Spoofing telefoniczny to podmiana numeru, który wyświetla się na ekranie odbiorcy. Dzięki niej oszust wygląda jak bank, urząd albo ktoś znajomy. Cyfry na wyświetlaczu nie są więc żadnym dowodem tożsamości dzwoniącego, a cała ochrona sprowadza się do jednego: rozłączyć się i oddzwonić samemu. Niżej tłumaczę, jak ten mechanizm działa, po czym poznać próbę wyłudzenia i jak zareagować. Będzie też o przepisach i o tym, gdzie zgłosić incydent.
Na czym polega spoofing telefoniczny i dlaczego numer na ekranie może kłamać?
Dzwoniący sam ustawia numer, który sieć przekazuje odbiorcy. Tyle. Ta informacja nazywa się CLI (Calling Line Identification, czyli identyfikacja numeru wywołującego) i stąd techniczna nazwa całego zjawiska: CLI spoofing. Najprościej porównać to do adresu nadawcy na kopercie. Wpiszesz tam, co chcesz, a poczta list i tak doręczy. Podmiana odbywa się zwykle przy połączeniach wprowadzanych do sieci przez telefonię internetową, bo tam pole z numerem wypełnia oprogramowanie po stronie dzwoniącego.
Twój telefon nie jest przy tym zhakowany. Karty SIM też nikt nie przejął. A właściciel podrobionego numeru, na przykład infolinia banku? Nic o takim połączeniu nie wie i nie widzi go w swoich systemach. Oszust pożycza po prostu cudzy szyld, żeby rozmowa od pierwszej sekundy brzmiała wiarygodnie.
Jak rozpoznać podszywanie się pod numer banku?
Po treści rozmowy, nie po numerze. Bo numer może zgadzać się z infolinią co do cyfry. Scenariusz bywa za to powtarzalny: rzekomy konsultant albo policjant mówi o podejrzanym przelewie lub kredycie zaciągniętym na Twoje dane, a potem narzuca pośpiech. Po co ta presja czasu? Żebyś nie zdążył niczego sprawdzić. Lampka powinna się zapalić przy takich sygnałach:
- prośba o podanie kodu BLIK,
- namawianie do instalacji aplikacji do zdalnego pulpitu, czyli programu dającego obcej osobie kontrolę nad urządzeniem,
- polecenie przelania pieniędzy na „bezpieczne konto”,
- żądanie loginu, hasła lub kodu z SMS-a,
- zakaz rozłączania się i kontaktu z rodziną.
Zasada jest twarda: bank nie prosi o kod BLIK ani o instalację aplikacji. Prawdziwy pracownik nie potrzebuje też Twojego hasła, bo do obsługi rachunku go nie używa. I nie musisz czekać, aż zbierze się komplet. Jeden z tych elementów wystarczy, żeby uznać rozmowę za próbę wyłudzenia.
Co zrobić w trakcie podejrzanej rozmowy?
Rozłącz się i sam zadzwoń na numer z karty płatniczej albo z umowy. Nie musisz być uprzejmy ani czekać, aż rozmówca dokończy zdanie. Kolejność jest prosta:
- Zakończ rozmowę bez tłumaczenia się.
- Wpisz ręcznie numer wydrukowany na karcie, zamiast oddzwaniać z historii połączeń.
- Zapytaj konsultanta o rzekomy incydent na rachunku.
- Niczego nie instaluj i nie podawaj żadnych kodów, dopóki sprawa się nie wyjaśni.
Dlaczego oddzwonienie działa? Bo podmiana dotyczy wyłącznie połączeń przychodzących. Kiedy numer wybierasz sam, sieć kieruje rozmowę do jego prawdziwego właściciela i oszust nie ma jak jej przechwycić. Ręczne wpisanie cyfr daje jeszcze jedno: chroni przed pomyłką, gdyby przestępca dzwonił z numeru tylko podobnego do infolinii.
