Fałszywy SMS można przekazać bezpłatnie na numer 8080. Zgłoszenie trafia do CERT Polska, który tworzy z niego wzorzec wiadomości — a operatorzy mają obowiązek blokować każdy SMS pasujący do tego wzorca. W 2025 roku 790 wzorców zablokowało 1 883 610 złośliwych wiadomości, czyli średnio ponad pięć tysięcy na dobę.
Zgłoszenie podejrzanego SMS-a nie jest więc gestem symbolicznym — jest wejściem do mechanizmu, który ma podstawę w ustawie i zmierzone efekty.
Co dzieje się po przekazaniu SMS-a na 8080
Numer 8080 działa od listopada 2023 roku. Uruchomiła go ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, która po raz pierwszy w polskim prawie nazwała to zjawisko: smishing to wysłanie SMS-a, w którym nadawca podszywa się pod inny podmiot, żeby nakłonić odbiorcę do przekazania danych, niekorzystnego rozporządzenia mieniem, otwarcia strony, oddzwonienia albo instalacji programu (art. 3 pkt 2).
| Krok | Kto to robi | Ile trwa / ile kosztuje | Podstawa prawna |
|---|---|---|---|
| Przekazanie podejrzanego SMS-a na numer 8080 | odbiorca wiadomości | bezpłatnie, u każdego operatora | art. 5 ust. 1–2 |
| Analiza zgłoszenia i stworzenie wzorca wiadomości | CSIRT NASK (CERT Polska) | wzorzec to wyrażenie opisujące całą kampanię, nie jeden SMS | art. 4 ust. 1–2 |
| Udostępnienie wzorca operatorom przez system teleinformatyczny | CSIRT NASK | wzorzec jest pobierany automatycznie w ciągu 5 minut od upublicznienia | art. 4 ust. 3 i 5 |
| Blokowanie wszystkich SMS-ów pasujących do wzorca | operator telekomunikacyjny | niezwłocznie, obowiązkowo | art. 6 pkt 1 |
| Odpowiedź dla zgłaszającego, czy wiadomość jest złośliwa | CSIRT NASK | SMS-em z numeru 8080, bezpłatnie | art. 5 ust. 2 |
| Publikacja wzorca na stronie CERT Polska | CSIRT NASK | nie wcześniej niż 14 i nie później niż 21 dni od przekazania operatorom | art. 4 ust. 7 |
Zwróćmy uwagę na proporcje czasowe, bo z nich wynika sens całej procedury. Większość wejść na stronę phishingową następuje w ciągu 15 minut od otrzymania SMS-a, a zlecenie wysyłki kilkunastu tysięcy wiadomości trwa 30–40 minut. Zgłoszenie wysłane w pierwszych minutach kampanii nie uratuje już osoby, która kliknęła — ale zdąży przed resztą tej samej wysyłki. Dlatego liczy się szybkość, nie kompletność opisu.
Ile blokad daje jedno zgłoszenie — liczby z 2025 roku
| Co mierzone | 2024 | 2025 | Zmiana |
|---|---|---|---|
| Zgłoszenia podejrzanych SMS-ów | 354 566 | 295 169 | −16,8% |
| Wiadomości sklasyfikowane jako złośliwe | 140 659 | 81 395 | −42,1% |
| Wytworzone wzorce wiadomości | 746 | 790 | +5,9% |
| Zablokowane złośliwe SMS-y (szacunek operatorów) | 1 475 678 | 1 883 610 | +27,6% |
| Blokady na jeden wzorzec | 1 978 | 2 384 | +20,5% |
| Udział złośliwych w zgłoszeniach IV kwartału | 35,4% (średnia 2022–2024) | 10,3% | −25,1 pkt proc. |
Po przeliczeniu na dobę: około 808 zgłoszeń, 2,2 nowego wzorca i 5 160 zablokowanych wiadomości dziennie. Jedno zgłoszenie uznane za złośliwe przełożyło się w 2025 roku średnio na 23 niedostarczone SMS-y, a w rekordowym listopadzie — na 84.
