Spoofing – co to jest i jak nie dać się oszukać?

Spoofing to podszywanie się – oszust sprawia, że na ekranie widzisz numer Twojego banku, policji albo członka rodziny, SMS przychodzi „od” mObywatela, e-mail „od” urzędu, a strona wygląda jak prawdziwy sklep. Najgroźniejszy jest spoofing telefoniczny: dzwoni „pracownik banku” z prawdziwego numeru infolinii i namawia do przelewu na „bezpieczne konto”. Numer na ekranie da się podrobić, więc nie jest dowodem, kto naprawdę dzwoni.

Najprostsza obrona jest jedna: rozłącz się i oddzwoń sam na numer, który znasz z karty, umowy lub oficjalnej strony. Poniżej wyjaśniamy, jakie są rodzaje spoofingu, dlaczego w 2026 roku słowo to pojawia się tak często w wiadomościach i co robią operatorzy, UKE i banki.

Rodzaje spoofingu

Rodzaj	Co jest podrobione	Typowy cel oszusta
Telefoniczny (CLI spoofing)	numer wyświetlany przy połączeniu	przelew na „bezpieczne konto”, kod BLIK, instalacja aplikacji
SMS	nazwa nadawcy, np. „mObywatel”, „InPost”	kliknięcie linku i podanie danych karty
E-mail	adres lub nazwa nadawcy	logowanie na fałszywej stronie, zainfekowany załącznik
Strona internetowa	wygląd strony i adres podobny do prawdziwego	kradzież loginu, hasła, danych karty
GPS	sygnał satelitarny	zakłócenie nawigacji (nie oszustwo na osobach prywatnych)

Spoofing telefoniczny – „dzwoni bank” albo „dzwoni policja”

To najczęstsza forma spoofingu, z którą spotykają się seniorzy. Przebieg rozmowy jest zwykle podobny:

1. Na ekranie widzisz numer infolinii banku (czasem z nazwą banku, jeśli masz go w kontaktach) albo numer komendy policji.
2. Rozmówca przedstawia się jako pracownik działu bezpieczeństwa: „Wykryliśmy podejrzany przelew z Pani konta” albo „Ktoś właśnie złożył wniosek o kredyt na Pana dane”.
3. Potem pojawia się „rozwiązanie”: przelać pieniądze na „bezpieczne konto techniczne”, zainstalować aplikację „do ochrony” (w rzeczywistości program do zdalnego dostępu), podać kod BLIK (podobnie działa oszustwo na BLIKA), zatwierdzić operację w aplikacji, wziąć „kredyt zabezpieczający”.
4. Często do rozmowy dołącza „policjant” albo „pracownik KNF”, który potwierdza historię, i prośba o dyskrecję: „nie mówcie nic w oddziale, pracownik może być wspólnikiem przestępców”.

Policja ostrzega, że w takich przypadkach na ekranie może się pojawić numer powiązany z infolinią banku, a ofiara chwilę później dostaje w aplikacji prośbę o zatwierdzenie – i zatwierdza ją, bo „przecież to z banku”.

Na stronie gov.pl wymieniono też sygnały techniczne: połączenie z zagranicy, gdy Twój telefon jest w Polsce, numer o nietypowej liczbie cyfr oraz połączenie z numeru alarmowego – służby ratunkowe nie dzwonią do ludzi z numerów alarmowych (gov.pl).

Spoofing SMS – fałszywy nadawca w prawdziwej rozmowie

SMS-y mogą mieć zamiast numeru nazwę nadawcy, tzw. nadpis („InPost”, „mBank”, „mObywatel”). Oszuści potrafią go podrobić. Telefon grupuje wiadomości według nazwy nadawcy, więc fałszywy SMS trafia do tej samej rozmowy, w której są prawdziwe powiadomienia. W maju 2026 r. CERT Polska opisał taki przypadek: SMS o rzekomym mandacie pojawiał się w wątku z powiadomieniami mObywatela, a link prowadził do fałszywej strony udającej CEPiK. Więcej przykładów znajdziesz w poradniku fałszywy SMS – jak rozpoznać.

