Smishing: fałszywe SMS-y i jak się przed nimi bronić

Czym jest smishing?

Smishing to phishing prowadzony przez SMS; nazwa powstała ze słów „SMS” i „phishing”. Ofiara otrzymuje krótką wiadomość podszywającą się pod bank, firmę kurierską, urząd albo operatora, która ma skłonić ją do kliknięcia w odnośnik lub oddzwonienia pod wskazany numer. Polskie prawo traktuje to jako osobną kategorię nadużycia: ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej definiuje smishing jako wysyłanie wiadomości, w której nadawca podszywa się pod inny podmiot, żeby nakłonić odbiorcę do określonego zachowania.

W porównaniu z pocztą atakujący ma tu kilka przewag naraz. Nie ma nagłówków do sprawdzenia, nie ma podglądu adresu, nie ma firmowego filtra. Jest za to zaufanie do kanału, którym przychodzą prawdziwe powiadomienia z banku. To jedna z częstszych odmian opisanych w przewodniku po rodzajach phishingu, od kilku lat coraz częściej wymierzona w pracowników, a nie wyłącznie w osoby prywatne.

Warto od razu rozdzielić dwie rzeczy, które w praktyce mylą się najczęściej. Smishing to kanał dostarczenia, a nie rodzaj oszustwa. Ta sama fałszywa bramka płatności może przyjść SMS-em, kodem QR na wydruku albo w rozmowie telefonicznej z klonowanym głosem. Zmienia się tylko to, co widzi obrona po drodze, i to właśnie decyduje o tym, które zabezpieczenia mają szansę zadziałać.

Gdzie SMS stoi wśród kanałów ataku

Wyżej niż wskazywałaby liczba wdrożonych zabezpieczeń. Verizon w raporcie DBIR 2026 podaje, że czynnik ludzki wystąpił w 62% naruszeń, a socjotechnika była trzecim najczęstszym wzorcem naruszenia i odpowiadała za 16% przypadków. Autorzy raportu zwracają uwagę na przesunięcie kanału: ataki socjotechniczne prowadzone przez telefon, czyli SMS-em i głosem, wypadają w ich zbiorze skuteczniej niż klasyczna poczta, do której obrona przygotowywała się przez ostatnią dekadę.

W symulacjach różnica jest mierzalna. Mediana kliknięć w kampaniach pocztowych wyniosła 1,4%, a w kampaniach prowadzonych kanałami telefonicznymi około 2%, czyli o 40% więcej. Verizon sam opatruje tę liczbę zastrzeżeniem, które warto powtórzyć: firm prowadzących symulacje SMS-owe i głosowe jest znacznie mniej niż firm symulujących phishing pocztowy, więc próba dla kanału telefonicznego jest mała. Kierunek jest jednak spójny z resztą danych, a rząd wielkości wystarczy, żeby przestać traktować SMS jako margines.

Ten sam raport pokazuje, jak często firmy w ogóle stykają się z tym kanałem: mediana liczby kampanii smishingowych wymierzonych w urządzenia mobilne wyniosła 48 rocznie w dużych organizacjach i 12 w mniejszych. Co istotne, wykryto je tylko dlatego, że urządzenia były zarządzane. Telefon prywatny, na którym pracownik odbiera firmową pocztę, nie pojawia się w żadnej z tych statystyk.

Obraz z drugiej strony wygląda podobnie. Anti-Phishing Working Group odnotowała w pierwszym kwartale 2026 roku 971 181 ataków phishingowych, o 13,8% więcej niż kwartał wcześniej, a oszustwa prowadzone kanałem telefonicznym, czyli vishing i smishing łącznie, wzrosły w tym samym okresie o 15%. Najczęściej atakowaną kategorią marek został sektor telekomunikacyjny, który skoczył z 5,9% wszystkich ataków w trzecim kwartale 2025 roku do 33% w pierwszym kwartale 2026. To ma znaczenie dla treści przynęt: podszycie się pod operatora przestało być scenariuszem niszowym.