A jeśli dane albo kod już poszły? Wtedy liczy się czas. Od razu skontaktuj się z bankiem i poproś o blokadę dostępu do bankowości i karty. Potem zmień hasła, zaczynając od poczty elektronicznej i konta bankowego. Aplikację zainstalowaną na polecenie rozmówcy usuń, najlepiej po odłączeniu urządzenia od internetu.
Ustawa o zwalczaniu nadużyć: co robią operatorzy z fałszywymi połączeniami?
Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej nakłada na operatorów obowiązek przeciwdziałania podszywaniu się pod numery. Pełną treść przepisów znajdziesz tutaj: tekst ustawy w Dzienniku Ustaw. W praktyce ochrona przestaje być wyłącznie sprawą abonenta, bo część odpowiedzialności przechodzi na sieć.
Jak to ma wyglądać od strony technicznej, opisuje porozumienie Prezesa UKE z operatorami, podpisane z czterema największymi dostawcami usług. Określa ono rozwiązanie nazwane „bezpieczną zatoką”: sieć sprawdza, czy połączenie przychodzące jest identyfikowane prawdziwym numerem, czy zmodyfikowanym. Weryfikacja wykazała podszycie? Rozmowa zostaje odrzucona albo zestawiona bez prezentacji numeru, a na ekranie pojawia się napis „Numer nieznany”.
Co z tego ma abonent? Część prób w ogóle do niego nie dotrze albo straci swój najmocniejszy atut, czyli wiarygodny szyld. To pomaga, ale filtry po stronie sieci tylko ograniczają zjawisko. Z ostrożności nie zwalniają. Oszust może zadzwonić z dowolnego innego numeru i opowiedzieć dokładnie tę samą historię, więc zasady z poprzedniej sekcji dalej obowiązują.
Gdzie i jak złożyć zgłoszenie oszustwa telefonicznego?
Próbę wyłudzenia zgłasza się w trzech miejscach: w banku, na policji i w zespole CERT Polska. Jako osoba fizyczna zrobisz to przez formularz zgłoszenia incydentu CERT Polska, wybierając odpowiedni rodzaj podmiotu. Im więcej szczegółów, tym łatwiej powiązać sprawę z innymi przypadkami. Przygotuj:
- datę i godzinę połączenia,
- numer, który się wyświetlił,
- opis przebiegu rozmowy,
- zrzuty ekranu,
- potwierdzenia transakcji, jeśli do nich doszło.
Straciłeś pieniądze? Pierwszym adresem jest bank: tam blokujesz dostęp i składasz reklamację. Dopiero potem policja i zawiadomienie, na które zabierasz zebrane materiały. Zgłoszenie ma sens także wtedy, gdy nic nie zginęło. Bo pomaga ostrzec innych.
Spoofing telefoniczny przestaje działać w momencie, gdy o tożsamości rozmówcy decyduje samodzielne oddzwonienie, a nie numer na wyświetlaczu. Jeden nawyk. I przestępca traci całą przewagę, choćby jego opowieść brzmiała nie wiem jak przekonująco.
Najczęstsze pytania
Czy ktoś może dzwonić z mojego numeru bez mojej wiedzy?
Tak. Podmiana nie wymaga dostępu do telefonu ani karty SIM. Twój numer zostaje jedynie wpisany jako nadawca, więc na billingu takich połączeń nie zobaczysz. Jeśli obcy ludzie oddzwaniają do Ciebie z pretensjami, daj znać operatorowi.
Czy zablokowanie numeru chroni przed fałszywymi połączeniami?
Nie, bo przy kolejnej próbie oszust po prostu wyświetli inny numer. Blokada odetnie za to prawdziwego właściciela, na przykład infolinię, z którą kiedyś będziesz chciał porozmawiać. Moim zdaniem lepszą ochroną jest nawyk: rozłączasz się i oddzwaniasz.
Czy samo odebranie takiego połączenia jest groźne?
Nie. Odebranie rozmowy niczego w telefonie nie uruchamia i nie daje dostępu do konta. Szkoda powstaje dopiero wtedy, gdy podasz dane, kod albo zainstalujesz aplikację wskazaną przez rozmówcę. Wystarczy się rozłączyć i sprawdzić sprawę własnym kanałem.