Czym jest spoofing telefoniczny
Spoofing to podszywanie się pod cudzy numer telefonu. Oszust dzwoni lub wysyła SMS tak, aby na Twoim ekranie wyświetlił się nie jego prawdziwy numer, lecz dowolny inny: numer banku, urzędu, policji, kuriera, a czasem nawet Twój własny. Technicznie polega to na fałszowaniu informacji o numerze nadawcy, którą sieci telekomunikacyjne przekazują sobie podczas zestawiania połączenia. Ułatwiają to tanie bramki internetowe, dlatego wiele takich połączeń pochodzi z numerów VoIP.
Dla Ciebie wniosek jest jeden: numer widoczny na wyświetlaczu przestaje być dowodem tożsamości. Połączenie, które wygląda jak telefon z infolinii banku, może w rzeczywistości pochodzić z call center oszustów po drugiej stronie świata. Właśnie dlatego spoofing jest tak groźny: uderza w nasz naturalny odruch zaufania do znajomego, „oficjalnego" numeru.
Gdy oszust podszywa się pod numer SMS-em, to ta sama sztuczka na innym kanale. Tak działają fałszywe SMS-y, czyli smishing, w których podrobiona nazwa nadawcy wpada do wątku z prawdziwymi powiadomieniami z banku.
Po co oszuści podszywają się pod bank, policję i urzędy
Sfałszowany numer to wstęp do socjotechniki, czyli manipulacji, która ma skłonić Cię do szybkiego, nieprzemyślanego działania. Najczęstszy scenariusz to tak zwany spoofing na pracownika banku: dzwoni „konsultant działu bezpieczeństwa", informuje o rzekomym włamaniu na konto i pod pretekstem ochrony pieniędzy namawia do zainstalowania aplikacji, podania kodu z SMS-a albo przelania środków na „konto techniczne". Sam mechanizm wyłudzenia kodu opisujemy w artykule o oszustwie na BLIK, a nakłanianie do instalacji programu do zdalnego pulpitu w poradniku o fałszywym telefonie o wirusie i zdalnym dostępie.
Inne popularne warianty to podszywanie się pod policję lub prokuraturę (rzekome śledztwo, w którym musisz „zabezpieczyć" oszczędności), pod urząd skarbowy lub ZUS (zaległy podatek do natychmiastowej zapłaty) czy pod dostawcę energii lub kuriera. Wspólny mianownik jest zawsze ten sam: presja czasu, strach lub obietnica korzyści, a do tego znajomy numer na ekranie, który ma rozwiać Twoje wątpliwości.
Jak rozpoznać, że numer został sfałszowany
Spoofingu nie poznasz po samym numerze, bo on z definicji wygląda prawidłowo. Zdradzają go natomiast okoliczności i treść rozmowy:
- 1Rozmówca wywiera presję czasu, na przykład „musi Pan działać natychmiast, inaczej straci Pan pieniądze".
- 2Prosi o dane, których bank nigdy nie wymaga przez telefon: pełny PIN, hasło, kod BLIK, kod autoryzacyjny z SMS-a.
- 3Namawia do zainstalowania aplikacji do zdalnej pomocy, na przykład AnyDesk czy TeamViewer, albo do kliknięcia w przesłany link.
- 4Sugeruje przelew na „bezpieczne", „techniczne" lub „depozytowe" konto, którego rzekomo pilnuje bank.
- 5Zniechęca Cię do rozłączenia się i samodzielnego oddzwonienia na oficjalny numer.
Jeśli pojawia się którykolwiek z tych sygnałów, traktuj rozmowę jak próbę oszustwa, niezależnie od tego, jak wiarygodny numer widzisz na ekranie.
„Dzwoni do mnie mój własny numer": co to znaczy
To jeden z najczęstszych objawów spoofingu i zarazem najbardziej dezorientujący. Skoro telefon dzwoni z Twojego własnego numeru, odruchowo myślisz, że to pomyłka systemu albo coś ważnego. W rzeczywistości oszust po prostu podstawił Twój numer jako nadawcę, licząc, że z ciekawości odbierzesz. Pokrewnym trikiem jest podstawianie numeru łudząco podobnego do Twojego, który opisujemy w artykule o numerze podobnym do mojego, czyli neighbor spoofingu.
Sam fakt, że „dzwonisz do siebie", jest więc nie tyle usterką, ile czerwoną flagą. Nie oddzwaniaj, nie wdawaj się w rozmowę i nie podawaj żadnych danych. Najlepiej rozłączyć się i sprawdzić numer w wyszukiwarce. Jeśli inni zgłaszają go jako oszustwo, masz potwierdzenie, z czym masz do czynienia.