Dlaczego SMS jest skuteczny

Nie dlatego, że jest sprytny, tylko dlatego, że każda warstwa obrony, na której opiera się poczta, w tym kanale znika. Ten sam odnośnik, który w e-mailu przechodzi przez bramkę, reputację domeny i piaskownicę, w SMS-ie trafia prosto na ekran. Cechy kanału, które działają na korzyść atakującego:

• Brak nagłówków. W SMS-ie nie ma odpowiednika SPF, DKIM ani DMARC, więc nie da się sprawdzić, kto naprawdę nadał wiadomość
• Brak filtra po stronie firmy. Bramka pocztowa nie widzi ruchu SMS, a jedyne filtrowanie odbywa się w sieci operatora, według wzorca, który musi najpierw powstać
• Zaufanie do kanału. Tym samym kanałem przychodzą prawdziwe kody autoryzacyjne i powiadomienia o transakcjach
• Urządzenie poza kontrolą. Telefon prywatny nie ma polityk, agenta ani logów, które ma laptop służbowy
• Ucięty adres. Na wąskim ekranie widać początek domeny, a nie jej koniec, czyli tę część, która decyduje, gdzie naprawdę prowadzi odnośnik
• Skrócone odnośniki są tu normą, więc skracacz nie wzbudza podejrzeń tak jak w poczcie
• Czytamy w biegu. Decyzja zapada w kilka sekund, zwykle przy okazji czegoś innego

Ostatni punkt jest dla firm najbardziej niewygodny. Smishing wymierzony w pracownika prawie zawsze trafia na urządzenie prywatne, którego dział bezpieczeństwa nie widzi i widzieć nie może. Nie ma z czego zebrać telemetrii, nie ma czego zablokować, a o incydencie dowiadujemy się dopiero z konsekwencji: nietypowego logowania, zresetowanego hasła albo przelewu. To jest realna dziura w modelu BYOD i żadna licencja jej nie zamyka. Zamyka ją procedura i szybka ścieżka zgłoszeń.

Przebieg ataku krok po kroku

Polska specyfika: numer 8080, wzorce i ustawa

Polska dysponuje jednym z lepiej udokumentowanych obrazów tego zjawiska w Europie, bo działa tu osobny, bezpłatny kanał zgłoszeń pod numerem 8080 i ustawowy obowiązek blokowania. Poniższe liczby pochodzą z raportu rocznego CERT Polska za 2025 rok, opublikowanego w kwietniu 2026:

• Ponad 350 tysięcy wiadomości przeanalizowanych ze zgłoszeń na 8080
• Ponad 80 tysięcy uznanych za szkodliwe, najmniej od 2022 roku
• 790 opracowanych wzorców smishingowych używanych do blokowania kampanii
• Około 1,88 miliona zablokowanych złośliwych SMS-ów, o 27% więcej niż w 2024 roku

Te dwie liczby warto zestawić, bo zmieniają się w przeciwnych kierunkach. Blokad przybyło o ponad jedną czwartą, a szkodliwych wiadomości w zgłoszeniach było najmniej od 2022 roku. Mechanizm wzorców działa dokładnie tak, jak został pomyślany: kampania zablokowana wcześniej dociera do mniejszej liczby osób, więc mniej osób ma co zgłaszać. Skala samego zjawiska nie maleje przez to sama z siebie, zmienia się tylko punkt, w którym wiadomość zostaje zatrzymana.

Warto rozumieć, że to nie jest dobra wola operatorów. Ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej nakłada na CSIRT NASK obowiązek monitorowania smishingu i tworzenia wzorca wiadomości, a na przedsiębiorców telekomunikacyjnych obowiązek blokowania SMS-ów zgodnych z takim wzorcem. Za niewykonanie tych obowiązków przewidziano karę do 3% rocznego przychodu przedsiębiorcy telekomunikacyjnego oraz karę dla kierownika sięgającą 300% miesięcznego wynagrodzenia. Samo prowadzenie smishingu jest odrębnym przestępstwem zagrożonym karą od 3 miesięcy do 5 lat pozbawienia wolności.

