Spoofing telefoniczny: jak oszuści dzwonią z numeru banku lub policji i jak się przed tym bronić

Telefon dzwoni, a na ekranie wyświetla się oficjalny numer infolinii banku albo komendy policji. Głos w słuchawce brzmi profesjonalnie, zna Twoje imię i nazwisko, a rozmowa dotyczy rzekomo „zagrożonych środków” na koncie. Tak zaczyna się spoofing — jedno z najskuteczniejszych oszustw telefonicznych ostatnich lat, przed którym regularnie ostrzegają policja, banki i CERT Polska. Wyjaśniamy, jak działa ten mechanizm, co zmieniła ustawa antyspoofingowa i co robić, gdy przestępcy już wyczyszczą konto.

Jak działa spoofing telefoniczny

Spoofing (z ang. spoof — podszywać się) polega na sfałszowaniu identyfikatora dzwoniącego, czyli numeru widocznego u odbiorcy połączenia (tzw. CLI). Oszuści korzystają z internetowych bramek telefonii VoIP, które pozwalają wpisać dowolny numer jako numer „nadawcy”. W efekcie na ekranie ofiary pojawia się prawdziwy numer infolinii banku, jednostki policji czy urzędu — a jeśli ofiara ma ten numer zapisany w kontaktach, telefon pokaże nawet przypisaną mu nazwę, np. „Mój bank”.

Co istotne, przestępca niczego przy tym nie „hakuje”. Sieci telefoniczne od dziesięcioleci przenoszą informację o numerze dzwoniącego bez skutecznej weryfikacji, a połączenie może przejść przez kilku operatorów w różnych krajach, zanim dotrze do Polski. Właśnie dlatego podszycie się pod cudzy numer jest technicznie proste i tanie.

Typowe scenariusze: zagrożone środki, konto techniczne, zdalny pulpit

Szczegóły rozmów się zmieniają, ale schemat jest zawsze ten sam: pilność, strach i presja czasu. Najczęstsze warianty opisywane przez policję i CERT Polska to:

• „Pracownik banku” informuje o próbie włamania i przekonuje, że pieniądze trzeba natychmiast przelać na „konto techniczne” lub „rachunek zapasowy”. Takie konta nie istnieją — przelew trafia prosto do oszustów.
• „Policjant” lub „prokurator” twierdzi, że trwa tajna akcja przeciwko skorumpowanym pracownikom banku, i prosi o „pomoc w śledztwie”: wypłatę gotówki, przelew albo zachowanie wszystkiego w tajemnicy, nawet przed rodziną.
• Zdalny pulpit. Rozmówca prosi o zainstalowanie aplikacji „zabezpieczającej” lub „weryfikacyjnej” — w praktyce programu do zdalnej obsługi urządzenia, takiego jak AnyDesk czy TeamViewer. Po instalacji przestępca widzi ekran ofiary i sam wykonuje przelewy albo składa wniosek o kredyt.
• Ataki łączone. Najpierw telefon lub SMS „z banku”, potem drugi telefon „z policji”, który potwierdza wersję pierwszego rozmówcy. Dwa podszyte numery uwiarygadniają się nawzajem.

Dlaczego wyświetlany numer niczego nie dowodzi

Numer na ekranie to wyłącznie informacja przesyłana razem z połączeniem — jak adres nadawcy na kopercie, który każdy może wpisać dowolnie. Zgodność wyświetlanego numeru z numerem oficjalnej infolinii nie jest więc żadnym potwierdzeniem tożsamości rozmówcy. Dotyczy to także nazwy podstawionej z książki adresowej, bo telefon dopasowuje ją właśnie po numerze. Jest jednak dobra wiadomość: fałszerstwo działa tylko w jedną stronę. Gdy samodzielnie wybierzesz ten sam numer, połączysz się z prawdziwą instytucją — i właśnie dlatego oddzwonienie z własnej inicjatywy pozostaje najprostszą metodą weryfikacji.

Ustawa antyspoofingowa: co się zmieniło

25 września 2023 r. weszła w życie ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, potocznie zwana antyspoofingową. Nałożyła na operatorów konkretne obowiązki: wdrożenie środków technicznych i organizacyjnych ograniczających CLI spoofing, blokowanie SMS-ów pasujących do wzorców fałszywych wiadomości przekazywanych przez CSIRT NASK oraz respektowanie prowadzonego przez Prezesa UKE wykazu numerów służących wyłącznie do odbierania połączeń — jeśli bank wpisze tam numer infolinii, próby dzwonienia „z” tego numeru mają być blokowane. Za poważne zaniedbania grożą operatorom kary finansowe.

