Fałszywe SMS-y (smishing): paczka, dopłata i BLIK. Jak rozpoznać i co zrobić (2026)

Czym jest smishing i dlaczego jest skuteczny

Smishing to phishing prowadzony przez SMS. To oszustwo, w którym wiadomość tekstowa ma skłonić Cię do kliknięcia w link, podania danych lub wykonania płatności. Nazwa powstała z połączenia słów SMS oraz phishing. W odróżnieniu od podejrzanego maila SMS budzi większe zaufanie: ląduje w tej samej skrzynce, w której dostajesz wiadomości od kuriera, banku czy przychodni, a czytamy go zwykle w pośpiechu, jednym okiem.

Oszuści grają na trzech emocjach: pośpiechu („tylko dziś", „za chwilę przepadnie"), strachu („zablokowano konto", „zaległość do zapłaty") oraz drobnej kwocie, która wydaje się nie warta zastanowienia („dopłata 1,50 zł"). Połączenie tych elementów z linkiem prowadzącym do łudząco podobnej strony sprawia, że nawet ostrożne osoby dają się nabrać.

Smishing należy do większej rodziny oszustw. Jego telefoniczny odpowiednik, czyli wyłudzanie danych podczas rozmowy, nazywamy vishingiem, a przeniesienie tej samej sztuczki na kody QR to quishing. Jeśli chcesz zobaczyć szerszy obraz, sprawdź, jak działa spoofing telefoniczny i podszywanie się pod numer banku oraz oszustwo na BLIK i wyłudzenie kodu.

Skąd oszuści mają Twój numer

Do masowej wysyłki nie potrzeba Twojej zgody ani znajomości. Numery trafiają do oszustów z wycieków danych, z baz kupowanych w szarej strefie, a często są po prostu losowane w zakresach przydzielonych polskim operatorom. Dlatego fałszywy SMS może dotrzeć nawet wtedy, gdy nigdzie nie podawałeś numeru. Więcej piszemy w poradnikach skąd telemarketer ma mój numer telefonu oraz czy mój numer telefonu wyciekł i co robić.

Jak wygląda kampania smishingowa od kuchni

Pojedynczy fałszywy SMS prawie nigdy nie jest dziełem przypadku. To element kampanii rozsyłanej hurtowo do tysięcy odbiorców naraz. Oszuści korzystają z bramek SMS i kart SIM, a coraz częściej z podrobionego pola nadawcy, dzięki czemu wiadomość potrafi podszyć się pod nazwę banku albo firmy kurierskiej i wpaść do tego samego wątku, w którym masz prawdziwe powiadomienia.

Numer lub nazwa nadawcy nie są więc dowodem autentyczności. Tę samą mechanikę podszywania opisujemy w artykule o spoofingu telefonicznym. Część kampanii idzie też z numerów zagranicznych albo internetowych: zobacz, czym są numery VoIP i jak czytać zagraniczne numery kierunkowe.

Co blokują operatorzy, a co i tak do Ciebie dotrze

Od 25 marca 2024 roku polscy operatorzy mają obowiązek odsiewać fałszywe SMS-y na dwa sposoby. Po pierwsze blokują wiadomości pasujące do wzorców publikowanych przez CERT Polska, tworzonych na podstawie zgłoszeń użytkowników. Po drugie odrzucają SMS-y z zastrzeżonymi nadpisami, czyli nazwami nadawców w rodzaju „e-US” czy nazwy banku, jeśli wiadomość nie wyszła oficjalnym kanałem danej instytucji.

Liczby pokazują, że system pracuje pełną parą. W 2025 roku do CERT Polska trafiło ponad 295 tysięcy zgłoszeń podejrzanych SMS-ów, a operatorzy zablokowali na podstawie wzorców ponad 1,88 miliona wiadomości. Do Listy Ostrzeżeń, która odcina dostęp do niebezpiecznych stron, dopisano w tym samym roku prawie 245 tysięcy domen, co przełożyło się na ponad 141 milionów zablokowanych wejść.

Skoro filtr działa, dlaczego fałszywe SMS-y wciąż przychodzą? Bo oszuści się dostosowali. Rejestrują nowe domeny co kilka godzin, zanim trafią one na listy, mieszają treść wiadomości tak, by ominąć wzorce, i wysyłają kampanie z zagranicznych bramek. Coraz częściej przenoszą się też do komunikatorów takich jak WhatsApp czy wiadomości RCS, których operatorska blokada SMS-ów nie obejmuje. Filtry zdejmują z Ciebie część ryzyka, ale ostatnia decyzja, kliknąć czy nie, zawsze należy do Ciebie.

