Telefon wyświetla numer banku, znajomego albo policji, więc odruchowo odbierasz i zaczynasz ufać rozmówcy. Właśnie na tym polega spoofing, czyli podszywanie się pod osoby i instytucje przy użyciu fałszywego numeru, adresu e-mail, strony internetowej lub profilu. Wyjaśniam, jak działają takie oszustwa, po czym je rozpoznać, co zrobić po kontakcie z przestępcą i jakie konsekwencje prawne może ponieść sprawca.
Jedna chwila zaufania może wystarczyć do utraty pieniędzy
- Fałszywy numer na ekranie telefonu nie potwierdza tożsamości rozmówcy.
- Oszuści najczęściej podszywają się pod bank, policję, urząd, kuriera lub bliską osobę.
- Najważniejszą obroną jest przerwanie rozmowy i samodzielne oddzwonienie na oficjalny numer.
- Bank nigdy nie prosi przez telefon o hasło, PIN, kod BLIK ani instalację programu do zdalnej obsługi.
- Podejrzany SMS można bezpłatnie przekazać na numer 8080, a utratę pieniędzy trzeba natychmiast zgłosić bankowi i Policji.
Na czym polega podszywanie się w internecie
Mechanizm jest prosty, choć technologia stojąca za nim bywa zaawansowana. Przestępca tak przygotowuje połączenie, wiadomość albo stronę, aby ofiara uznała, że kontaktuje się z nią zaufana osoba lub instytucja. Celem zwykle jest wyłudzenie pieniędzy, danych logowania, numeru PESEL albo zgody na operację w banku.
W przypadku rozmowy telefonicznej na ekranie może pojawić się numer banku, komisariatu czy członka rodziny. To tak zwane CLI spoofing, czyli manipulowanie identyfikacją numeru dzwoniącego. Sam numer jest tylko informacją techniczną, a nie dowodem, kto naprawdę znajduje się po drugiej stronie.
Najczęstsze odmiany oszustwa
| Kanał kontaktu | Pod kogo podszywa się sprawca | Co chce osiągnąć |
|---|---|---|
| Telefon | Bank, Policja, urząd, operator | Uzyskanie kodu, danych lub nakłonienie do przelewu |
| SMS i e-mail | Kurier, dostawca energii, bank, administracja | Przekierowanie na fałszywą stronę logowania |
| Media społecznościowe | Znajomy, dziecko, partner lub współpracownik | Wyłudzenie BLIK-u albo szybkiej pożyczki |
| Strona internetowa | Sklep, urząd, firma inwestycyjna | Kradzież danych karty, haseł lub pieniędzy |
Nie każda próba wykorzystuje fałszywy numer. Czasem wystarczy bardzo podobny adres strony, skopiowane logo albo przejęte konto znajomego. Dlatego patrzę nie tylko na to, kto rzekomo pisze lub dzwoni, lecz także na to, czego żąda i czy jego zachowanie pasuje do normalnej procedury.
Jak przestępcy budują wiarygodny scenariusz
Najpierw pojawia się pretekst, który ma wywołać emocje. „Ktoś próbuje wypłacić pieniądze”, „Twoje konto zostanie zablokowane”, „wypadek i pilnie potrzebuję pomocy” albo „policja prowadzi czynności” to komunikaty zaprojektowane tak, aby odbiorca działał bez sprawdzania faktów.
Potem oszust dokłada presję czasu i pozory profesjonalizmu. Może znać imię ofiary, ostatnie cyfry rachunku albo nazwę banku, ponieważ informacje te pochodzą z wycieków, mediów społecznościowych lub wcześniejszych rozmów. Znajomość kilku danych nie oznacza, że rozmówca jest autentyczny.
Telefon od rzekomego banku
Rozmówca informuje o podejrzanej transakcji i proponuje „zabezpieczenie” środków. W praktyce może nakłaniać do podania kodu autoryzacyjnego, przelania pieniędzy na „konto techniczne” albo zainstalowania aplikacji umożliwiającej zdalny dostęp do telefonu.
Moja zasada jest tu bezwzględna. Kończę rozmowę, nie wybieram żadnej cyfry i samodzielnie kontaktuję się z bankiem przez aplikację, oficjalną infolinię albo numer zapisany na karcie.
Wiadomość od znajomego
Przejęte konto w mediach społecznościowych może wyglądać zupełnie normalnie. Oszust zna historię rozmów, używa charakterystycznego języka i prosi o kod BLIK, przelew lub opłacenie przesyłki. W 2026 roku Policja prowadziła kampanię „Metoda na Podszywacza”, zwracając uwagę właśnie na połączenie przejętych profili z presją natychmiastowej pomocy.
Najprostsza kontrola to telefon na znany numer, najlepiej wykonany z innego urządzenia. Nie potwierdzam tożsamości osoby wyłącznie przez ten sam komunikator, bo oszust może nadal kontrolować jej konto.
Fałszywy SMS lub e-mail
Wiadomość może informować o dopłacie do paczki, zwrocie pieniędzy albo konieczności aktualizacji danych. Link prowadzi do strony, która przypomina prawdziwy serwis, ale przechwytuje login, hasło lub dane karty. Literówka w adresie, nietypowa domena i żądanie płatności niewielkiej kwoty powinny zapalić czerwoną lampkę.