Dwa pierwsze wiersze wyglądają jak spadek zainteresowania tematem, a znaczą coś innego: zgłoszeń ubyło 16,8%, wiadomości faktycznie złośliwych 42,1% — dwa i pół raza mocniej. Z tego samego zestawienia wynika druga rzecz, ważna dla kogoś, kto się waha, czy „zawracać ludziom głowę”: złośliwe było 27,6% zgłoszeń, więc prawie trzy czwarte to fałszywe alarmy. System jest tak zaprojektowany, że koszt pomyłki ponosi analityk, nie zgłaszający.
Dlaczego listy „sygnałów ostrzegawczych” wystarczają coraz rzadziej
Klasyczne porady — dziwny numer nadawcy, błędy językowe, podmienione litery w adresie — opisują SMS z linkiem do fałszywej strony. Właśnie ten typ wiadomości blokowany jest najskuteczniej, bo adres da się sprawdzić na Liście Ostrzeżeń CERT Polska. Plik tej listy pobrany 18-10-2026 zawierał 125 350 domen; w 2025 roku trafiło na nią blisko 245 tysięcy adresów, a jej wdrożenie u dostawców internetu zablokowało około 141,1 mln wejść na niebezpieczne strony.
Skutek jest taki, że oszustwa przesunęły się tam, gdzie linku nie ma. CERT Polska notuje rosnący udział wiadomości, w których SMS jest tylko przynętą do kontaktu: rzekomy SMS od dziecka o zepsutym telefonie i prośba o rozmowę na komunikatorze, informacja o „zysku” na koncie inwestycyjnym, powiadomienie o próbie logowania do giełdy kryptowalut. W takiej wiadomości nie ma czego sprawdzać — nie ma w niej adresu ani błędu ortograficznego. Jest tylko pretekst do rozmowy.
Pytanie kontrolne zmieniło więc kształt: nie „czy ten SMS wygląda podejrzanie”, lecz czy czekam na tę paczkę od tej firmy i dlaczego doradca pisze SMS-em zamiast powiadomienia w aplikacji. Ta sama logika stoi za oszustwem na BLIK, gdzie pierwszym krokiem też jest rozmowa, nie link.
Nadpis nadawcy: co jest zastrzeżone, a co nie
Gdy w telefonie zamiast numeru widać nazwę — „ZUS”, „mObywatel”, nazwę banku — to tzw. nadpis nadawcy. Ustawa pozwala podmiotom publicznym zastrzegać takie nadpisy w wykazie prowadzonym przez CSIRT NASK: wpis następuje najpóźniej w ciągu 7 dni od wniosku, a po wpisie próba wysłania wiadomości z tym nadpisem przez kogo innego jest blokowana (art. 10).
Dwie granice tego zabezpieczenia warto znać. Pierwsza: wykaz obejmuje podmioty publiczne, a nie wszystkie firmy, które przysyłają SMS-y — nazwa banku czy firmy kurierskiej nie musi w nim być. Druga: nadpis jest chroniony tylko wtedy, gdy ktoś go zgłosił. Dlatego widoczna nazwa nadawcy nigdy nie jest dowodem tożsamości, a kody z usług państwowych — jak te przy przedłużaniu profilu zaufanego — potwierdza się w aplikacji albo na stronie, na którą weszliśmy sami, nie w treści SMS-a.
Dla sprawcy jest to sprawa karna: za SMS podszywający się pod inny podmiot ustawa przewiduje od 3 miesięcy do 5 lat pozbawienia wolności (art. 30 ust. 1).
Najczęstsze pytania
Czy przekazanie SMS-a na 8080 jest płatne?