Najczęstsze scenariusze fałszywych SMS-ów

Paczka i dopłata do przesyłki

Najpopularniejszy wariant: rzekoma firma kurierska informuje, że paczka czeka, ale wymaga drobnej dopłaty, aktualizacji adresu lub opłaty celnej. W polskich realiach SMS podszywa się najczęściej pod InPost, Pocztę Polską, DPD, DHL czy GLS i straszy, że przesyłka wróci do nadawcy. Link prowadzi do podrobionej strony płatności, która wyłudza dane karty albo loginy do bankowości. Kwota jest celowo śmieszna, na przykład 1,50 zł, byś nie zastanawiał się nad zapłaceniem.

Sygnał ostrzegawczy jest prosty: jeśli nie czekasz na żadną paczkę, nie ma czego dopłacać. Status prawdziwej przesyłki sprawdzisz zawsze w aplikacji przewoźnika lub wpisując numer śledzenia na jego oficjalnej stronie, nigdy przez link z SMS-a. Wszystkie warianty podszywania się pod najpopularniejszego przewoźnika, od fałszywego kuriera po paczki za pobraniem, zebraliśmy w tekście o oszustwie na InPost.

Dopłata do rachunku, prądu lub podatku

Tu scenariusz to zaległość: „niedopłata za prąd", „zaległy podatek", „faktura do uregulowania". SMS straszy odcięciem usługi lub karą, a do tego dorzuca link do natychmiastowej płatności. Cel jest ten sam: przekierować Cię na fałszywą bramkę. Ten sam mechanizm wykorzystują oszuści podszywający się pod urzędy, co opisujemy w poradniku o fałszywym SMS i telefonie na ZUS oraz urząd skarbowy, a także rzekomi sprzedawcy energii w artykule o fałszywym doradcy energetycznym.

BLIK, bank i „zablokowane konto"

Najgroźniejszy wariant uderza w bankowość. SMS informuje o „zablokowanym koncie", „nietypowym logowaniu" albo prosi o potwierdzenie kodu BLIK. Link prowadzi do podrobionej strony banku, a podane tam dane trafiają wprost do oszustów. Zapamiętaj jedną zasadę: bank nigdy nie prosi SMS-em o potwierdzanie kodu BLIK ani o logowanie przez link. Jak dokładnie działa wyłudzenie kodu, tłumaczymy w artykule o oszustwie na BLIK, a podszywanie się pod infolinię banku w poradniku o spoofingu telefonicznym.

Fałszywy mandat, e-TOLL i opłata drogowa

Coraz częstszy wariant straszy mandatem za przekroczenie prędkości, nieopłaconą bramką e-TOLL albo zaległą opłatą drogową. Wiadomość gra na odruchu „lepiej szybko zapłacić, niż mieć kłopoty". To ta sama mechanika co przy paczce, tylko inny pretekst. Rozkładamy ją na czynniki pierwsze w poradniku o fałszywym SMS o mandacie, e-TOLL i fotoradarze.

Wygrana, nagroda i „odbierz prezent"

„Wygrałeś nagrodę", „odbierz paczkę gratis", „Twój numer został wylosowany". Tutaj przynętą jest nie strach, lecz pokusa. Aby „odebrać" nagrodę, masz podać dane karty rzekomo na koszty wysyłki albo zalogować się na podstawionej stronie. Jak rozpoznać ten schemat, opisujemy w artykule o fałszywej wygranej, loterii i konkursie.

Sprzedaż na OLX i Vinted: „link do odbioru"

Jeśli wystawiasz rzeczy na sprzedaż, możesz dostać wiadomość od rzekomego kupującego z „linkiem do odbioru płatności". Link prowadzi do fałszywej strony, która zamiast wpłacić Ci pieniądze, wyłudza dane karty. Pełny scenariusz znajdziesz w poradniku o oszustwie na OLX i Vinted.

Inne warianty, które warto znać

Oszuści chętnie podszywają się też pod popularne usługi i instytucje: „przesyłka w mObywatel", „weryfikacja konta", „rozliczenie zwrotu podatku", „aktualizacja danych w banku". Pretekst zmienia się z sezonem i modą, ale schemat zostaje ten sam: pośpiech, link i prośba o dane. Gdy nauczysz się rozpoznawać mechanizm, konkretna treść przestaje mieć znaczenie.