Mechanizm dochodził do pełnej sprawności etapami. Ustawa weszła w życie 25 września 2023 roku. System wymiany informacji o smishingu, przez który operatorzy zgłaszają podejrzane wiadomości, a CSIRT NASK odsyła wzorce, ruszył 17 stycznia 2024 roku. Od 25 marca 2024 roku blokowanie wiadomości zgodnych z wzorcem stało się obowiązkiem, a nie opcją. Rok 2025 jest więc pierwszym pełnym rokiem, dla którego mamy dane z działającego układu, i to tłumaczy, dlaczego akurat wtedy liczba blokad podskoczyła o ponad jedną czwartą.

Drugą nogą tego systemu jest Lista Ostrzeżeń przed niebezpiecznymi stronami, prowadzona przez CERT Polska od marca 2020 roku. Domena z listy jest blokowana po stronie operatorów, więc nawet po kliknięciu w odnośnik strona się nie otworzy. W 2025 roku na listę trafiło około 250 tysięcy domen, o 166% więcej niż rok wcześniej, co dało ponad pół miliona wpisów od uruchomienia i około 140 milionów zablokowanych prób wejścia. To jest realna druga linia, ale działa dopiero po zgłoszeniu, więc pierwsza godzina życia nowej domeny pozostaje niezabezpieczona.

Wniosek praktyczny dla firmy jest prosty: zgłoszenie ma wpływ. Wszystkie 790 wzorców powstało na podstawie wiadomości przekazanych przez ludzi i przez operatorów. Przesłanie podejrzanego SMS-a na numer 8080 funkcją „przekaż” zajmuje kilkanaście sekund, jest bezpłatne u wszystkich operatorów w Polsce i skraca życie kampanii dla wszystkich pozostałych odbiorców, nie tylko dla zgłaszającego.

Nadpisywanie nadawcy: dlaczego nazwa w SMS-ie nic nie dowodzi

Pole nadawcy w SMS-ie to zwykły tekst. Protokół nie przewiduje żadnego uwierzytelnienia nadpisu, więc nadawca masowy może wpisać w nim dowolny ciąg znaków, a telefon wyświetli go bez zastrzeżeń. Skutek uboczny jest gorszy niż sam fałsz: system operacyjny grupuje wiadomości po nazwie nadawcy, więc podrobiony SMS potrafi wylądować w tym samym wątku, w którym leżą prawdziwe powiadomienia z banku, obok kodów autoryzacyjnych sprzed tygodnia. Kontekst wątku robi wtedy za wiarygodność.

Polska ustawa próbuje zamknąć przynajmniej część tej luki. CSIRT NASK prowadzi rejestr nadpisów zastrzeżonych dla podmiotów publicznych, a Prezes UKE prowadzi jawny wykaz integratorów usług SMS uprawnionych do wysyłki w imieniu tych podmiotów. Operator ma blokować wiadomość z zastrzeżonym nadpisem, jeżeli nie została nadana przez integratora z wykazu. Rejestr jest celowo podzielony na część jawną, czyli listę nadpisów, którym można ufać, oraz część niejawną, czyli katalog złośliwych wariantów tych nazw, żeby nie podpowiadać atakującym, czego jeszcze nie próbowali.

Granica tego rozwiązania jest istotna dla czytelnika prywatnego i dla firmy. Ochrona nadpisu obejmuje podmioty publiczne, a nie każdą markę. Bank, przewoźnik czy sklep nie mają w tym rejestrze automatycznego miejsca, więc nazwa nadawcy sugerująca prywatną firmę pozostaje polem, któremu nie wolno ufać jako dowodowi. Praktyczna zasada nie zmienia się od lat: nazwa nadawcy nie jest tożsamością, a wątek, w którym leży wiadomość, nie jest jej uwierzytelnieniem.