Spoofing e-mail

W e-mailu najłatwiej podrobić nazwę nadawcy – to, co widzisz w skrzynce („Bank”, „Urząd Skarbowy”). Prawdziwy adres może być zupełnie inny. Żeby go sprawdzić:

• w aplikacji na telefonie dotknij nazwy nadawcy,
• na komputerze najedź kursorem lub kliknij nazwę nadawcy.

Większość dużych skrzynek pocztowych sprawdza, czy wiadomość naprawdę pochodzi z domeny, którą podaje, i często ostrzegają przed podejrzanymi wiadomościami. Nie traktuj jednak braku ostrzeżenia jako gwarancji.

Spoofing stron internetowych

Fałszywa strona kopiuje wygląd prawdziwej, a jej adres jest podobny: zamienione litery (inpots zamiast inpost), dodane słowa (olx-dostawa, poczta-polska-oplata) albo prawdziwa nazwa umieszczona na początku obcego adresu (mbank.pl-logowanie.xyz). Jak czytać adres strony, wyjaśniamy w artykule phishing – co to jest.

Spoofing GPS

To wysyłanie fałszywego sygnału satelitarnego, przez który urządzenie pokazuje złą pozycję. Nie jest używany do okradania zwykłych ludzi, ale w 2026 roku dotyczył wielu mieszkańców Polski – o tym niżej.

Dlaczego w 2026 roku o spoofingu jest głośno

Latem i jesienią 2026 roku słowo „spoofing” często pojawiało się w mediach – z dwóch różnych powodów.

1. Zakłócenia GPS nad Polską. Według danych Instytutu Łączności (PIB), na które powoływały się media, zakłócenia sygnału satelitarnego obserwowane od 2024 roku wyraźnie nasiliły się w 2026 roku, a najmocniej odczuwało je Pomorze. Instytut wskazywał, że źródło jest zewnętrzne i związane z działaniami walki elektronicznej w regionie Morza Bałtyckiego. Według firm monitorujących sygnał zakłócenia utrzymywały się także we wrześniu 2026 r. W praktyce mapa w telefonie może pokazywać złe miejsce, gubić sygnał albo źle wyznaczać trasę. Rada Instytutu: nie polegaj wyłącznie na nawigacji w telefonie i przed podróżą pobierz mapy offline.

2. Nowe zasady walki ze spoofingiem telefonicznym. We wrześniu 2026 r.:

• Prezes UKE opublikował (18 września) drugą wersję rekomendacji dotyczących CLI spoofingu dla operatorów. Ważna zmiana dotyczy numeru 116 117 (rejestracja do lekarza, e-Rejestracja Centrum e-Zdrowia) – można z niego teraz także dzwonić do pacjentów, a połączenia z zagranicy podające się za 116 117 mają być nadal blokowane,
• Minister Cyfryzacji wydał nowe rozporządzenie o wymaganiach dotyczących adresowania połączeń i tworzenia znaków identyfikujących abonenta (Dz.U. 2026 poz. 1265), które obowiązuje od 1 października 2026 r. i zastąpiło przepisy z 2014 roku. To przepisy techniczne dla operatorów – nie musisz nic zmieniać w telefonie.

Co robią operatorzy, UKE i prawo

Podstawą jest ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Od 26 września 2024 r. operatorzy muszą analizować ruch i przeciwdziałać spoofingowi połączeń (gov.pl):

• połączenie z podrobionym numerem jest blokowane, jeśli operator ma pewność,
• przy wątpliwościach numer jest ukrywany – zobaczysz „Numer nieznany” lub „zastrzeżony” zamiast numeru banku,
• połączenia z numerów, które służą tylko do odbierania (np. niektóre infolinie banków i instytucji), wpisane do wykazu prowadzonego przez Prezesa UKE, mają być blokowane,
• SMS-y z zastrzeżonymi nazwami nadawców instytucji publicznych, wysłane przez nieuprawnione podmioty, są blokowane,
• operatorowi grozi kara do 3% przychodu, a sprawcy spoofingu – od 3 miesięcy do 5 lat więzienia.

