Spoofing, vishing i inne sztuczki – jak działają oszustwa telefoniczne

Podstawą większości telefonicznych wyłudzeń jest spoofing – technika pozwalająca wyświetlić na ekranie ofiary dowolny numer telefonu, w tym numer banku, policji czy urzędu skarbowego. W praktyce narzędzia do tego celu są dostępne w internecie dla każdego, kto ich poszuka.

Przestępca dzwoni, a telefon okazuje numer wyglądający identycznie jak infolinia PKO BP czy numer z Komendy Głównej Policji. Odbiorca zakłada, że rozmowa jest autentyczna. I na tym polega cały myk.

Najczęściej spotykane scenariusze w Polsce to:

• Fałszywy pracownik banku – informuje o „podejrzanej transakcji" i prosi o dane logowania lub przelew na „konto techniczne"

• Niedopłata do paczki – kurier żąda dopłaty przez link SMS, który prowadzi do strony wyłudzającej dane karty

• Konsultant techniczny – twierdzi, że twój komputer jest zainfekowany i prosi o zainstalowanie oprogramowania do zdalnego dostępu (np. AnyDesk lub TeamViewer)

• Numer z zagranicy – krótki sygnał, prowokujący do oddzwonienia na numer o podwyższonej opłacie

Wszystkie te metody łączy jeden element: presja czasu i sztuczne poczucie zagrożenia. Oszust nie chce, żebyś miał chwilę na myślenie – bo kiedy pomyślisz, sprawa się sypie.

Skala zjawiska: liczby, które robią wrażenie

Ilustracja: DALL-E

Według danych CERT Polska i NASK liczba obsługiwanych incydentów rośnie w tempie, które trudno nazwać inaczej niż lawinowym. Poniżej zestawienie kluczowych danych:

Warto dodać, że tylko z samych oszustw inwestycyjnych Polacy stracili blisko 300 milionów złotych w pierwszych trzech kwartałach 2024 roku – podaje Centralne Biuro Zwalczania Cyberprzestępczości. Telefon jako narzędzie manipulacji jest tu jednym z kluczowych wektorów ataku.

Na marginesie: dominującą kategorią incydentów pozostaje phishing – według danych CERT Polska za 2024 rok stanowił on aż 94,7% wszystkich zarejestrowanych przypadków. Vishing (wyłudzenia przez rozmowę głosową) to mniejszy, ale dynamicznie rosnący wycinek tej układanki.

Państwo też nie śpi – ustawa UZNKE i inne narzędzia ochrony

W 2023 roku weszła w życie ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (UZNKE), która zobowiązuje operatorów telekomunikacyjnych do blokowania połączeń spoofingowych oraz fałszywych SMS-ów. Do września 2025 roku zablokowano na jej podstawie ponad 1,5 miliona oszukańczych wiadomości. Za spoofing i smishing grozi kara od 3 miesięcy do 5 lat pozbawienia wolności.

Poza regulacjami prawnymi dostępne są bezpłatne narzędzia, o których wiele osób po prostu nie wie. CERT Polska prowadzi Listę Ostrzeżeń – w 2024 roku trafiło na nią ponad 72 tysiące fałszywych stron – i przyjmuje zgłoszenia przez formularz na incydent.cert.pl oraz poprzez SMS na numer 8080, na który możesz przesłać podejrzaną wiadomość. Aplikacja mObywatel umożliwia zgłaszanie zagrożeń bezpośrednio z telefonu.

Jak sprawdzić nieznany numer przed oddzwonieniem?

Najprostszą metodą obrony jest weryfikacja numeru zanim cokolwiek zrobisz. Na polskim rynku działa kilka społecznościowych serwisów, gdzie użytkownicy zgłaszają i komentują podejrzane numery. Poniżej przegląd dostępnych opcji:

Każdy z tych serwisów działa na podobnej zasadzie: użytkownicy zgłaszają i komentują numery, tworząc zbiorową bazę wiedzy o potencjalnych zagrożeniach. Żaden nie gwarantuje 100% skuteczności – ale nawet jedna opinia „uwaga, telemarketer" może uchronić cię przed stratą czasu lub, w gorszym przypadku, pieniędzy.