Czego nie zablokuje operator: SMS blastery

Te 1,88 miliona zablokowanych wiadomości nie opisuje całego zjawiska. Liczba obejmuje wyłącznie SMS-y, które przeszły przez sieć operatora, bo tylko tam można porównać treść z wzorcem. Równolegle rośnie druga droga dostarczenia, której ten mechanizm w ogóle nie obejmuje.

SMS blaster to odpowiednio skonfigurowany IMSI catcher, czyli urządzenie udające stację bazową, na tyle małe, że mieści się w bagażniku samochodu. Telefony w zasięgu łączą się z nim zamiast z siecią operatora, a następnie zostają zmuszone do zejścia na 2G. W 2G sieć nie uwierzytelnia się wobec telefonu, urządzenie może więc wysłać wiadomość z dowolną nazwą nadawcy prosto na ekran. Żaden wzorzec ani filtr operatora tego nie zobaczy, ponieważ wiadomość nigdy nie trafia do sieci.

Nie jest to scenariusz teoretyczny ani egzotyczny. Branża telekomunikacyjna nazwała problem po imieniu, a sądy zdążyły już wydać wyroki:

• GSMA, wrzesień 2025: azjatycki zespół zadaniowy operatorów opisał SMS blastery jako przenośne, fałszywe stacje bazowe mieszczące się w bagażniku lub plecaku, konfigurujące się samodzielnie do otoczenia i niewymagające wiedzy technicznej od operującego, i zaapelował do rządów oraz organów ścigania o wsparcie
• Wielka Brytania, marzec 2025: student z Chin woził SMS blaster w bagażniku samochodu po Londynie przez sześć dni, kierując przynęty do dziesiątek tysięcy potencjalnych ofiar; zatrzymano go, gdy urządzenie pracowało, a policjanci w pobliżu odebrali fałszywe wiadomości podpisane nazwą urzędu skarbowego
• Wielka Brytania, czerwiec 2026: druga osoba z tej samej sprawy została skazana na 48 miesięcy pozbawienia wolności za dostarczanie sprzętu do oszustwa, w śledztwie prowadzonym przez City of London Police

W Polsce nie potwierdzono publicznie takiego przypadku, sprzęt jest jednak ten sam w całej Europie, a wzorce CSIRT NASK z definicji go nie obejmują. Obrona wygląda tu inaczej niż zwykle, ponieważ leży po stronie telefonu, a nie sieci. Android od wersji 12 pozwala wyłączyć 2G przełącznikiem „Zezwalaj na 2G” w ustawieniach sieci komórkowej, a w iPhonie 2G i 3G wyłączają się razem z trybem Lockdown. To jedno ustawienie odcina całą tę ścieżkę, kosztem zasięgu w miejscach, w których pozostała już wyłącznie sieć 2G.

Blaster to skrajny przypadek szerszej zasady: filtrowanie po stronie sieci działa tylko na to, co przez tę sieć przechodzi. Ta sama luka dotyczy masowych bramek SMS wynajmowanych poza krajem odbiorcy oraz kart SIM kupowanych hurtowo do wysyłki z aparatów telefonicznych. Dlatego zdanie „operator to zablokuje” jest prawdziwe wyłącznie warunkowo i nie nadaje się na fundament firmowej procedury.

RCS i iMessage: ten sam scenariusz w szyfrowanym kanale

Telefon dawno przestał odbierać wyłącznie SMS-y. RCS w Androidzie i iMessage w telefonach Apple wyglądają w skrzynce identycznie jak zwykła wiadomość, ale technicznie są komunikatorem: ruch jest szyfrowany end-to-end i idzie przez internet, a nie przez sieć SS7 operatora. Konsekwencja dla obrony jest bezpośrednia i niewygodna. Operator nie widzi treści, więc nie ma czego porównać z wzorcem CSIRT NASK, a ustawowy obowiązek blokowania odnosi się do wiadomości SMS.