Efekty są mierzalne, choć nie oznaczają końca problemu. Według raportu CERT Polska za 2025 r. na podstawie 790 opracowanych wzorców zablokowano blisko 1,88 mln złośliwych SMS-ów, o 27 proc. więcej niż rok wcześniej. Z około 350 tys. wiadomości przekazanych przez użytkowników na numer 8080 ponad 80 tys. uznano za szkodliwe — to najniższy odsetek od 2022 r., co wskazuje, że filtry działają coraz skuteczniej. Jednocześnie przestępcy się adaptują: częściej dzwonią przez komunikatory internetowe, których ustawa nie obejmuje, albo używają zwykłych, niepodszytych numerów, licząc na siłę samego scenariusza rozmowy.

Spoofing SMS: fałszywy nadawca w prawdziwym wątku

Osobną odmianą oszustwa jest podszywanie się pod alfanumeryczne nadpisy nadawcy SMS-ów. Wiadomość z polem nadawcy identycznym jak u banku czy firmy kurierskiej telefon dokleja do istniejącego wątku z prawdziwą korespondencją tej instytucji, co czyni fałszywkę wyjątkowo wiarygodną. Taki nadpis może jednak ustawić praktycznie każdy klient bramki SMS. Ustawa antyspoofingowa częściowo to ukróciła — nadpisy podmiotów publicznych zostały zastrzeżone, a operatorzy blokują wiadomości zgodne z wzorcami CSIRT NASK — ale zasada bezpieczeństwa pozostaje niezmienna: nie klikaj linków z SMS-ów o dopłatach, blokadzie konta czy wstrzymanej paczce, a podejrzane wiadomości przekazuj bezpłatnie na numer 8080.

Jak się bronić przed spoofingiem

• Rozłącz się i oddzwoń sam. Przerwij każdą rozmowę o pieniądzach, której nie zainicjowałeś, odczekaj chwilę i samodzielnie wybierz numer infolinii z oficjalnej strony banku lub z odwrotu karty płatniczej.
• Pamiętaj, o co bank nigdy nie prosi. Prawdziwy konsultant nie zapyta o hasło do bankowości, kod BLIK ani kody z SMS-ów i nie każe wykonywać przelewu na „konto techniczne”.
• Nie instaluj niczego na prośbę rozmówcy. Prośba o AnyDesk, TeamViewer czy inną aplikację „weryfikacyjną” to pewny sygnał oszustwa — w tym momencie należy się rozłączyć.
• Ustaw niskie limity dzienne przelewów, płatności BLIK i wypłat z bankomatu. Nawet jeśli przestępca przejmie dostęp do konta, limit ograniczy straty i da Ci czas na reakcję.
• Weryfikuj rzekome wpłaty. Jeśli ktoś twierdzi, że „właśnie wysłał Ci przelew” i żąda zwrotu nadpłaty, sprawdź saldo samodzielnie w aplikacji — podpowiadamy, jak sprawdzić, czy przelew rzeczywiście trafił na Twoje konto.

Co robić po oszustwie i kiedy bank zwraca pieniądze

Liczą się minuty, nie godziny. Natychmiast zadzwoń na infolinię banku (samodzielnie wybierając numer), zablokuj karty i dostęp do bankowości elektronicznej oraz zgłoś nieautoryzowane transakcje. Następnie złóż zawiadomienie o przestępstwie na policji i weź potwierdzenie — przyda się w reklamacji. Zastrzeż numer PESEL, np. w aplikacji mObywatel: od czerwca 2024 r. instytucje finansowe muszą sprawdzać rejestr zastrzeżeń przed udzieleniem kredytu. Rozważ też włączenie alertów w Biurze Informacji Kredytowej, które ostrzegą o próbie zaciągnięcia zobowiązania na Twoje dane, a sam incydent zgłoś do CERT Polska.

Kwestię zwrotów reguluje ustawa o usługach płatniczych, wdrażająca unijną dyrektywę PSD2. Jeżeli transakcja była nieautoryzowana, bank ma obowiązek zwrócić jej kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu (zasada D+1). Wyjątki są dwa: uzasadnione i zgłoszone organom ścigania podejrzenie, że to klient dopuścił się oszustwa, albo wykazanie, że użytkownik autoryzował transakcję lub doprowadził do niej umyślnie bądź wskutek rażącego niedbalstwa. Ciężar dowodu spoczywa przy tym na banku — sam fakt, że klient padł ofiarą spoofingu, nie przesądza o rażącym niedbalstwie, co wielokrotnie podkreślał Rzecznik Finansowy. Na zgłoszenie nieautoryzowanej transakcji masz maksymalnie 13 miesięcy od dnia jej wykonania, ale im szybciej zareagujesz, tym większa szansa na odzyskanie środków. Gdy bank odrzuci reklamację, możesz bezpłatnie wystąpić o interwencję do Rzecznika Finansowego.