Po czym rozpoznać próbę oszustwa
Najsilniejszym sygnałem ostrzegawczym jest połączenie trzech elementów: autorytetu, presji i prośby o pieniądze albo dane. Pojedynczy nietypowy szczegół może być pomyłką, ale kilka takich sygnałów naraz powinno zakończyć kontakt.
- Rozmówca żąda natychmiastowej decyzji i zabrania konsultowania sprawy z bliskimi.
- Prosi o login, hasło, PIN, kod SMS, kod BLIK albo pełne dane karty.
- Namawia do przelewu na inne konto, wypłaty gotówki lub instalacji aplikacji.
- Twierdzi, że pracownik banku, Policji lub urzędu potrzebuje zdalnego dostępu do telefonu.
- Numer wygląda znajomo, ale rozmówca nie pozwala się rozłączyć i samodzielnie oddzwonić.
- Wiadomość zawiera link, nietypową domenę, błędy językowe albo groźbę blokady konta.
Trzeba też pamiętać o ograniczeniach zabezpieczeń. Aplikacja bankowa może ostrzec przed podejrzaną transakcją, operator może zablokować część fałszywych połączeń, a przeglądarka może ostrzec przed niebezpieczną stroną. Żadne z tych rozwiązań nie zastępuje weryfikacji człowieka, szczególnie gdy oszust wykorzystuje świeżo przejęte konto lub nową domenę.
Co zrobić po podejrzanym telefonie lub wiadomości
Jeżeli rozmowa dopiero trwa, kończę ją bez tłumaczenia się. Nie naciskam przycisków, nie oddzwaniam na numer z historii połączeń i nie otwieram przesłanego linku. Później kontaktuję się z instytucją przez kanał znaleziony samodzielnie, a nie przez dane przekazane przez rozmówcę.
Jeśli podałem dane logowania, natychmiast zmieniam hasło na bezpiecznym urządzeniu i wylogowuję aktywne sesje. Przy danych bankowych dzwonię do banku, blokuję kartę, zgłaszam podejrzane operacje i proszę o zabezpieczenie rachunku. Gdy przekazałem PESEL, rozsądne jest jego zastrzeżenie w mObywatelu, banku albo urzędzie gminy.
Gdzie zgłosić incydent
Podejrzany SMS można przekazać na bezpłatny numer 8080. Wiadomości e-mail, fałszywe strony i inne incydenty internetowe zgłasza się do CERT Polska, między innymi przez formularz lub aplikację mObywatel. Jeżeli doszło do straty pieniędzy, trzeba dodatkowo złożyć zawiadomienie na Policji lub w prokuraturze.
Przed usunięciem wiadomości robię zrzuty ekranu i zachowuję szczegóły połączenia. Przydają się numer telefonu, godzina, treść rozmowy, adres strony, numer rachunku, potwierdzenia przelewów i dane odbiorcy. Nawet nieudana próba jest cenna jako zgłoszenie, bo może połączyć kilka spraw prowadzonych przez służby.
Jakie konsekwencje prawne grożą sprawcy
Samo techniczne wyświetlenie cudzego numeru nie oznacza automatycznie jednego konkretnego przestępstwa. Odpowiedzialność zależy od tego, co sprawca zrobił, komu zaszkodził i jaki miał cel. W praktyce podszywanie często łączy się z wyłudzeniem pieniędzy, kradzieżą danych, bezprawnym dostępem do konta albo wykorzystaniem cudzej tożsamości.
Jeżeli sprawca doprowadza ofiarę do przekazania pieniędzy przez wprowadzenie jej w błąd, czyn może zostać zakwalifikowany jako oszustwo z art. 286 § 1 Kodeksu karnego, zagrożone karą od 6 miesięcy do 8 lat pozbawienia wolności. Podszywanie się pod inną osobę przy użyciu jej danych lub wizerunku w celu wyrządzenia szkody może z kolei podpadać pod art. 190a § 2 Kodeksu karnego, również zagrożony karą od 6 miesięcy do 8 lat.
W grę mogą wchodzić także inne przepisy, na przykład dotyczące ingerencji w dane informatyczne. Ostateczną kwalifikację ustalają organy prowadzące postępowanie, dlatego w zawiadomieniu najlepiej opisać fakty, a nie próbować samodzielnie wskazywać wszystkich przepisów.
W Polsce obowiązują również rozwiązania nakładające na operatorów działania przeciw fałszywym połączeniom, w tym ich blokowanie albo ukrywanie identyfikacji numeru w określonych sytuacjach. To ogranicza skalę problemu, ale nie daje gwarancji, że każde oszustwo zostanie zatrzymane przed dotarciem do odbiorcy.
Najbezpieczniejszy odruch zaczyna się od przerwania kontaktu
Najskuteczniejsza reakcja nie wymaga specjalistycznej wiedzy. Przerwij rozmowę, sprawdź informację u źródła i nie przekazuj kodów ani danych. Jeśli doszło do szkody, liczy się czas, dlatego najpierw kontaktuję się z bankiem, potem zabezpieczam konta i składam zawiadomienie.
Nie obwiniaj się, jeśli oszust wykorzystał fałszywy numer, przejęty profil albo dobrze przygotowaną historię. Takie scenariusze są budowane właśnie po to, by ominąć racjonalną ocenę sytuacji. Spokój, niezależna weryfikacja i szybkie zgłoszenie zwykle robią większą różnicę niż znajomość wszystkich technicznych szczegółów.
