Poziom: średniozaawansowany (2/3) | Czas czytania: około 3 minuty
Telefon pokazuje numer banku. W słuchawce słyszysz znajomy głos. Wiadomość od firmy kurierskiej zawiera twoje imię, a nagranie znanej osoby zachęca do „pewnej inwestycji”. Jeszcze niedawno takie szczegóły zwiększały wiarygodność. Dziś mogą być elementami starannie przygotowanej pułapki.
Skala problemu mocno rośnie. CERT Polska otrzymał w 2025 roku ponad 658 tysięcy zgłoszeń i zarejestrował blisko 261 tysięcy incydentów — o 152 procent więcej niż rok wcześniej. Aż 97 procent z nich stanowiły oszustwa komputerowe, między innymi wyłudzanie danych i pieniędzy. Niemal 250 tysięcy fałszywych domen trafiło w ciągu roku na Listę Ostrzeżeń CERT Polska. To około 670 nowych adresów dziennie.
Oszust nie musi już pisać z błędami
Najgorętszym trendem jest automatyzacja manipulacji za pomocą sztucznej inteligencji. Fałszywe nagranie lub głos, czyli syntetyczna imitacja (ang. deepfake [dipfejk]), może podszywać się pod członka rodziny, szefa albo znaną osobę. AI poprawia też język wiadomości, błyskawicznie tworzy ich wiele wersji i dopasowuje treść do informacji znalezionych w mediach społecznościowych. Dlatego brak literówek, prawidłowe logo i znajomość kilku faktów o tobie nie potwierdzają już, że nadawca jest prawdziwy.
Zmienia się również sam scenariusz. Zamiast jednego podejrzanego e-maila pojawia się sekwencja: SMS o problemie, telefon od „konsultanta”, wiadomość w komunikatorze, a na końcu prośba o kod BLIK, dane karty, zainstalowanie aplikacji lub przeniesienie pieniędzy na „bezpieczne konto”. To wyłudzanie przez manipulację (ang. social engineering [sołszyl endżyniring]). Atak nie próbuje złamać zabezpieczeń banku — próbuje nakłonić człowieka, by sam je otworzył.
Najlepsza ochrona zaczyna się od przerwania rozmowy
Gdy wiadomość wywołuje strach, pośpiech albo wizję łatwego zysku, zatrzymaj się. Nie używaj numeru telefonu ani linku podanego przez nadawcę. Samodzielnie otwórz oficjalną aplikację banku, wpisz adres instytucji lub zadzwoń na numer z karty. Prośbę bliskiej osoby o pieniądze potwierdź innym kanałem; w rodzinie warto ustalić prywatne pytanie lub hasło, którego nie ma w mediach społecznościowych. Nie ufaj samemu numerowi wyświetlonemu na ekranie — identyfikator połączenia można podrobić.
Hasła powinny być różne dla każdej usługi i przechowywane w menedżerze haseł. Tam, gdzie to możliwe, warto włączyć klucz dostępu (ang. passkey [paski]). Logowanie jest wtedy zatwierdzane telefonem, odciskiem palca lub rozpoznaniem twarzy i jest odporniejsze na fałszywe strony niż tradycyjne hasło. Dodatkową barierą są powiadomienia o logowaniu, niskie limity przelewów oraz aktualizacje telefonu i komputera.
W Polsce szczególnie praktycznym zabezpieczeniem jest bezpłatne zastrzeżenie numeru PESEL w aplikacji lub serwisie mObywatel. Nie blokuje ono wizyty u lekarza, realizacji recepty ani spraw urzędowych, ale utrudnia zaciągnięcie kredytu, pożyczki czy wyrobienie duplikatu karty SIM. W mObywatelu można też sprawdzić, kto i kiedy weryfikował status numeru.
Co zrobić, gdy coś już wzbudziło podejrzenie?
Podejrzany SMS prześlij dalej na numer 8080, a stronę, e-mail lub inne oszustwo zgłoś przez incydent.cert.pl. Jeśli podałeś dane, kod albo zatwierdziłeś płatność, natychmiast skontaktuj się z bankiem, zablokuj kartę lub dostęp do konta, zmień hasło z bezpiecznego urządzenia i zastrzeż PESEL. Przy utracie pieniędzy zachowaj wiadomości, adresy stron i potwierdzenia transakcji, a następnie zgłoś sprawę Policji. W cyfrowym bezpieczeństwie szybka reakcja jest ważniejsza niż wstyd — oszustwo może spotkać każdego.
Źródła i inspiracje
Raport CERT Polska za 2025 rok — NASK
Deepfaki — prawdziwy problem z fałszywą rzeczywistością — NASK
Zastrzeżenie numeru PESEL i historia jego weryfikacji — gov.pl
Zgłaszanie cyberoszustwa — Centralne Biuro Zwalczania Cyberprzestępczości