje problem w świecie cyfrowym. Dla kodów, których nie chcesz nigdzie online, papierowy notes na hasła trzymany w domu pozostaje, wbrew intuicji, poważną opcją: nie jest wystawiony na internet i nie znika razem z telefonem zgubionym w pociągu.
Przypadek dzieci i seniorów
Dwie grupy zasługują na szczególne traktowanie, z przeciwstawnych powodów.
Nastolatki rozsiewają swój numer masowo: rejestracje w grach, wymiany na platformach, konkursy. Ich ekspozycja jest strukturalnie wysoka. Segmentacja nabiera tu pełnego sensu: linia główna dla rodziny i szkoły, numer dodatkowy do całej reszty.
Seniorzy podają numer rzadko, ale figurują w bazach starych i dobrze wypełnionych: ubezpieczyciele zdrowotni, instytucje emerytalne, stowarzyszenia, operatorzy. Ich oszukańcze SMS-y są więc bardziej osadzone w kontekście, a przez to bardziej wiarygodne. Właściwym odruchem nie jest zasypywanie ich ustawieniami, lecz wpojenie jednej, łatwej do zapamiętania zasady: żadnego linku z SMS-a się nie klika, nigdy; do instytucji oddzwania się na numer widniejący na papierowym dokumencie.
Dla osób, którym trudno korzystać z małego ekranu, telefon z dużymi klawiszami i kontrastowym wyświetlaczem zmniejsza liczbę pomyłek w obsłudze, które są mocno niedocenianą przyczyną przypadkowych kliknięć.
Co warto zapamiętać
Liczba oszukańczych SMS-ów, które dostajesz, nie jest dziełem przypadku: to miara ekspozycji Twojego numeru.
Trzy poziomy działania, w kolejności skuteczności:
- Segmentuj — jeden numer do zastosowań wrażliwych, drugi do reszty. To środek najbardziej opłacalny.
- Ogranicz dystrybucję — nie podawaj numeru, gdy nie jest to konieczne, posprzątaj to, co wałęsa się w sieci, skorzystaj z prawa sprzeciwu.
- Odseparuj — spraw, by numer przestał być kluczem do odzyskiwania Twoich ważnych kont.
Filtrowanie i blokowanie przychodzą później. Leczą objaw, nie przyczynę. A jeśli przyczynę da się zawrzeć w jednym zdaniu, brzmi ono tak: pozwoliliśmy, by unikalny, trwały i zweryfikowany identyfikator stał się daną, którą rozdajemy najłatwiej.
Aby sprawdzić, czy dana instytucja legalnie wykorzystuje Twoje dane, organy ochrony danych udostępniają na swoich stronach wzory pism dotyczących prawa dostępu i sprzeciwu. Aby zgłosić stwierdzone oszustwo, platforma Cybermalveillance.gouv.fr kieruje do odpowiednich procedur, a złożenie zawiadomienia pozostaje możliwe na komisariacie policji lub posterunku żandarmerii — wraz z Twoimi zrzutami ekranu.