5 kroków, które warto wdrożyć dziś

1. Nie oddzwaniaj na nieznany numer z zagranicy – szczególnie jeśli rozmowa urwała się po jednym sygnale; to klasyczna pułapka na opłaty premium
2. Sprawdź numer przed odebraniem lub oddzwonieniem – w jednym z serwisów wymienionych powyżej, zajmuje to 30 sekund
3. Zablokuj i zgłoś podejrzany SMS – prześlij go na numer 8080 lub przez formularz na incydent.cert.pl
4. Zweryfikuj tożsamość dzwoniącego samodzielnie – jeśli „bank" prosi o pilne działanie, rozłącz się i zadzwoń na oficjalny numer z odwrocia karty lub ze strony instytucji
5. Zainstaluj aplikację do identyfikacji połączeń – Truecaller, Whoscall lub Hiya działają w tle i ostrzegają przed podejrzanymi numerami w czasie rzeczywistym

Warto zapamiętać

• Liczba incydentów telefonicznych w Polsce wzrosła o 152% w 2025 r. – skala zjawiska jest realna i rośnie
• Spoofing jest nielegalny od 2023 r. – ustawa UZNKE przewiduje kary do 5 lat więzienia, ale technologia wyprzedza egzekwowanie prawa
• Przed oddzwonieniem zawsze sprawdź numer – bezpłatnych narzędzi jest kilka, a weryfikacja zajmuje pół minuty
• Żadna instytucja – bank, policja, urząd – nie prosi przez telefon o hasła, kody SMS ani przelewy na „konto techniczne"

Najczęstsze pytania

Jak sprawdzić, czy numer telefonu to oszustwo?

Wpisz numer w serwisie społecznościowym takim jak nieznany-numer.pl, kto-dzwonil.pl lub ktoto.info – użytkownicy zgłaszają i komentują podejrzane numery. Możesz też zainstalować aplikację Truecaller lub Whoscall, które identyfikują dzwoniących w czasie rzeczywistym. Brak opinii w bazie nie oznacza bezpieczeństwa – nowe numery przestępców mogą jeszcze nie być zgłoszone.

Co zrobić, gdy odebrałem podejrzany telefon i podałem dane?

Działaj natychmiast: zadzwoń na infolinię swojego banku i zastrzeż kartę lub zablokuj dostęp do konta, zmień hasła do bankowości internetowej i zgłoś incydent na incydent.cert.pl lub na policję. Im szybciej, tym większa szansa na zminimalizowanie strat.

Czy spoofing telefoniczny jest w Polsce nielegalny?

Tak. Od 2023 roku obowiązuje ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (UZNKE), która penalizuje spoofing i smishing. Za podszywanie się pod numer innej osoby lub instytucji grozi kara od 3 miesięcy do 5 lat pozbawienia wolności. Operatorzy są zobowiązani do blokowania takich połączeń.

Jak zgłosić podejrzanego SMS-a w Polsce?

Prześlij podejrzaną wiadomość SMS na numer 8080 – to oficjalny kanał CERT Polska do zgłaszania smishingu. Możesz też wypełnić formularz na stronie incydent.cert.pl lub skorzystać z aplikacji mObywatel. Zgłoszenia trafiają do analityków i mogą skutkować blokadą fałszywych stron lub numerów.

Czy bank może dzwonić i prosić o dane logowania?

Nigdy. Żaden bank, urząd ani firma kurierska nie prosi przez telefon o podanie hasła, kodu SMS, numeru karty ani PIN-u. Jeśli rozmówca o to prosi – niezależnie od tego, jaki numer wyświetla się na ekranie – rozłącz się i zadzwoń samodzielnie na oficjalny numer instytucji.

Źródła: CERT Polska, NASK, CBZC, UZNKE, ktoto.info