Przykłady treści fałszywych SMS-ów

Poniżej kilka typowych wiadomości. Adresy stron celowo zniekształcamy, bo nigdy nie należy w nie klikać:

• „Twoja paczka utknela w sortowni. Doplac 1,50 zl, aby dokonczyc dostawe: inpost-doplata[.]xyz"
• „mObywatel: wykryto zalegly mandat. Ureguluj naleznosc do dzis: e-platnosci-gov[.]top"
• „Twoje konto zostalo czasowo zablokowane. Potwierdz tozsamosc: bank-weryfikacja[.]online"
• „Niedoplata za energie. Prad zostanie odlaczony w 24h. Zaplac: e-bok-oplata[.]click"

Zwróć uwagę na powtarzalne cechy: brak polskich znaków, presję czasu, śmieszną kwotę oraz adres, który tylko udaje stronę znanej firmy. Prawdziwy bank czy urząd nigdy nie załatwia takich spraw jednym linkiem z SMS-a.

Po czym poznać fałszywy SMS

Sygnały ostrzegawcze powtarzają się niezależnie od scenariusza:

1. 1Wiadomość wymusza pośpiech albo straszy konsekwencjami („tylko dziś", „konto zostanie zablokowane").
2. 2Zawiera link, zwłaszcza skrócony lub z dziwną, niepasującą do firmy domeną.
3. 3Prosi o dane logowania, kod BLIK, dane karty albo kod z innego SMS-a.
4. 4Dotyczy paczki, której się nie spodziewasz, lub opłaty, o której nic nie wiesz.
5. 5Zawiera literówki, dziwne znaki albo nienaturalny, „przetłumaczony" język.
6. 6Każe zainstalować aplikację spoza oficjalnego sklepu, żeby „śledzić paczkę" albo „odblokować konto".

Jeśli choć jeden z tych elementów się pojawia, traktuj SMS jak próbę oszustwa, nawet jeśli wygląda na wiadomość od znanej firmy.

Niebezpieczne linki i podrobione bramki płatności

Sercem smishingu jest link. Prowadzi on do strony łudząco podobnej do prawdziwej, z logo banku, kuriera czy operatora, ale pod fałszywym adresem. Wpisane tam loginy, hasła i dane karty trafiają od razu do oszustów, a podrobiona „bramka płatności" zamiast 1,50 zł potrafi autoryzować znacznie wyższą transakcję albo zapisać Twoją kartę do dalszych obciążeń.

Jak czytać adres, żeby nie dać się nabrać? Liczy się człon tuż przed pierwszym pojedynczym ukośnikiem. W adresie „inpost.platnosci-online[.]xyz" prawdziwą domeną jest „platnosci-online[.]xyz", a słowo „inpost" to tylko doklejony wabik. Pamiętaj też, że kłódka i „https" oznaczają jedynie szyfrowanie połączenia, a nie uczciwość strony. Fałszywe witryny również bywają szyfrowane.

Dlatego żelazna zasada brzmi: nie klikaj w linki z SMS-ów dotyczących płatności i logowania. Jeśli chcesz coś sprawdzić, wejdź na stronę firmy samodzielnie, wpisując adres ręcznie, albo skorzystaj z jej oficjalnej aplikacji.

Co się dzieje, gdy klikniesz lub zainstalujesz aplikację

Samo otwarcie strony rzadko wystarcza, by stracić pieniądze. Problem zaczyna się wtedy, gdy coś na niej wpiszesz albo zainstalujesz wskazany plik. Wpisane dane karty i loginy oszuści wykorzystują od razu, a czasem podstawiają też ekran proszący o kod z SMS-a, żeby zatwierdzić transakcję Twoją ręką.

Druga droga to złośliwa aplikacja. Pod pozorem „śledzenia paczki" albo „aktualizacji bankowości" instaluje się program, który czyta SMS-y z kodami, podstawia fałszywe ekrany logowania lub przejmuje kontrolę nad telefonem. Dlatego aplikacje instaluj wyłącznie z oficjalnych sklepów i nie zgadzaj się na instalację z linku. Pokrewny scenariusz, w którym oszust przez telefon nakłania do instalacji programu do zdalnego pulpitu, opisujemy w artykule o fałszywym telefonie o wirusie i zdalnym dostępie.

Co zrobić, gdy dostaniesz taki SMS

Reaguj spokojnie i według schematu:

1. 1Nie klikaj w link i nie oddzwaniaj na numer podany w wiadomości.
2. 2Nie podawaj żadnych danych, kodów ani loginów.
3. 3Zweryfikuj sprawę samodzielnie: wejdź na oficjalną stronę lub do aplikacji firmy, albo zadzwoń na jej oficjalną infolinię.
4. 4Sprawdź numer nadawcy w wyszukiwarce numerów.
5. 5Zgłoś wiadomość i usuń ją.