Czterej najwięksi operatorzy (Orange, Play, Plus, T-Mobile) od 2024 r. stosują mechanizm „Bezpieczna Zatoka” uzgodniony z UKE, który sprawdza, czy numer przychodzącego połączenia jest prawdziwy. Dla mniejszych operatorów UKE wydał rekomendacje, jak przeciwdziałać spoofingowi.

Te zabezpieczenia znacznie ograniczają spoofing, ale – jak przyznaje samo ministerstwo – nie wyłapią każdego fałszywego połączenia. Ostrożność nadal jest potrzebna.

Jak się chronić przed spoofingiem

1. Nie ufaj numerowi na ekranie. Ani numer banku, ani 997, ani numer wnuczka nie potwierdza, kto naprawdę dzwoni.
2. Rozłącz się i oddzwoń sam. Numer banku wpisz ręcznie z karty, umowy, aplikacji albo oficjalnej strony – nie wybieraj go z listy ostatnich połączeń, żeby nie pomylić numerów.
3. Nie podawaj przez telefon żadnych kodów – BLIK, PIN, hasła, kodu z SMS-a, danych karty.
4. Nie instaluj aplikacji na prośbę rozmówcy i nikomu nie dawaj zdalnego dostępu do telefonu ani komputera.
5. Czytaj, co zatwierdzasz. Jeśli w aplikacji banku pojawia się prośba o potwierdzenie, a Ty niczego nie zlecałeś – odrzuć ją.
6. Zastrzeż PESEL. Utrudni to wzięcie kredytu na Twoje dane, którym oszuści często straszą w rozmowie. Instrukcja: jak zastrzec PESEL.
7. Ustal z rodziną hasło – słowo, które zna tylko najbliższa rodzina. Gdy „wnuczek” dzwoni z nowego numeru i prosi o pieniądze, zapytaj o nie.
8. Sprawdzaj nieznane numery, zanim oddzwonisz – pomoże w tym poradnik co to jest za numer i jak go zidentyfikować.

Dałem się oszukać – co teraz?

1. Bank – natychmiast. Zadzwoń na infolinię (numer wpisz ręcznie) lub idź do oddziału. Poproś o zablokowanie konta, kart, BLIK-a i bankowości internetowej oraz o próbę zatrzymania przelewu.
2. Zastrzeż karty – także pod wspólnym numerem 828 828 828.
3. Jeśli zainstalowałeś aplikację do zdalnego dostępu – wyłącz internet w telefonie, odinstaluj ją i zmień hasła z innego urządzenia (łatwiej z menedżerem haseł). Sprawdź też, czy w telefonie nie został szpieg.
4. Zgłoś przestępstwo na policji lub w prokuraturze. Zanotuj numer, który się wyświetlał, godzinę rozmowy, nazwiska, którymi przedstawiali się rozmówcy, i numery kont.
5. Złóż w banku reklamację z wyraźnym żądaniem zwrotu pieniędzy. Jeśli bank odmówi, możesz zwrócić się do Rzecznika Finansowego.
6. Zastrzeż PESEL i dowód osobisty, jeśli podałeś dane osobowe.
7. Zgłoś incydent do CERT Polska – na incydent.cert.pl, a podejrzane SMS-y na numer 8080.

Spoofing działa, bo opiera się na zaufaniu do tego, co widzimy na ekranie. Gdy zapamiętasz, że numer, nazwa nadawcy i wygląd strony mogą być podrobione, a prawdziwy bank nigdy nie poprosi o przelew na „bezpieczne konto”, większość tych oszustw przestaje działać.