Fałszywy SMS: dopłata do paczki, mandat, niedopłata za prąd
SMS z linkiem pozostaje najpowszechniejszym kanałem oszustw w Polsce. W 2025 roku do CERT Polska trafiło 295 169 zgłoszeń podejrzanych wiadomości, a mechanizm blokowania zatrzymał 1 883 610 złośliwych SMS-ów.
Krótka odpowiedź
Fałszywy SMS poznasz po trzech rzeczach: śmiesznie niskiej kwocie do dopłaty (1,49 zł, 2,50 zł), linku, który nie prowadzi na oficjalną stronę firmy, i nadawcy będącym zwykłym numerem telefonu. Nie klikaj linku, wejdź do aplikacji przewoźnika albo urzędu, a samego SMS-a przekaż bezpłatnie na numer 8080.
Narzędzie Compass
W przygotowaniu
Analizator wiadomości powstaje
Wkrótce wkleisz tu SMS-a, e-mail albo link, a narzędzie wyjaśni, co w nim wygląda podejrzanie i co zrobić w tej kolejności. Zanim to uruchomimy, wszystkie sygnały opisujemy poniżej — to te same, które będzie sprawdzać narzędzie.
Po czym poznać fałszywy sms (smishing)
Jeden sygnał wystarczy, żeby się zatrzymać. Zwykle występuje ich kilka naraz.
- Kwota jest śmiesznie niska: 1,49 zł, 2,50 zł. Ma uśpić czujność, bo łatwiej zapłacić niż sprawdzić.
- Link nie prowadzi na oficjalną stronę: inpost-doplata.info zamiast inpost.pl, mobywatel-mandat.com zamiast gov.pl.
- Nadawcą jest zwykły numer telefonu, a nie nazwa firmy.
- Wiadomość każe działać dziś, w ciągu godziny, natychmiast.
- Prośba o instalację aplikacji albo „aktualizacji” z linku w SMS-ie — to plik .apk, nie sklep Google Play.
- Literówki i dziwna interpunkcja w treści, brak polskich znaków.
Czym jest smishing
Smishing to phishing wysyłany SMS-em. Wiadomość podaje krótki, pilny powód i link do strony, która wygląda jak bramka płatnicza albo panel banku. Wpisane tam dane karty czy kod trafiają wprost do oszusta.
SMS działa lepiej niż mail, bo czytamy go od razu i w pośpiechu, a na małym ekranie trudniej zobaczyć pełny adres strony.
Dlaczego kwota jest tak niska
Dopłata 1,49 zł nie wygląda na stratę i nie budzi podejrzeń. Łatwiej ją zapłacić niż sprawdzać, czy paczka faktycznie czeka.
Prawdziwym celem nie jest te kilka złotych, a dane karty wpisane na fałszywej bramce. Obciążenie przychodzi później i jest wielokrotnie wyższe.
Groźniejsza odmiana: plik do zainstalowania
Część SMS-ów zamiast strony podsuwa aplikację — „aktualizację” banku albo aplikację kurierską. Taki program potrafi czytać SMS-y z kodami i przejąć konto bez Twojego udziału.
Aplikacje instaluj wyłącznie ze sklepu Google Play albo App Store. Żaden bank nie każe instalować aktualizacji z linku w wiadomości.
Numer 8080: co się dzieje po zgłoszeniu
Przekazanie SMS-a na 8080 jest bezpłatne i trafia do CERT Polska. Na tej podstawie fałszywe domeny wpisywane są na Listę Ostrzeżeń, a operatorzy blokują do nich dostęp.
W 2025 roku na Listę Ostrzeżeń trafiło prawie 245 tysięcy domen, a blokady zatrzymały około 141,1 mln wejść na niebezpieczne strony. Twoje zgłoszenie realnie zamyka drogę następnej osobie.
Co zrobić teraz
Rób po kolei. Każdy krok ma sens także wtedy, gdy poprzedniego nie udało się wykonać.
- Nie klikaj i nie odpisuj. Zrób zrzut ekranu — przyda się przy zgłoszeniu.
- Sprawdź sprawę w oficjalnej aplikacji przewoźnika, banku albo w mObywatelu. Prawdziwa dopłata będzie tam widoczna.
- Jeśli już kliknąłeś i podałeś dane karty: zadzwoń na infolinię banku i zastrzeż kartę.
- Jeśli zainstalowałeś aplikację z linku: odłącz telefon od internetu, odinstaluj ją i zmień hasła z innego urządzenia.
- Przekaż SMS-a na numer 8080 — bezpłatnie, bez dopisywania komentarza. To zgłoszenie pomaga zablokować stronę innym.
Straciłeś pieniądze? Zobacz, gdzie to zgłosić i w jakiej kolejności →
Tak wygląda to teraz
Kampanie krążące dziś
- Dopłata do paczki — InPost, Pocztex, DPD.
- mObywatel: „mandat do zapłaty”.
- Niedopłata za prąd albo gaz.
- „Zwrot podatku” z e-Urzędu lub PUESC.
- Fałszywa aktualizacja aplikacji bankowej (.apk).
- SMS „z banku” o nieautoryzowanej transakcji.
Najczęstsze pytania
Pytania o fałszywy sms (smishing)
Jak zgłosić fałszywy SMS?
Przekaż go na numer 8080. Zgłoszenie jest bezpłatne u wszystkich operatorów i nie wymaga komentarza — wystarczy sama przekazana treść razem z linkiem. Trafia do CERT Polska, który wpisuje fałszywe domeny na Listę Ostrzeżeń, a operatorzy blokują je średnio w pięć minut.
Czy odpowiedź na fałszywego SMS-a jest groźna?
Sama odpowiedź nie wyprowadzi pieniędzy, ale potwierdza oszustowi, że numer jest aktywny i czyta wiadomości. Wtedy zaczynają przychodzić kolejne kampanie i telefony. Lepiej nie odpisywać i po zgłoszeniu usunąć wiadomość.
Kliknąłem w link z SMS-a — co teraz?
Jeśli tylko otworzyłeś stronę i nic nie wpisałeś, zamknij ją i sprawdź historię konta. Jeśli podałeś dane karty albo kod, natychmiast zadzwoń do banku i poproś o blokadę. Kolejne kroki opisujemy na stronie „Kliknąłem w link”.
Skąd oszuści mają mój numer?
Najczęściej z wycieków danych i publicznych ogłoszeń, ale często numer nie jest wybrany — kampanie idą na całe zakresy numeracji. Dlatego ten sam SMS dostają tego samego dnia dziesiątki tysięcy osób.
Czytaj dalej
Źródła i autorstwo
- CERT Polska — Raport roczny 2025 (295 169 zgłoszeń SMS, 1 883 610 zablokowanych wiadomości)
- Lista Ostrzeżeń CERT Polska — prawie 245 tys. domen w 2025 roku
- CERT Polska — zgłoszenie incydentu
Materiał edukacyjny, nie porada prawna ani finansowa. Nie sprzedajemy żadnych produktów.