Nie, dokumenty w telefonie nie przestają działać przez SMS-a i nic nie trzeba potwierdzać z linku w wiadomości. Od kilku dni po polskich numerach chodzą wiadomości podpisane nadawcą Gov PL, w których dane w aplikacji mają rzekomo tracić ważność. CERT Orange Polska ostrzegł przed tą kampanią 3 września. Domenę, na którą prowadzi link, zarejestrowano dwa dni wcześniej, a wygląda niemal identycznie jak strona logowania administracji. Sam podpis nadawcy to zwykłe pole tekstowe, które wypełnia wysyłający, a od 2024 roku prawo każe operatorom blokować podszywanie się pod urzędy. Z tego napięcia wychodzi reszta tej historii.
Co dokładnie robi ten SMS i dokąd prowadzi
Wiadomość informuje o utracie ważności danych i kieruje na domenę finanse-dowiedz.com. Zarejestrowano ją we wtorek 1 września. Prawdziwe logowanie odbywa się w tym wypadku na login.gov.pl, a finanse-dowiedz.com nie ma z administracją nic wspólnego. Najbezpieczniej i tak nie oceniać adresu z SMS-a, tylko otworzyć aplikację albo wpisać oficjalny adres samodzielnie. Inne schematy z ostatnich miesięcy i listę rzeczy do sprawdzenia w podejrzanej wiadomości zebraliśmy w przewodniku po phishingu.
Strona działa dwuetapowo i pierwszy etap bywa mylący, bo nie prosi jeszcze o nic, co brzmi alarmująco. Zbiera dane, o które urząd faktycznie mógłby zapytać: imię i nazwisko, datę urodzenia, numer telefonu, adres pocztowy oraz numer rachunku bankowego. Zespół CERT Orange zakłada, że posłużą w kolejnych atakach, także po odsprzedaniu innej grupie.
Dopiero drugi etap odsłania cel. Ofiara wybiera swój bank, rzekomo po to, by zalogować się do serwisów rządowych, i podaje login oraz hasło. Trafiają one prosto do przestępców, którzy próbują sięgnąć po pieniądze. Oszuści nie udają nawet awarii aplikacji ani przerwy technicznej, tylko od razu prowadzą do wyboru banku.
Odtworzenie schematu wiadomości na podstawie opisu CERT Orange Polska z 3 września 2026 roku. To rekonstrukcja redakcyjna, a nie zrzut ekranu z czyjegoś telefonu.
Skąd wzięło się przekonanie, że mObywatel może wygasnąć
Kampania działa, bo podpina się pod prawdziwy mechanizm. Dokumenty w mObywatelu naprawdę mają datę techniczną, o której mało kto pamięta. Pod koniec lipca Ministerstwo Cyfryzacji przypominało o certyfikatach wygasających 5 sierpnia i o tym, że wystarczy zalogować się do aplikacji.
Nowa wiadomość używa bardzo podobnego motywu, tylko zamiast certyfikatów ważność tracą w niej “dane”. Czy przestępcy skopiowali lipcowy komunikat, nie wiadomo i nikt tego nie ustalił. Sam CERT Orange zauważa natomiast, że pod koniec lipca przewidywał wzrost oszustw na mObywatela, wtedy jeszcze z motywem certyfikatów.
Reguła praktyczna jest w tej sytuacji krótsza od wyjaśnienia. Cokolwiek trzeba zrobić w aplikacji rządowej, robi się to w samej aplikacji albo na stronie wpisanej z ręki w przeglądarce. Nigdy z odnośnika w wiadomości, nawet gdy nadawca wygląda znajomo. W październiku 2026 roku w SMS-ach podszywających się pod mObywatela pojawił się inny motyw: mandat do zapłaty. Jak go rozpoznać i gdzie sprawdzić prawdziwy mandat, opisaliśmy w tekście o fałszywym SMS-ie o mandacie i e-mailu o nadpłacie podatku.
Dlaczego nadpis nadawcy w SMS-ie da się podrobić
Tu dochodzimy do rzeczy, o której nie piszą relacje z ostrzeżenia. Nadpis nadawcy, czyli napis wyświetlany zamiast numeru telefonu, ustawa nazywa identyfikatorem wiadomości. Nie jest to jednak dowód tożsamości nadawcy, tylko pole tekstowe o długości do jedenastu znaków, wypełniane przez tego, kto wysyła SMS. Sam napis niczego więc nie uwierzytelnia. Operator może za to sprawdzić coś innego: czy wiadomość z zastrzeżonym nadpisem przyszła przez integratora, czyli firmę uprawnioną do wysyłania SMS-ów w imieniu urzędu.
Polska próbuje to nadrobić od 2023 roku ustawą o zwalczaniu nadużyć w komunikacji elektronicznej. Zabezpieczenia idą dwoma niezależnymi torami i warto je rozdzielić, bo w relacjach zlewają się w jedno.
