Fałszywy SMS – jak rozpoznać oszustwo i co zrobić?

Fałszywy SMS rozpoznasz po trzech rzeczach naraz: zawiera link, wywiera presję („zapłać dziś”, „paczka wraca do nadawcy”) i prosi o dane lub drobną dopłatę. Prawdziwy kurier, bank czy urząd może Cię powiadomić SMS-em, ale płatności i logowanie zawsze załatwisz w jego aplikacji lub na stronie, którą wpiszesz samodzielnie. Podejrzaną wiadomość przekaż bezpłatnie na numer 8080 (CERT Polska), a potem ją usuń.

Fałszywe SMS-y to obecnie jedna z najczęstszych form oszustw w Polsce. Poniżej znajdziesz przykłady kampanii, przed którymi CERT Polska ostrzegał w 2026 roku, listę sygnałów ostrzegawczych, instrukcję zgłaszania i blokowania oraz plan działania, jeśli już kliknąłeś.

Jak rozpoznać fałszywy SMS – 8 sygnałów

1. Link w treści, zwłaszcza skrócony albo z dziwną końcówką (.top, .xyz, .info, .app) lub z nazwą firmy połączoną myślnikami (inpost-zwrot, poczta-doplata).
2. Presja czasu: „w ciągu 24 godzin”, „dziś ostatni dzień”, „paczka zostanie zutylizowana”.
3. Mała kwota do zapłaty – 1,99 zł, 2,50 zł, 8 zł. Oszustom chodzi o dane karty, nie o te grosze.
4. Prośba o dane karty z kodem CVV, login do banku, PESEL albo zdjęcie dowodu.
5. Sprawa, o której nic nie wiesz – paczka, której nie zamawiałeś, mandat za miejsce, w którym nie byłeś, zwrot podatku, o który nie wnioskowałeś.
6. Prośba, żebyś odpisał (np. „odpisz T, aby aktywować link”) albo skopiował adres do przeglądarki. To sposób na obejście zabezpieczeń telefonów, które mogą nie pokazywać aktywnych linków od nieznanych nadawców.
7. Dziwny nadawca – zwykły numer komórkowy, numer zagraniczny albo adres e-mail zamiast nazwy firmy.
8. Błędy i dziwny język – choć coraz więcej oszukańczych SMS-ów jest napisanych poprawnie, więc to najsłabszy sygnał.

Przykłady fałszywych SMS-ów z 2026 roku

Poniższe treści to typowe schematy opisane naszymi słowami na podstawie ostrzeżeń CERT Polska z 2026 roku. Prawdziwe wiadomości różnią się szczegółami, ale mechanizm jest ten sam.

„Paczka wraca do nadawcy” – podszywanie się pod InPost

Twoja przesyłka zbyt długo czekała w Paczkomacie i rozpoczęto jej zwrot. Możesz go zatrzymać, opłacając ponowne doręczenie: [link]

Pod koniec października 2026 r. CERT Polska ostrzegał przed taką kampanią. Strona z linku prosi o dane do „ponownego doręczenia” i dane karty płatniczej.

„Dopłata do przesyłki” – podszywanie się pod Pocztę Polską

Twoja przesyłka czeka na opłatę celną. Ureguluj należność, aby uniknąć zwrotu: [link]

Kampania opisana przez CERT Polska na początku listopada 2026 r. Fałszywa strona wyłudza dane osobowe, adres, numer karty, datę ważności i kod CVV.

„Nieopłacony mandat” – podszywanie się pod mObywatela i CEPiK

Odnotowano wykroczenie drogowe. Opłać mandat w ciągu 24 godzin, aby uniknąć dodatkowych konsekwencji: [link]

W maju 2026 r. CERT Polska opisał wariant, w którym nazwa nadawcy była podrobiona tak, że SMS trafiał do istniejącej rozmowy z powiadomieniami mObywatela. Link prowadził do strony udającej CEPiK, która wyłudzała dane karty.

„Zwrot podatku” – podszywanie się pod urząd skarbowy

Przysługuje Ci zwrot nadpłaty podatku. Potwierdź dane, aby otrzymać środki: [link]

Taki schemat wraca regularnie – CERT Polska ostrzegał przed nim w lutym i ponownie na początku listopada 2026 r. (strona udawała serwis podatki.gov.pl).

Inne motywy, które krążą w 2026 roku

• Kurier DPD – „nieudana dostawa, ustal nowy termin” (ostrzeżenie CERT Polska z kwietnia 2026 r.),
• Opłata za parkowanie – „nieopłacony postój, uiść opłatę”, czasem z prośbą o odpisanie, żeby link stał się aktywny,
• Bank – „nietypowe logowanie”, „aktualizacja danych klienta”,
• Prąd i gaz – „zaległa faktura, odłączymy dostawy” albo „nadpłata do zwrotu”,
• OLX i Vinted – „kupujący opłacił przedmiot, odbierz pieniądze”. Tu oszuści często wyłudzają kod BLIK – patrz oszustwo na BLIKA.

Bieżące ostrzeżenia CERT Polska znajdziesz na stronie moje.cert.pl w zakładce z komunikatami.

Jak przekazać fałszywy SMS na 8080

Numer 8080 prowadzi CERT Polska. Na podstawie zgłoszeń zespół ostrzega przed nowymi kampaniami, dopisuje fałszywe strony do Listy Ostrzeżeń (operatorzy blokują do nich dostęp) i przygotowuje wzorce, według których operatorzy filtrują kolejne takie SMS-y.