Co zrobić, gdy odbierzesz podejrzane połączenie
Reaguj zawsze według tej samej, prostej zasady: przerwij i zweryfikuj samodzielnie.
- 1Nie podawaj żadnych danych, kodów ani haseł, nawet jeśli rozmówca zna Twoje imię, nazwisko czy fragment numeru konta.
- 2Rozłącz się. To nie jest niegrzeczne, bo prawdziwa instytucja nie obrazi się, że oddzwaniasz dla bezpieczeństwa.
- 3Zadzwoń na oficjalny numer banku lub urzędu, który znajdziesz na odwrocie karty, w umowie albo na oficjalnej stronie. Nigdy nie dzwoń na numer podany przez rozmówcę ani przez „oddzwoń" z historii połączeń.
- 4Zanim oddzwonisz, odczekaj kilkadziesiąt sekund albo zadzwoń z innego telefonu. Oszuści potrafią „przytrzymać" połączenie, więc gdy podnosisz słuchawkę, wciąż rozmawiasz z nimi.
- 5Sprawdź numer w wyszukiwarce numerów i zgłoś go, jeśli okazał się próbą wyłudzenia.
Czego nigdy nie zrobi prawdziwy bank ani policja
Najlepszą tarczą jest znajomość kilku żelaznych zasad, których uczciwa instytucja nigdy nie złamie:
- Bank nigdy nie poprosi Cię o pełne hasło, PIN do karty, kod BLIK ani kod autoryzacyjny z SMS-a podczas rozmowy telefonicznej.
- Bank nie każe Ci instalować aplikacji do zdalnego pulpitu ani „przelewać środków na bezpieczne konto".
- Policja i prokuratura nie prowadzą śledztw przez telefon i nie proszą o przekazanie oszczędności „do depozytu".
- Żadna instytucja nie zniechęca Cię do rozłączenia się i samodzielnej weryfikacji.
Jeśli rozmówca robi cokolwiek z tej listy, to oszust, choćby numer na ekranie wyglądał idealnie.
Dlaczego samo blokowanie numeru nie wystarcza
Przy spoofingu blokada konkretnego numeru daje niewiele, bo numer widoczny na ekranie jest tylko maską. Zablokujesz jeden, a oszust następnym razem podstawi inny, na przykład prawdziwy numer Twojego banku, którego zablokowanie byłoby już ryzykowne, bo odetniesz się od prawdziwej infolinii. Nie znaczy to, że blokowanie numerów jest bezużyteczne, ale przy spoofingu działa tylko jako uzupełnienie.
Realnie chronią dopiero nawyki: ograniczone zaufanie do numeru na wyświetlaczu, weryfikacja każdej „pilnej" prośby przez oficjalny kanał oraz czujność wobec presji i emocji. Pomagają też usługi antyspoofingowe operatorów, które filtrują część sfałszowanych połączeń na poziomie sieci, więc warto sprawdzić, czy Twoja sieć je udostępnia, i je włączyć.
Uważaj również na nowsze, trudniejsze do wykrycia odmiany. Oszuści potrafią połączyć sfałszowany numer z klonowaniem głosu i deepfake'iem, żeby rozmowa brzmiała jeszcze bardziej wiarygodnie. Tym ważniejsza jest zasada, by wrażliwe sprawy potwierdzać oddzwonieniem na znany, oficjalny numer.
Co zmieniło prawo antyspoofingowe i co blokują operatorzy
Od 25 września 2023 roku obowiązuje w Polsce ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, a od 25 marca 2024 roku działa pełny mechanizm blokowania. W praktyce chroni Cię on na trzy sposoby:
- Prezes UKE prowadzi wykaz numerów, które służą wyłącznie do odbierania połączeń. Zgłaszają do niego swoje infolinie między innymi banki i urzędy. Jeśli oszust próbuje zadzwonić „z” numeru wpisanego do wykazu, operator ma obowiązek zablokować takie połączenie, zanim Twój telefon w ogóle zadzwoni.
- CSIRT NASK prowadzi wykaz zastrzeżonych nadpisów, czyli nazw nadawców SMS w rodzaju „e-US” czy nazwy banku. Wiadomość z takim nadpisem wysłana poza oficjalnym kanałem jest odrzucana przez sieć.
- Operatorzy blokują SMS-y pasujące do wzorców publikowanych przez CERT Polska. Skala jest spora: w samym 2025 roku zatrzymali w ten sposób ponad 1,88 mln wiadomości.
