Co to jest SIM swap
SIM swap to przejęcie cudzego numeru telefonu przez wyrobienie duplikatu karty SIM. Oszust podszywa się pod Ciebie u operatora, zgłasza „zgubienie” karty i dostaje nową z Twoim numerem. Od tej chwili Twój telefon traci zasięg, a wszystkie połączenia i SMS-y, w tym kody autoryzacyjne z banku, trafiają do przestępcy.
Numer telefonu otwiera dziś znacznie więcej niż rozmowy: potwierdza przelewy, resetuje hasła do poczty i mediów społecznościowych, loguje do usług rządowych. Dlatego SIM swap rzadko bywa celem samym w sobie. Zwykle to ostatni etap większego ataku, którego finałem jest wyczyszczone konto bankowe albo kredyt wzięty na Twoje dane.
Jak oszuści wyrabiają duplikat Twojej karty
Scenariusze są trzy. Pierwszy to wizyta w salonie operatora z podrobionym dowodem: Twoje dane, zdjęcie oszusta. Drugi to infolinia lub formularz online, gdzie do potwierdzenia tożsamości wystarczą dane z wycieku, na przykład PESEL, numer dowodu i adres. Trzeci, coraz częstszy, to przejęcie Twojego konta w panelu klienta operatora po wyłudzeniu hasła i aktywacja eSIM na urządzeniu przestępcy, bez żadnej wizyty i bez plastikowej karty.
Zanim dojdzie do podmiany, oszuści kompletują dane. Kupują je po wyciekach, wyłudzają fałszywymi SMS-ami albo telefonami rzekomo z banku. Jeśli w krótkim czasie ktoś wypytywał Cię o PESEL, a potem telefon stracił zasięg, potraktuj to jako jeden atak, nie dwa przypadki. Z tego samego powodu nikomu nie podaje się przez telefon kodu PUK: w połączeniu z dostępem do karty daje on pełną kontrolę nad numerem.
Pierwszy sygnał: telefon nagle traci zasięg
W momencie aktywacji duplikatu Twoja dotychczasowa karta przestaje działać. Telefon pokazuje „brak usług” albo „tylko połączenia alarmowe”, choć stoisz w miejscu, gdzie zawsze miałeś pełny zasięg, a restart nic nie zmienia. To najważniejsze pięć minut całego ataku: oszust właśnie loguje się do Twojego banku i czeka na kody SMS, które teraz przychodzą do niego.
Utrata zasięgu po awarii sieci zdarza się oczywiście też z niewinnych powodów. Różnica polega na tym, że przy awarii zasięg tracą również inni użytkownicy tej samej sieci wokół Ciebie. Gdy nie działa tylko Twoja karta, a znajomi na tym samym operatorze mają pełne kreski, dzwoń na infolinię z innego telefonu i pytaj wprost o wydanie duplikatu.
Zastrzeżenie numeru PESEL blokuje duplikat
Od 1 czerwca 2024 roku operator ma ustawowy obowiązek sprawdzić w państwowym rejestrze, czy Twój numer PESEL nie jest zastrzeżony, zanim wyda duplikat karty SIM. Zastrzeżony PESEL oznacza odmowę, niezależnie od tego, jak przekonująco wygląda dowód w rękach „klienta”.
Zastrzeżesz PESEL bezpłatnie w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Gdy sam potrzebujesz nowej karty, cofasz zastrzeżenie w aplikacji na czas wizyty w salonie i włączasz je ponownie po wyjściu. Ta sama blokada chroni Cię przy okazji przed kredytami wyłudzanymi na skradzione dane.
Jak się zabezpieczyć
- 1Zastrzeż numer PESEL w mObywatel i cofaj zastrzeżenie tylko na czas załatwiania konkretnej sprawy.
- 2Ustaw u operatora hasło lub PIN do obsługi konta i nie podawaj go nikomu, kto dzwoni pierwszy.
- 3Zabezpiecz panel klienta operatora silnym, unikalnym hasłem, bo przejęte konto to dla oszusta gotowy eSIM.
- 4Tam, gdzie się da, zamień kody SMS na autoryzację w aplikacji banku: kod z aplikacji nie idzie przez sieć komórkową i nie przejmie go duplikat karty.
- 5Nie podawaj PESEL-u ani numeru dowodu przez telefon. Prawdziwy konsultant banku czy operatora nie potrzebuje ich, żeby z Tobą rozmawiać.
Numer przestał działać? Działaj w tej kolejności
- 1Z innego telefonu zadzwoń na infolinię swojego operatora i zapytaj, czy ktoś nie wyrobił duplikatu Twojej karty. Jeśli tak, żądaj natychmiastowej blokady i przywrócenia numeru.
- 2Zablokuj bankowość elektroniczną przez infolinię banku, zanim zrobisz cokolwiek innego. Liczy się każda minuta.
- 3Zmień hasła do poczty e-mail i kont, które resetują hasło przez SMS.
- 4Zastrzeż PESEL, a jeśli podejrzewasz, że w obiegu jest kopia Twojego dowodu, zastrzeż też dokument.
- 5Zgłoś sprawę na policję i do CERT Polska. Pełną listę miejsc zgłoszeń znajdziesz w poradniku o tym, gdzie zgłosić oszustwo telefoniczne.
- 6Gdy z konta zniknęły pieniądze, złóż w banku reklamację nieautoryzowanej transakcji. Procedury i terminy opisujemy w tekście o odzyskiwaniu pieniędzy po oszustwie.
Najczęściej zadawane pytania
Czy eSIM chroni przed SIM swap?
Tylko częściowo. Odpada ryzyko wyrobienia plastikowego duplikatu w salonie na podrobiony dowód, ale zostaje przejęcie konta w panelu klienta operatora: kto się do niego zaloguje, ten może aktywować eSIM na własnym urządzeniu. Silne hasło i weryfikacja dwuskładnikowa w panelu operatora są przy eSIM tak samo ważne jak przy zwykłej karcie.
Czy zastrzeżony PESEL przeszkodzi mi, gdy sam będę wymieniać kartę?
Operator odmówi wydania duplikatu także Tobie, dopóki zastrzeżenie jest aktywne. Cofniesz je w aplikacji mObywatel w kilka sekund, załatwisz sprawę w salonie i włączysz ponownie. Ta drobna niewygoda to cała cena za zamknięcie oszustom najgroźniejszej furtki.
Skąd oszuści mają dane potrzebne do przejęcia numeru?
Najczęściej z wycieków i phishingu. PESEL, numer dowodu i adres krążą po sieci po włamaniach do sklepów, przychodni czy forów internetowych. W osobnym poradniku sprawdzisz, czy Twoje dane wyciekły i co wtedy zrobić.
Czy bank zwróci pieniądze ukradzione po SIM swapie?
Masz prawo do reklamacji nieautoryzowanej transakcji: bank co do zasady zwraca środki do końca następnego dnia roboczego, chyba że wykaże Ci rażące niedbalstwo. W praktyce bywa z tym różnie, dlatego opisz w reklamacji cały przebieg ataku, dołącz potwierdzenie zgłoszenia na policję i nie przyjmuj odmowy bez pisemnego uzasadnienia. Kolejne kroki znajdziesz w artykule o odzyskiwaniu pieniędzy.