Kliknąłeś w link lub podałeś dane: co teraz

Jeśli dałeś się nabrać, liczy się czas:

1. 1Jeśli podałeś dane karty lub logowania do banku, natychmiast zadzwoń na oficjalną infolinię banku, zastrzeż kartę i zablokuj dostęp do bankowości.
2. 2Zmień hasła z innego, zaufanego urządzenia, zaczynając od bankowości i poczty.
3. 3Włącz lub zweryfikuj uwierzytelnianie dwuskładnikowe tam, gdzie to możliwe.
4. 4Obserwuj konto i reklamuj nieautoryzowane transakcje. Masz prawo zgłosić je bankowi.
5. 5Zgłoś sprawę na policję, a podejrzaną wiadomość do CERT Polska.

Jeśli pieniądze już zniknęły z konta, nie zwlekaj. Krok po kroku, jak je odzyskać i jakie masz prawa, opisujemy w poradniku jak odzyskać pieniądze po oszustwie.

Jak chronić się przed smishingiem na dłużej

Jednej, magicznej blokady nie ma, ale kilka nawyków znacząco zmniejsza ryzyko:

1. 1Włącz w telefonie filtrowanie wiadomości od nieznanych nadawców. Android i iPhone potrafią oddzielać SMS-y spoza listy kontaktów.
2. 2Oznaczaj fałszywe SMS-y jako spam, zamiast tylko je kasować. Uczysz w ten sposób filtr i operatora.
3. 3Nie zapisuj danych karty na stronach, których nie znasz, i rozważ osobną kartę lub niski limit na płatności internetowe.
4. 4Włącz powiadomienia o transakcjach, żeby od razu wychwycić nieautoryzowane obciążenie.
5. 5Aktualizuj system i aplikację bankową. Łatki zamykają luki, które wykorzystuje złośliwe oprogramowanie.

Jeśli ten sam numer wraca z kolejnymi wiadomościami, możesz go zablokować. Jak to zrobić na Androidzie i iPhonie, pokazujemy krok po kroku w poradniku jak zablokować numer telefonu.

Smishing wobec seniorów i osób mniej obeznanych

Fałszywe SMS-y są szczególnie groźne dla osób, które rzadziej korzystają z bankowości w telefonie i łatwiej ulegają presji „urzędowego" tonu. Z bliskimi warto umówić prostą zasadę: żadnego klikania w linki i żadnych płatności bez wcześniejszej rozmowy. Jak rozmawiać o tym z rodzicami i dziadkami, podpowiadamy w poradniku jak chronić seniorów przed oszustwami telefonicznymi.

Gdzie zgłosić fałszywy SMS

W Polsce podejrzane SMS-y zgłosisz do CERT Polska na trzy sposoby: przesyłając treść wiadomości na numer 8080 (przekazanie jest bezpłatne), przez formularz na stronie incydent.cert.pl albo w aplikacji mObywatel, w usłudze „Bezpiecznie w sieci”. Dzięki temu złośliwe linki trafiają na listy ostrzeżeń i są blokowane szybciej, co chroni kolejne osoby.

Jeśli straciłeś pieniądze lub podałeś dane, zgłoś sprawę dodatkowo na policję. Warto też powiadomić podmiot, pod który podszył się oszust, czyli bank lub firmę kurierską, korzystając z oficjalnego kanału kontaktu. Pełną listę miejsc, w których zgłosisz nadużycie, zebraliśmy w artykule gdzie zgłosić oszustwo telefoniczne i spam.

Sprawdź numer nadawcy

Wiele fałszywych SMS-ów wysyłanych jest z numerów telefonów, które inni już zdążyli oznaczyć jako oszustwo. Sprawdzenie nadawcy w wyszukiwarce numerów zajmuje chwilę i często od razu potwierdza, że masz do czynienia ze smishingiem. Jeśli nie wiesz, od czego zacząć, pomoże poradnik jak sprawdzić, kto dzwoni z nieznanego numeru.

Gdy sam dodasz w serwisie SprawdzamNumer ocenę i krótki opis podejrzanego SMS-a, ostrzeżesz kolejne osoby, do których dotrze ta sama kampania. Zgłoszenie jest bezpłatne i nie wymaga rejestracji, a im więcej oznaczeń, tym mniejsza szansa, że ktoś kliknie w niebezpieczny link.