Filtrowanie przenosi się wtedy do aplikacji na telefonie i do zgłoszeń użytkowników, na których, jak przypomina GSMA, operatorzy opierają wykrywanie kampanii omijających sieć. Dla czytelnika oznacza to jedno: przewaga wizualna nowego kanału, czyli ładniejsze formatowanie, obrazki, potwierdzenia odczytu i profil nadawcy z nazwą oraz logo, nie jest dowodem autentyczności, tylko lepszą scenografią. Kryterium pozostaje to samo co przy SMS-ie: czy wiadomość każe otworzyć odnośnik i podać dane, których nikt uprawniony nie potrzebuje.

Najczęstsze scenariusze w Polsce

Kampanie powtarzają kilka sprawdzonych schematów, a ich wcześniejsza znajomość rozwiązuje większość problemu. Zestawienie poniżej czyta się w jednym kierunku: od pretekstu, przez to, o co wiadomość naprawdę prosi, aż do sygnału, który przesądza sprawę bez otwierania odnośnika.

Widać w tym jedną regułę, która działa niezależnie od pretekstu. Każdy z tych scenariuszy prosi o czynność, której instytucja nigdy nie inicjuje SMS-em: podanie danych karty, zalogowanie się przez cudzy odnośnik albo przepisanie kodu. Dopóki weryfikacja odbywa się kanałem wybranym przez nadawcę, sprawdzamy wyłącznie to, co atakujący chce nam pokazać.

Jak rozpoznać fałszywy SMS z banku

Porównanie wiersz po wierszu działa lepiej niż lista ostrzeżeń, bo prawdziwe powiadomienia też bywają lakoniczne i też potrafią straszyć. Różnicę robi nie ton, tylko to, o co wiadomość prosi i dokąd prowadzi.

Jeden wiersz zasługuje na osobne zdanie, bo Związek Banków Polskich powtarza go w każdej kampanii edukacyjnej: bank nie prosi o dane logowania w wiadomości SMS. Jeżeli wiadomość prosi, sprawa jest rozstrzygnięta, niezależnie od tego, jak wygląda nazwa nadawcy i w którym wątku leży.

Pierwsze 60 minut po kliknięciu

Kolejność ma tu większe znaczenie niż tempo. Najpierw odcina się instrument, którym można zabrać pieniądze, potem dostęp do konta, dopiero na końcu robi się zgłoszenia. Poniższa procedura zakłada najgorszy wariant: dane karty albo dane logowania zostały już wpisane.

1. 0–5 minutOsoba, która kliknęła
   Przerwij i udokumentuj

   Zamknij stronę i nie wpisuj już niczego, nawet jeśli formularz prosi o „ostatni kod”. Zrób zrzut ekranu wiadomości razem z nazwą nadawcy oraz zrzut otwartej strony. To materiał do zgłoszenia i do zawiadomienia, a po skasowaniu wiadomości nie da się go odtworzyć.

2. 5–15 minutOsoba + bank
   Zablokuj kartę i zgłoś sprawę bankowi

   Zablokuj kartę w aplikacji banku albo telefonicznie. Jeżeli nie masz dostępu do aplikacji, Związek Banków Polskich prowadzi całodobowy, ogólnokrajowy System Zastrzegania Kart pod numerem 828 828 828, który przełącza do właściwego banku. Dzwoń wyłącznie pod numer z rewersu karty, z aplikacji albo z oficjalnej strony, nigdy pod numer z wiadomości.

3. 15–30 minutOsoba, która kliknęła
   Odetnij dostęp do konta

   Z innego, zaufanego urządzenia zmień hasło do bankowości i do poczty użytej przy rejestracji. Sprawdź listę zaufanych urządzeń, zdefiniowanych odbiorców, limity przelewów i dane kontaktowe. Jeżeli tego samego hasła używasz gdzie indziej, zmień je również tam, bo dane z formularza trafiają do obrotu poza tą jedną kampanią.