Zasady według instrukcji na gov.pl:

• przekaż całą wiadomość w oryginalnej formie – nie wycinaj linku ani treści,
• w Polsce zgłoszenie jest bezpłatne,
• z jednego numeru możesz zgłosić najwyżej 3 wiadomości w ciągu 4 godzin,
• jeśli telefon nie ma funkcji przekazywania, skopiuj treść i wyślij ją na 8080 jako nowy SMS.

Android (aplikacja Wiadomości Google)

1. Otwórz rozmowę z podejrzanym SMS-em.
2. Przytrzymaj palec na wiadomości, aż zostanie zaznaczona.
3. Dotknij ikony ⋮ (trzy kropki) w prawym górnym rogu i wybierz Przekaż dalej.
4. Wybierz Nowa wiadomość, wpisz numer 8080 i wyślij.

W telefonach Samsung (aplikacja Wiadomości Samsunga) po przytrzymaniu wiadomości opcja Przekaż dalej pojawia się od razu w menu. Nazwy mogą się nieco różnić w zależności od wersji aplikacji.

iPhone (aplikacja Wiadomości)

1. Otwórz rozmowę i przytrzymaj palec na dymku z podejrzaną wiadomością.
2. Wybierz Więcej….
3. Dotknij strzałki przekazywania w prawym dolnym rogu ekranu.
4. W polu Do: wpisz 8080 i wyślij.

Jak zablokować nadawcę fałszywego SMS-a

Blokada pomaga, gdy wiadomości przychodzą z jednego numeru. Oszuści często jednak zmieniają numery i nazwy nadawców, dlatego zgłoszenie na 8080 jest ważniejsze niż sama blokada.

Android (Wiadomości Google): na liście rozmów przytrzymaj rozmowę z oszustem, dotknij Zablokuj, zaznacz Zgłoś spam i potwierdź OK. Zgłoszenie spamu jest opcjonalne – wysyła numer nadawcy i ostatnie wiadomości od niego do Google (pomoc Google).

iPhone: otwórz rozmowę, dotknij nazwy lub numeru nadawcy u góry ekranu i wybierz Zablokuj tego rozmówcę. W ustawieniach aplikacji Wiadomości możesz też włączyć filtrowanie wiadomości od nieznanych nadawców – trafiają wtedy do osobnej listy (nazwa opcji zależy od wersji iOS).

Gdybyś przez pomyłkę zablokował kogoś znajomego, zobacz, jak odblokować zablokowany kontakt.

Kliknąłem w link z fałszywego SMS-a – co teraz?

Tylko otworzyłem stronę

Zamknij ją, nic nie wpisuj i niczego nie pobieraj. Przekaż SMS na 8080 i usuń go. Samo otwarcie strony w typowej kampanii nie wystarcza do kradzieży pieniędzy.

Wpisałem dane karty

1. Od razu zastrzeż kartę: w aplikacji banku, przez infolinię (numer na odwrocie karty) albo pod wspólnym numerem 828 828 828.
2. Sprawdź historię operacji i zgłoś bankowi każdą nieznaną transakcję.
3. Nie zatwierdzaj w aplikacji banku ani SMS-em żadnych operacji, których sam nie zlecasz – oszuści mogą próbować np. dodać Twoją kartę do portfela płatniczego na swoim telefonie, a bank poprosi Cię wtedy o potwierdzenie.

Wpisałem login i hasło do banku

1. Zadzwoń na infolinię banku i poproś o zablokowanie dostępu do bankowości internetowej.
2. Zmień hasło (po odblokowaniu, na prawdziwej stronie lub w aplikacji).
3. Sprawdź, czy nie zmieniono limitów, numeru telefonu do autoryzacji ani nie dodano zaufanych odbiorców.

Podałem PESEL lub zdjęcie dowodu

Zastrzeż PESEL w aplikacji mObywatel lub na gov.pl i zastrzeż dowód osobisty. Utrudni to wzięcie kredytu lub pożyczki na Twoje dane.

Zainstalowałem aplikację z linku

Strony z fałszywych SMS-ów czasem namawiają do instalacji „aplikacji do śledzenia paczki” spoza Sklepu Google Play. Taka aplikacja może czytać Twoje SMS-y, w tym kody z banku.

1. Włącz tryb samolotowy.
2. Z innego telefonu zadzwoń do banku.
3. Odinstaluj aplikację, a jeśli się nie da – przeczytaj, jak sprawdzić, czy nie masz szpiega w telefonie. W razie wątpliwości przywróć telefon do ustawień fabrycznych.

Straciłem pieniądze

Zadzwoń do banku, złóż reklamację z wyraźnym żądaniem zwrotu i zgłoś przestępstwo na policji. Zabierz zrzuty ekranu SMS-a, adres strony i godziny operacji. Więcej o zgłaszaniu i odzyskiwaniu pieniędzy przeczytasz w poradniku phishing – co to jest.

Co robią operatorzy i państwo

Od 2023 roku obowiązuje ustawa o zwalczaniu nadużyć w komunikacji elektronicznej. Na jej podstawie operatorzy:

• blokują SMS-y pasujące do wzorców oszustw, które przygotowuje CERT Polska,
• blokują SMS-y z zastrzeżonymi nazwami nadawców instytucji publicznych (np. nadpis urzędu skarbowego), jeśli nie wysłał ich uprawniony podmiot,
• blokują dostęp do stron z Listy Ostrzeżeń CERT Polska.

To filtruje dużą część oszustw, ale nie wszystkie – nowe kampanie i nowe domeny pojawiają się codziennie. Dlatego każdy przekazany na 8080 SMS ma znaczenie: im szybciej CERT dostanie zgłoszenie, tym szybciej zablokuje stronę dla wszystkich.