Nie. Operator ma obowiązek zapewnić bezpłatne korzystanie z numeru 8080 w obie strony — także dla odpowiedzi wysyłanej z tego numeru (art. 5 ust. 2).
Czy dostanę informację, czy wiadomość była oszustwem?
Tak, CERT Polska odpowiada SMS-em z numeru 8080. To dlatego warto zgłaszać także wiadomości, co do których mamy tylko wątpliwości.
Czy zgłaszać SMS, w którym nie ma żadnego linku?
Tak. Wiadomości bez linku są dziś rosnącą częścią oszustw i trudniej je wykryć automatycznie, więc zgłoszenie ma w ich przypadku większą wartość niż przy typowym SMS-ie „o dopłacie do paczki”.
Co zrobić, jeśli link już został otwarty i podane zostały dane?
Zadzwonić na infolinię banku z numeru znanego z aplikacji lub karty, zmienić hasła i zgłosić sprawę na policji. Samo zgłoszenie na 8080 nie zatrzymuje transakcji — ono chroni następne osoby.
Gdzie zgłosić fałszywy e-mail albo stronę, a nie SMS?
Formularzem na incydent.cert.pl albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Numer 8080 obsługuje wyłącznie wiadomości SMS.
Prawdziwe powiadomienie o e-recepcie wygląda inaczej niż oszustwo: przepis zabrania umieszczania w nim reklam i linków. Jak je rozpoznać i skąd wziąć kod, gdy SMS nie dotarł, opisujemy w tekście o kodzie e-recepty.
Przy połączeniu głosowym mechanizm ochrony jest inny niż przy SMS-ie: osobny przepis, osobny wykaz numerów i inne granice kar — zebraliśmy to w tekście o oszustwie metodą „na policjanta”.
Po kliknięciu w link z fałszywego SMS-a i podaniu swoich danych pierwszym ruchem powinno być zastrzeżenie numeru PESEL, które zajmuje chwilę i jest bezpłatne.
Kodów i numerów z podejrzanych wiadomości nie zostawiaj w schowku telefonu — jest wspólny dla wszystkich aplikacji. Jak sprawdzić, co w nim siedzi, i jak go wyczyścić, pokazujemy w tekście o tym, gdzie jest schowek w telefonie.
Zobacz też, jak sprawdzić, która aplikacja włączyła mikrofon i dlaczego kody wpisywane na klawiaturze telefonu niczego w tej sprawie nie wykrywają.
Żaden program ochronny nie zatrzyma takiego SMS-a, bo strona płatności otwiera się w zwykłej przeglądarce — wyjaśniamy to szerzej w tekście o tym, czy antywirus na telefon jest w ogóle potrzebny.
Osobnym wariantem tej samej sztuczki jest wiadomość o rzekomym wycieku hasła — dlatego sprawdzanie haseł uruchamia się samodzielnie, w menedżerze haseł w telefonie, a nie z linku w SMS-ie.
SMS to tylko jeden z kanałów. Jak sprawdzić telefon albo wiadomość e-mail, które wyglądają na kontakt z banku, zebraliśmy w tekście o oszustwie bankowym.
Jak rozpoznać fałszywy adres w SMS-ie bez otwierania go, pokazujemy na konkretnych liczbach w tekście o oszustwie na Vinted.
Źródła
- Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej — tekst jednolity, Dz.U. 2024 poz. 1803 (art. 3 pkt 2, art. 4, art. 5, art. 6, art. 10, art. 30); pierwotnie Dz.U. 2023 poz. 1703, w życie 25-09-2023
- CERT Polska, „Krajobraz bezpieczeństwa polskiego internetu — raport roczny 2025” — zgłoszenia SMS, wzorce i blokady, Lista Ostrzeżeń, kampanie SMS; dostęp 18-10-2026
- CERT Polska — Lista Ostrzeżeń (plik domen, wersja 2), liczba wpisów policzona 18-10-2026
- CERT Polska — zgłoszenie incydentu