Za lekceważenie tych obowiązków operatorowi grozi kara do 3% rocznego przychodu, więc system nie istnieje tylko na papierze.
Czy to znaczy, że spoofing zniknął? Niestety nie. Blokada obejmuje numery i nadpisy z wykazów, tymczasem oszust może podstawić numer, którego nikt nie zastrzegł, albo dzwonić przez zagraniczne sieci, do których polskie przepisy nie sięgają. Filtry odsiewają coraz większą część ataków, ale ostatnią linią obrony pozostajesz Ty i ograniczone zaufanie do tego, co widzisz na wyświetlaczu.
Sprawdź i zgłoś numer, ostrzeż innych
Spoofing żywi się tym, że ofiara działa w pojedynkę i pod presją. Najprostszy sposób, by przerwać ten schemat, to sprawdzić numer w wyszukiwarce, zanim cokolwiek zrobisz. Jeśli inni użytkownicy zgłosili go jako oszustwo, od razu masz potwierdzenie swoich wątpliwości. Od czego zacząć, podpowiada poradnik jak sprawdzić, kto dzwoni z nieznanego numeru.
Działa to też w drugą stronę. Gdy sam trafisz na próbę wyłudzenia, dodanie oceny i krótkiego komentarza w serwisie SprawdzamNumer zajmuje kilkanaście sekund i jest bezpłatne, a może uchronić kolejną osobę, do której ten sam numer zadzwoni za godzinę. Im więcej zgłoszeń, tym szybciej oszust traci przewagę zaskoczenia.
Najczęściej zadawane pytania
Czy spoofing telefoniczny jest karalny?
Tak. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wprost zakazuje CLI spoofingu i smishingu, a na operatorów nakłada obowiązek blokowania takich połączeń i SMS-ów pod groźbą kary do 3% rocznego przychodu. Listy zagrożeń prowadzi i przyjmuje zgłoszenia CERT Polska. Problem w tym, że sprawcy często działają z zagranicy, dlatego skuteczniejsza od ścigania pojedynczego numeru jest profilaktyka: ostrożność i weryfikacja.
Jak sprawdzić, czy telefon z banku jest prawdziwy?
Rozłącz się i oddzwoń samodzielnie na numer infolinii z odwrotu karty płatniczej, z umowy lub z oficjalnej strony banku. Nigdy nie używaj numeru podanego przez rozmówcę ani opcji „oddzwoń" z historii połączeń. Prawdziwy bank bez problemu potwierdzi lub zaprzeczy, że ktoś próbował się z Tobą kontaktować.
Czy spoofing dotyczy też SMS-ów?
Tak. Oszust może podstawić nazwę nadawcy tak, by wiadomość trafiła do wątku z prawdziwymi SMS-ami z banku. To smishing, czyli SMS-owa odmiana tej samej sztuczki. Nie klikaj w linki i nie podawaj danych, a szczegóły znajdziesz w poradniku o fałszywych SMS-ach.
Czy da się całkowicie zablokować spoofing?
Nie da się go wyłączyć po swojej stronie, bo to oszust decyduje, jaki numer podstawi. Część ataków odsiewają od 2024 roku sami operatorzy, którzy blokują połączenia z numerów zastrzeżonych w wykazie UKE i SMS-y z podrobionymi nadpisami. Resztę ryzyka ograniczasz sam: włącz filtry antyspamowe operatora, nie ufaj samemu numerowi na ekranie i weryfikuj każdą pilną prośbę przez oficjalny kanał.
Oddzwoniłem na podstawiony numer, czy to niebezpieczne?
Samo oddzwonienie zwykle nie powoduje strat. Ryzyko pojawia się dopiero wtedy, gdy w rozmowie podasz dane, kody lub zainstalujesz wskazaną aplikację. Jeśli tylko oddzwoniłeś i się rozłączyłeś, nic złego się najpewniej nie stało, ale na przyszłość weryfikuj numery, zanim na nie zadzwonisz.
Padłem ofiarą oszustwa. Co robić w pierwszej kolejności?
Natychmiast skontaktuj się z bankiem na oficjalną infolinię i zastrzeż karty oraz dostęp do bankowości, a następnie zgłoś sprawę na policję. Jeśli podałeś dane logowania lub zainstalowałeś podejrzaną aplikację, zmień hasła z innego, zaufanego urządzenia. Krok po kroku tłumaczymy to w poradnikach jak odzyskać pieniądze po oszustwie oraz gdzie zgłosić oszustwo telefoniczne i spam.
