W polu nadawcy SMS-a nie zawsze znajduje się numer telefonu. Bank, operator, sklep albo urząd może używać krótkiej nazwy, nazywanej nadpisem. Telefon grupuje wtedy wiadomości według tej nazwy i potrafi dołączyć nowy SMS do znanego wątku. To wygodne, lecz sam wygląd rozmowy nie jest dowodem, że wiadomość wysłała wskazana instytucja. Oszustwo zaczyna się właśnie tam, gdzie rozpoznawalna nazwa zastępuje niezależne sprawdzenie.
W Polsce działa system ograniczający podszywanie się pod wybrane nadpisy, ale nie zmienia on podstawowej zasady bezpieczeństwa: treść wiadomości trzeba oceniać razem z żądaniem, adresem strony i kanałem weryfikacji. Ochrona techniczna może zatrzymać część kampanii, nie potwierdza natomiast każdej wiadomości widocznej w telefonie.
Numer telefonu, nadpis i wątek wiadomości to trzy różne rzeczy
Zwykły SMS może przyjść z numeru, na który da się odpowiedzieć. Nadpis alfanumeryczny jest nazwą wyświetlaną zamiast numeru i zazwyczaj nie służy do prowadzenia dwustronnej rozmowy. Aplikacja wiadomości może połączyć SMS-y o takim samym nadpisie w jeden wątek. Właśnie dlatego fałszywa wiadomość bywa widoczna pod wcześniejszymi, prawdziwymi komunikatami.
Nie oznacza to przejęcia telefonu ani włamania do skrzynki banku. Nadawca korzysta z mechanizmów sieci wiadomości, aby przekazać identyfikator wyglądający znajomo. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wprowadziła obowiązki operatorów i system wymiany informacji o smishingu. Ministerstwo Cyfryzacji opisuje, jak operatorzy blokują wiadomości wykorzystujące chronione wzorce i nadpisy, ale system nadal działa w określonym zakresie, a przestępcy zmieniają nazwy, domeny i treść.
Co oznacza #RP przy nazwie nadawcy
Oznaczenie #RP wiąże się z wykazem nazw i skrótów używanych przez podmioty publiczne. Ma pomóc odróżniać nadpisy objęte szczególną ochroną od podobnych nazw tworzonych przez nadawców wiadomości. Nie jest jednak uniwersalnym znakiem jakości każdego SMS-a ani certyfikatem zawartości linku.
Brak #RP nie dowodzi oszustwa, bo wiele legalnych wiadomości komercyjnych nie należy do kategorii komunikacji podmiotów publicznych. Obecność oznaczenia również nie powinna skłaniać do wpisywania hasła, danych karty czy kodu autoryzacyjnego bez sprawdzenia celu operacji. Najbezpieczniej traktować je jako dodatkową informację o nadpisie, a nie zastępstwo dla weryfikacji.
Dlaczego nazwa banku albo urzędu może wprowadzać w błąd
Najgroźniejsze wiadomości nie muszą wyglądać niechlujnie. Mogą wykorzystywać poprawną polszczyznę, dane odbiorcy i scenariusz pasujący do bieżących wydarzeń. Typowe preteksty to blokada rachunku, dopłata, zwrot podatku, wygasający profil, niezapłacona opłata lub przesyłka. Wspólnym elementem jest próba przeniesienia odbiorcy z zaufanego wątku na stronę kontrolowaną przez nadawcę.
Sprawdź przede wszystkim, czego wiadomość wymaga. Pilny przelew, podanie danych logowania, instalacja aplikacji spoza oficjalnego sklepu albo przekazanie kodu z SMS-a są ważniejszym sygnałem niż sama nazwa. Przy banku warto zastosować procedurę z poradnika o fałszywych SMS-ach bankowych; przy wiadomości operatora pomocna będzie osobna analiza SMS-ów podszywających się pod sieć komórkową.