4. 30–45 minutOsoba lub zespół bezpieczeństwa
   Zgłoś kanałem, który realnie blokuje

   Przekaż treść SMS-a na numer 8080 funkcją „przekaż”. Zgłoś adres strony przez formularz na incydent.cert.pl. Pierwsze zgłoszenie zasila wzorzec rozsyłany operatorom, drugie kieruje domenę na Listę Ostrzeżeń, po wpisaniu na którą strona przestaje się otwierać u klientów polskich operatorów.

5. 45–60 minutOsoba poszkodowana
   Zawiadom organy ścigania

   Jeżeli doszło do utraty środków albo do zatwierdzenia cudzej transakcji, złóż zawiadomienie na policji i dołącz zrzuty ekranu, numer lub nadpis nadawcy oraz godziny zdarzeń. Zgłoszenie do banku i zawiadomienie to dwie różne sprawy i jedno nie zastępuje drugiego.

6. Pierwsza dobaZespół bezpieczeństwa
   Sprawdź, czy to nie był dopiero początek

   Jeżeli poszkodowany ma dostęp do zasobów firmowych, potraktuj sprawę jak incydent tożsamościowy: przegląd logowań z ostatniej doby, unieważnienie sesji, sprawdzenie reguł przekierowań poczty i metod uwierzytelniania zarejestrowanych po zdarzeniu. Ten sam schemat opisujemy przy przejęciach kont z ominięciem MFA.

Dwie rzeczy z tej procedury robi się najczęściej za późno. Blokada karty bywa odkładana do rozmowy z bankiem, choć w aplikacji zajmuje kilka sekund. Zgłoszenie na 8080 bywa pomijane, bo „sprawa i tak jest już załatwiona”, a to jedyny krok w całej liście, który chroni kogoś poza zgłaszającym.

Jak chronić organizację

Smishing wymierzony w pracowników jest kłopotliwy, ponieważ firmowe zabezpieczenia zwykle kończą się na komputerze służbowym, a wiadomość przychodzi na telefon, którego firma nie widzi. Kontrole poniżej są uporządkowane od tych, które działają niezależnie od świadomości ludzi, po te, które tę świadomość budują.

Jednej pozycji na tej liście nie da się kupić. Zgłoszenia od ludzi są jedynym źródłem, z którego powstają wzorce blokujące kampanię, i jedynym sygnałem, jaki firma dostaje z urządzenia, którego nie kontroluje. Program uświadamiający, który za zgłoszenie fałszywego alarmu karze, po kilku miesiącach nie dostaje żadnych zgłoszeń, a wraz z nimi traci widoczność.

Warto też pamiętać, że SMS jest jednym z kilku kanałów tej samej socjotechniki i osobne szkolenie dla każdego z nich nie ma sensu. Ta sama presja czasu, ta sama prośba o kod i ta sama podrobiona bramka pojawiają się w vishingu z klonowaniem głosu oraz w phishingu z kodem QR. Przegląd wszystkich odmian zebraliśmy w przewodniku po rodzajach phishingu, a szerszy obraz socjotechniki w sektorze finansowym w Raporcie Social Engineering 2026.

Najczęstsze pytania

Podsumowanie

Smishing działa nie dlatego, że jest wyrafinowany. Działa, bo trafia w moment nieuwagi, na urządzeniu, którego nikt nie chroni, i dlatego, że każda warstwa obrony wypracowana dla poczty w tym kanale znika. Polska ma tu więcej narzędzi niż większość krajów: ustawowy obowiązek blokowania, wzorce CSIRT NASK, rejestr nadpisów i darmowy numer zgłoszeniowy. Wszystkie te mechanizmy mają jednak wspólne wąskie gardło, którym jest zgłoszenie od człowieka, i wspólną granicę, którą jest sieć operatora. Poza nią zostają wyłącznie decyzje podejmowane na małym ekranie w kilka sekund, a te da się przygotować tylko ćwiczeniem.

Twój firewall nie widzi SMS-ów. Twoi pracownicy widzą wszystkie i to oni podejmują decyzję.