Podejrzany SMS lub e-mail: jak sprawdzić, czy to oszustwo

Podejrzany SMS lub e-mail sprawdzisz w kilka minut: nie klikaj w link, obejrzyj adres nadawcy i adres strony, a potem zweryfikuj informację w oficjalnej aplikacji lub na infolinii firmy. Podejrzany SMS przekaż bezpłatnie na numer 8080, a e-mail zgłoś do CERT Polska. Jeśli wiadomość wymaga pośpiechu i prosi o dane lub płatność, najpewniej jest oszustwem.

Jak sprawdzić, czy wiadomość to oszustwo, krok po kroku?

Wiadomość sprawdzisz w pięciu krokach, zanim cokolwiek klikniesz:

Zatrzymaj się. Nie klikaj w link, nie otwieraj załącznika i nie odpisuj.
Sprawdź nadawcę. W e-mailu rozwiń pełny adres, a nie tylko wyświetlaną nazwę. W SMS-ie zwróć uwagę, czy numer lub nazwa nadawcy pasuje do wcześniejszych wiadomości.
Sprawdź link. Przytrzymaj palec na linku lub najedź na niego kursorem i przeczytaj domenę. Adres banku czy sklepu nie powinien zawierać dodatkowych słów ani literówek.
Zweryfikuj u źródła. Otwórz aplikację banku, konto w sklepie lub stronę przewoźnika, wpisując adres samodzielnie. Możesz też zadzwonić na numer z karty płatniczej lub oficjalnej strony.
Zgłoś wiadomość. SMS przekaż na 8080, a e-mail zgłoś do CERT Polska.

Kroki są prostsze, gdy znasz typowe sygnały oszustwa.

Jakie są sygnały, że SMS lub e-mail to oszustwo?

Oszustwo zdradza zwykle kilka z tych siedmiu sygnałów naraz:

Presja czasu: groźba blokady konta, odcięcia prądu lub zwrotu przesyłki.
Prośba o dane: login, hasło, dane karty, PESEL, kod BLIK lub zdjęcie dowodu.
Link do logowania lub płatności: szczególnie przy małych kwotach, na przykład dopłacie kilku złotych.
Niepasujący nadawca: obca domena, literówka w nazwie firmy albo prywatny numer telefonu.
Nieoczekiwany załącznik: faktura, wezwanie do zapłaty lub „dokument do podpisu”.
Zbyt dobra oferta: wygrana, zwrot nadpłaty lub rządowa dopłata, o którą nie wnioskowałeś.
Błędy i nietypowy styl: dziwny szyk zdań, brak polskich znaków lub nietypowe formatowanie.

Oszuści często powtarzają te same schematy.

Jakie fałszywe SMS-y są najczęstsze?

Fałszywe SMS-y najczęściej dotyczą dopłaty do paczki, niezapłaconego rachunku za prąd lub zwrotu podatku. Takie przykłady opisuje CERT Polska w poradniku o fałszywych SMS-ach. W 2026 roku zespół ostrzegał też przed SMS-ami o rzekomym mandacie, które prowadzą na stronę wyłudzającą dane.

Nazwa nadawcy nie jest dowodem autentyczności. Oszuści stosują podszywanie się pod nadawcę (spoofing), więc fałszywa wiadomość może pojawić się nawet w wątku z prawdziwymi SMS-ami od firmy.

Jak rozpoznać fałszywy e-mail?

Fałszywy e-mail rozpoznasz przede wszystkim po adresie nadawcy i linkach. Wyświetlana nazwa „Twój Bank” może ukrywać adres z zupełnie innej domeny. Sprawdź też, czy przycisk „Zaloguj się” prowadzi na oficjalną stronę.

Szczególnie uważaj na załączniki. CERT Polska ostrzega, że fałszywe faktury i dokumenty mogą instalować złośliwe oprogramowanie. Nie otwieraj pliku, na który nie czekałeś, nawet jeśli nadawca wydaje się znajomy.

Jak zgłosić podejrzany SMS na numer 8080?

Podejrzany SMS zgłosisz, przekazując go na numer 8080 prowadzony przez CERT Polska (NASK). Użyj opcji „Przekaż” lub „Udostępnij”, aby wysłać całą wiadomość razem z linkiem. Jeśli telefon nie ma takiej opcji, skopiuj i wyślij pełną treść.

Według serwisu gov.pl wysłanie SMS-a na 8080 jest bezpłatne w Polsce. Z jednego numeru możesz zgłosić maksymalnie 3 wiadomości w ciągu 4 godzin. Zgłoszenia mają realny efekt: według raportu CERT Polska za 2025 rok na 8080 trafiło przeszło 350 tys. SMS-ów, a ponad 80 tys. uznano za szkodliwe.

Jak zgłosić podejrzany e-mail lub stronę?

Podejrzany e-mail lub fałszywą stronę zgłosisz przez formularz incydent.cert.pl albo na adres cert@cert.pl. Dołącz treść wiadomości i adres strony. Większość dostawców poczty ma też przycisk „Zgłoś phishing” lub „Zgłoś spam”, który pomaga filtrować podobne wiadomości u innych osób.

Co zrobić, jeśli już kliknąłeś w link?

Jeśli kliknąłeś w link, ale niczego nie wpisałeś, zamknij stronę i przeskanuj urządzenie programem antywirusowym. Jeśli podałeś dane, działaj od razu:

Zadzwoń do banku i zablokuj kartę lub dostęp do bankowości.
Zmień hasło do konta i do każdego serwisu z tym samym hasłem.
Włącz uwierzytelnianie wieloskładnikowe, jeśli jeszcze go nie masz.
Jeśli podałeś PESEL lub zdjęcie dowodu, zastrzeż numer PESEL w aplikacji mObywatel.

Więcej o tym, jak działa takie oszustwo i jak się przed nim chronić, przeczytasz w przewodniku phishing: co to jest i jak go rozpoznać. Jak sprawdzić, czy Twoje dane są już w sieci, wyjaśnia artykuł czy moje dane wyciekły.

Najczęstsze pytania o podejrzane wiadomości

Czy odpisać na podejrzany SMS?

Nie. Odpowiedź potwierdza oszustowi, że numer jest aktywny, i może zachęcić do kolejnych prób. Podejrzany SMS przekaż na 8080, a potem go usuń.

Czy zgłoszenie na numer 8080 jest płatne?

Nie w Polsce. Wysłanie SMS-a na 8080 jest bezpłatne w polskich sieciach, a za granicą kosztuje tyle, ile przewiduje taryfa operatora.

Czy SMS z nazwą banku jako nadawcą może być fałszywy?

Tak. Nazwę nadawcy da się podrobić, dlatego o autentyczności decyduje treść i link, a nie podpis. Informację zawsze sprawdzaj w aplikacji banku.

Co zrobić z załącznikiem, na który nie czekałem?

Nie otwieraj go. Zapytaj nadawcę innym kanałem, na przykład telefonicznie, czy naprawdę wysłał plik, a podejrzaną wiadomość zgłoś do CERT Polska.

Dostałem podejrzany SMS lub e-mail. Jak sprawdzić, czy to oszustwo?