- Tor pierwszy pilnuje podpisu. CSIRT NASK prowadzi wykaz nazw i skrótów zastrzeżonych dla podmiotów publicznych i dopisuje do nich warianty mogące mylić odbiorcę. Wiadomość z zastrzeżoną nazwą operator blokuje wtedy, gdy nie wysłał jej integrator wpisany do wykazu Prezesa UKE. Wiadomość z wariantem mylącym blokuje niezależnie od tego, kto ją wysłał. Oba obowiązki działają najpóźniej trzy dni po wpisie. Osobno ustawa zastrzega dla administracji końcówkę “#RP”, której nikomu spoza niej używać nie wolno.
- Tor drugi pilnuje treści. CSIRT NASK tworzy wzorce fałszywych wiadomości, a operator blokuje SMS pasujący do wzorca niezależnie od tego, jak jest podpisany.
Oba tory mają ten sam charakter: chronią to, co ktoś wcześniej opisał. Wykaz obejmuje nazwy zgłoszone przez urzędy i warianty wymyślone przez zespół, a wzorce powstają z wiadomości już zaobserwowanych. Czy nadpis Gov PL figuruje dziś w wykazie, nie udało się nam ustalić, bo aktualnej listy nie znaleźliśmy w publicznie dostępnej formie. Sam CERT Orange pisze natomiast, że wiadomości tej kampanii blokuje, ale przestępcy dostosowują ją tak, że część przeciska się przez systemy.
Ile fałszywych SMS-ów faktycznie udaje się zatrzymać
Warto zestawić lukę z liczbami, bo obraz wychodzi mniej ponury, niż sugeruje sama opowieść o oszustwie. CERT Polska publikuje miesięczne podsumowania i widać w nich obie strony bilansu.
Od stycznia do końca czerwca 2026 roku zespół przyjął 84,1 tys. zgłoszeń podejrzanych SMS-ów. W samym czerwcu było ich 13,4 tys., o 15% mniej niż w maju. Wiadomości z podszyciem się pod inny podmiot stanowiły 17% czerwcowych zgłoszeń.
W tym samym czerwcu operatorzy zablokowali około 23,6 tys. SMS-ów na podstawie wzorców przygotowanych przez CERT Polska. Liczba jest szacunkowa, bo powstaje z raportów operatorów przeliczanych przez ich udział w rynku. Wzorców powstało w pierwszym półroczu 521, najwięcej w styczniu i maju.
Z tych danych wynika prosty wniosek o roli zgłoszeń. Wzorce powstają z materiału, który ktoś przekazał: od odbiorców SMS-ów, ale też od operatorów, banków, firm kurierskich i platform inwestycyjnych. Przesłanie podejrzanej wiadomości jest więc udziałem w mechanizmie, nie gestem dla świętego spokoju.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Co zrobić z takim SMS-em
Kolejność działań jest krótka i nie wymaga wiedzy technicznej.
- Nie klikaj odnośnika i nie podawaj żadnych danych.
- Otwórz mObywatela samodzielnie z ekranu telefonu i sprawdź komunikaty w aplikacji. Adresy administracji zawsze kończą się na gov.pl.
- Prześlij wiadomość w niezmienionej formie na bezpłatny numer 8080. To zgłoszenie do CERT Polska i podstawa do stworzenia wzorca blokującego.
- Klienci Orange mogą przesłać ją także na numer 508 700 900.
- Jeżeli dane logowania do banku już zostały podane, zadzwoń na infolinię banku i zastrzeż dostęp. Potem zmień hasło.
Za samo wysyłanie takich wiadomości grozi co do zasady kara pozbawienia wolności od trzech miesięcy do pięciu lat. W wypadku mniejszej wagi ustawa przewiduje grzywnę, ograniczenie wolności albo pozbawienie wolności do roku. Zjawisko nazywa smishingiem i opisuje je osobnym przepisem karnym.
Podsumowanie
Podpis “Gov PL” w SMS-ie sam z siebie nie znaczy nic. Pole nadawcy ustawia ten, kto wysyła wiadomość, a państwowa ochrona działa na dwa sposoby: przez wykaz zastrzeżonych nazw urzędów i przez wzorce fałszywych treści. Obie ścieżki opisują z góry to, co ma zostać zablokowane. Domena finanse-dowiedz.com powstała 1 września, dwa dni przed ostrzeżeniem, i wyłudza najpierw dane osobowe, a potem dostęp do bankowości. Prawdziwy mechanizm wygasania certyfikatów w aplikacji istnieje i właśnie dlatego ta historia brzmi wiarygodnie. Różnica jest jedna: o certyfikatach informuje sama aplikacja, a nie wiadomość z odnośnikiem. Ostrzeżenie w oryginale stoi na stronie CERT Orange Polska, a statystyki w miesięcznym podsumowaniu CERT Polska. Kto chce sprawdzić własną firmę, ma do dyspozycji darmowy serwis moje.cert.pl.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
