Smishing: fałszywe SMS-y i jak się przed nimi bronić

Czym jest smishing?

Smishing to phishing przez SMS, od słów „SMS" i „phishing". Ofiara dostaje krótką wiadomość podszywającą się pod bank, kuriera, urząd albo operatora, która ma skłonić ją do kliknięcia w odnośnik lub oddzwonienia pod wskazany numer.

W porównaniu z pocztą atakujący ma tu kilka przewag naraz. Nie ma nagłówków do sprawdzenia. Nie ma podglądu adresu. Nie ma firmowego filtra. Jest za to zaufanie do kanału, którym przychodzą prawdziwe powiadomienia z banku. To jedna z częstszych odmian opisanych w przewodniku po rodzajach phishingu, a od kilku lat coraz częściej trafia w pracowników, nie tylko w osoby prywatne.

Skala w Polsce

Polska ma jeden z lepiej udokumentowanych obrazów tego zjawiska, bo działa tu dedykowany kanał zgłoszeń pod numerem 8080. Dane CERT Polska za 2025 rok:

• Ponad 350 tysięcy wiadomości przeanalizowanych ze zgłoszeń na 8080
• Ponad 80 tysięcy uznanych za szkodliwe
• 790 opracowanych wzorców smishingowych używanych do blokowania kampanii
• Około 1,88 miliona zablokowanych złośliwych SMS-ów, o 27% więcej niż w 2024 roku

Te 790 wzorców powstało dzięki zgłoszeniom od zwykłych użytkowników. Warto o tym pamiętać, bo przekazanie wiadomości na 8080 zajmuje kilkanaście sekund i realnie skraca życie kampanii.

Dlaczego SMS jest skuteczny

Ten kanał ma cechy, które działają na korzyść atakującego:

• SMS-y otwieramy znacznie częściej i szybciej niż e-maile
• Krótka forma nie zostawia miejsca na szczegóły, które mogłyby wzbudzić podejrzenia
• Skrócone odnośniki są tu normą, więc nie wyglądają podejrzanie
• Telefon rzadko ma ochronę porównywalną z komputerem służbowym
• Nadawcę da się podszyć tak, że wiadomość wpada do wątku z prawdziwymi SMS-ami z banku
• Czytamy w biegu, zwykle przy okazji czegoś innego

Przebieg ataku

Najczęstsze scenariusze w Polsce

Kampanie powtarzają kilka sprawdzonych schematów. Znajomość ich z góry załatwia większość problemu:

Dopłata do przesyłki

Wariant najpopularniejszy. Rzekomy kurier informuje o konieczności dopłaty kilku złotych, żeby zwolnić paczkę. Działa, bo w dowolnym momencie spora część odbiorców faktycznie na coś czeka.

Blokada konta

Wiadomość zgłasza podejrzaną transakcję albo blokadę dostępu i każe natychmiast zalogować się przez podany odnośnik. Gra na strachu przed utratą pieniędzy, więc skraca czas na zastanowienie.

Zaległa opłata urzędowa

Podszycie się pod urząd albo dostawcę mediów, z informacją o niedopłacie i groźbą odsetek lub odcięcia usługi. Skuteczne, bo mało kto kontroluje takie rozliczenia na bieżąco.

Jak rozpoznać fałszywy SMS

Kilka sygnałów odsiewa większość oszustw jeszcze przed kliknięciem:

• Wiadomość zawiera odnośnik i wymaga natychmiastowego działania
• Kwota do dopłaty jest podejrzanie niska, co jest zabiegiem celowym
• Adres jest skrócony albo zawiera nazwę instytucji wewnątrz obcej domeny
• Bank prosi o zalogowanie się przez odnośnik, czego w praktyce nigdy nie robi
• Sprawa dotyczy przesyłki, której nie zamawiałeś
• Nadawca podpisany nazwą firmy, ale numer zwrotny to zwykła komórka
• Prośba o odesłanie kodu autoryzacyjnego albo kodu BLIK

Gdzie zgłosić fałszywy SMS

W Polsce działa bezpłatny kanał zgłoszeń, z którego powstało wspomniane 790 wzorców blokujących kampanie:

• Przekaż podejrzaną wiadomość na numer 8080, bezpłatny kanał zgłoszeń CERT Polska
• Zgłoś incydent przez formularz na incydent.cert.pl
• Poinformuj bank, jeśli wiadomość podszywała się pod instytucję finansową
• Zawiadom policję, jeśli doszło do utraty środków
• W firmie przekaż zgłoszenie do działu bezpieczeństwa albo zespołu SOC
• Zachowaj wiadomość i zrzut ekranu, przydadzą się przy zgłoszeniu

Jak chronić organizację

Smishing wymierzony w pracowników jest kłopotliwy, bo firmowe zabezpieczenia zwykle kończą się na komputerze służbowym:

• Włącz scenariusze SMS-owe do programu symulacji phishingu zamiast ograniczać go do poczty
• Ustal zasadę, że sprawy służbowe nigdy nie idą SMS-em z odnośnikiem
• Wdróż uwierzytelnianie odporne na phishing zamiast kodów jednorazowych w SMS
• Objmij politykami bezpieczeństwa telefony z dostępem do danych firmowych
• Daj zespołowi szybki kanał zgłaszania podejrzanych wiadomości, także tych prywatnych
• Monitoruj środowisko całodobowo, na przykład w modelu SOC-as-a-Service, żeby wychwycić skutki przejęcia konta
• Ostrzegaj o trwających kampaniach, bo ostrzeżenie w odpowiednim tygodniu działa lepiej niż szkolenie raz w roku
• Szerszy obraz socjotechniki w sektorze finansowym znajdziesz w Raporcie Social Engineering 2026

Podsumowanie

Smishing działa nie dlatego, że jest wyrafinowany. Działa, bo trafia w moment nieuwagi na urządzeniu, którego nikt nie chroni. Dopóki bezpieczeństwo w firmie kończy się na laptopie, ten kanał zostaje otwarty. Rozszerzenie symulacji na SMS jest najtańszym sposobem, żeby to sprawdzić, zanim sprawdzi ktoś inny.

Twój firewall nie widzi SMS-ów. Twoi pracownicy widzą wszystkie i to oni podejmują decyzję.