Jak odróżnić informację od próby autoryzacji
Legalna wiadomość może informować o zdarzeniu, ale decyzję powinno dać się podjąć po wejściu do usługi niezależnym kanałem. Jeśli SMS mówi o logowaniu, płatności lub zmianie danych, sprawdź tę samą czynność w oficjalnej aplikacji. Nie przepisuj kodu z jednej wiadomości do formularza otwartego z drugiej. Treść kodu zwykle wskazuje, co zatwierdza: logowanie, dodanie urządzenia, płatność albo zmianę hasła. Wyjaśnienie nadawcy nie może zastąpić tego opisu.
Uważaj też na sekwencję kilku kanałów. Wiadomość może zapowiadać telefon „działu bezpieczeństwa”, a rozmówca później powoła się na SMS jako potwierdzenie swojej roli. Oba kontakty mogą być elementami jednego scenariusza. Przerwij rozmowę i wróć do instytucji przez numer znaleziony samodzielnie. W ten sposób rozdzielasz komunikację przygotowaną przez nadawcę od kanału kontrolowanego przez prawdziwą organizację.
Jak sprawdzić SMS bez używania zawartego w nim linku
Najpierw nie klikaj odnośnika i nie odpowiadaj. Otwórz oficjalną aplikację instytucji samodzielnie albo wpisz znany adres strony w przeglądarce. Sprawdź, czy na koncie znajduje się komunikat odpowiadający treści SMS-a. Jeśli potrzebny jest telefon, wybierz numer z aplikacji, dokumentu, karty lub oficjalnej strony, a nie numer podany w wiadomości.
Przeczytaj pełny adres linku bez jego otwierania. Nazwa firmy występująca gdzieś w długiej domenie nie wystarcza. Istotna jest właściwa domena znajdująca się bezpośrednio przed końcówką taką jak .pl. Skrócone adresy, literówki, dodatkowe myślniki i nietypowe rozszerzenia wymagają szczególnej ostrożności. Również poprawna domena pokazana jako tekst może prowadzić gdzie indziej, dlatego bezpieczniejszy jest niezależny kanał.
Jak zgłosić podejrzaną wiadomość
Podejrzany SMS można przekazać do CERT Polska na numer 8080, korzystając z funkcji przekazywania wiadomości w telefonie. Incydent zawierający stronę, próbę instalacji albo utratę danych można szerzej opisać przez formularz na stronie CERT. Zachowaj treść, nazwę nadawcy, datę, godzinę oraz pełny adres. Nie publikuj kodów autoryzacyjnych ani danych osobowych.
Jeżeli link został otwarty, ale nie podano danych i niczego nie zainstalowano, zamknij stronę i zgłoś adres. Po wpisaniu danych logowania zmień hasło z zaufanego urządzenia i zakończ aktywne sesje. Po podaniu danych karty lub zatwierdzeniu transakcji skontaktuj się natychmiast z bankiem. Instalacja aplikacji wymaga odłączenia urządzenia od sieci i wykonania kroków opisanych w poradniku o złośliwym oprogramowaniu w telefonie.
Najkrótsza zasada do zapamiętania
Nazwa nadawcy pomaga uporządkować wiadomości, ale nie powinna decydować o przelewie, logowaniu ani instalacji. Zamiast pytać wyłącznie „czy znam tę nazwę?”, zapytaj: „czy potrafię potwierdzić tę sprawę w kanale, którego nie wskazał nadawca?”. To jedno rozdzielenie wiadomości od weryfikacji zatrzymuje większość scenariuszy opartych na fałszywym nadpisie.
FAQ
Czy SMS w starym wątku banku może być fałszywy?
Tak. Sposób grupowania wiadomości nie potwierdza nadawcy. Sprawę należy sprawdzić w aplikacji lub przez samodzielnie wybraną infolinię.
Czy każdy prawdziwy urząd używa oznaczenia #RP?
Nie należy przyjmować takiego uproszczenia. Zakres wykazu i sposób prezentacji zależą od rodzaju komunikacji. Brak oznaczenia nie jest samodzielnym dowodem oszustwa.
Czy można bezpiecznie kliknąć link tylko po to, aby go obejrzeć?
Lepiej odczytać adres bez otwierania i przejść do usługi samodzielnie. Samo otwarcie nie zawsze powoduje szkodę, ale może prowadzić do dalszej manipulacji lub próby pobrania pliku.
