Spoofing: co to jest i jak rozpoznać fałszywy telefon

Spoofing telefoniczny to podmiana numeru, który widzisz przy połączeniu przychodzącym: oszust dzwoni z cudzym numerem, żeby wyglądać jak bank, urząd albo ktoś bliski, a jeśli masz ten numer w kontaktach, telefon pokaże nawet jego nazwę. Według Ministerstwa Cyfryzacji podszyć się da pod każdy numer, a operatorzy nie są w stanie wyłapać wszystkich takich połączeń. Wyjaśniamy, skąd oszust bierze cudzy numer i co po zmianach w prawie oznacza połączenie z numeru zastrzeżonego. Pokazujemy też, jak odróżnić bank od oszusta i co zrobić krok po kroku, jeśli już coś mu podałeś.

Co to jest spoofing telefoniczny i jak oszust podmienia numer

Spoofing telefoniczny to połączenie, w którym dzwoniący posługuje się cudzym numerem, żeby podszyć się pod bank, urząd, policję albo bliską osobę. Polska ustawa nazywa to CLI spoofingiem. Według ustawy o zwalczaniu nadużyć w komunikacji elektronicznej (art. 3) jego celem jest wywołanie strachu albo nakłonienie odbiorcy do przekazania danych, pieniędzy lub instalacji programu.

Numer telefonu nie jest zabezpieczony przed podmianą. Oszust dzwoni przez internetową bramkę telefoniczną i sam wpisuje numer, który ma się wyświetlić odbiorcy. Opisuje to NASK. Jeśli ten numer masz zapisany w kontaktach, telefon pokaże nazwę kontaktu, na przykład “Bank” albo “Brat”. Znajoma nazwa na ekranie usypia czujność i na tym ta metoda się opiera.

Centralne Biuro Zwalczania Cyberprzestępczości wymienia cztery najczęstsze scenariusze: “na wnuczka” (wypadek bliskiej osoby), “na policjanta” albo lekarza, “na pracownika banku” (podejrzana operacja na koncie) i “na pracownika ZUS”. Wspólny mianownik to pośpiech i emocje. Prawdziwe automatyczne połączenia też się zdarzają, na przykład z centralnej e-rejestracji. Jak odróżnić je od podróbki, opisujemy w tekście o telefonie od Anny z 116 117.

Podmiana nadawcy zdarza się też w SMS-ach i e-mailach. Fałszywy SMS potrafi trafić do tego samego wątku co prawdziwe wiadomości z banku, a e-mail może mieć w polu nadawcy nazwę znanej firmy. Te odmiany opisujemy w przewodniku o tym, czym jest phishing i jak go rozpoznać. Tu zostajemy przy telefonie, bo rozmowa na żywo daje oszustowi najwięcej kontroli.

Numer zastrzeżony: co znaczy, gdy dzwoni bez numeru

Numer zastrzeżony to połączenie, przy którym telefon nie dostaje numeru dzwoniącego. Na ekranie widzisz wtedy “Numer zastrzeżony”, “Numer prywatny” albo “Nieznany”, zależnie od modelu telefonu. Zwykle oznacza to, że rozmówca sam ukrył numer w ustawieniach. Od 2023 roku może to być także połączenie, które operator uznał za podejrzane o spoofing.

Co mówi art. 16 ustawy o zwalczaniu nadużyć

Art. 16 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej brzmi tak: “W celu zapobiegania i zwalczania CLI spoofing przedsiębiorca telekomunikacyjny blokuje połączenie głosowe albo ukrywa identyfikację numeru wywołującego dla użytkownika końcowego”. Przepis obowiązuje od 25 września 2023 roku. Kary za jego niewykonanie, do 3% rocznego przychodu operatora, weszły rok później, 25 września 2024 roku.

Jak to wygląda w praktyce, wyjaśnia komunikat Ministerstwa Cyfryzacji. Operator, który ma pewność, że połączenie jest fałszywe, przerywa je. Jeśli ma tylko podejrzenie, połączenie przechodzi, ale bez numeru. Resort pisze wprost: połączenie “wyświetli się jako numer zastrzeżony”. Podejrzane są na przykład połączenia z zagranicy, które logują się do polskiej sieci jak krajowe, numery z niewłaściwą liczbą cyfr i połączenia z numerów alarmowych do osób prywatnych.

Jak traktować połączenie z numeru zastrzeżonego

Połączenie z numeru zastrzeżonego może być zwykłą rozmową kogoś, kto nie chce pokazać numeru. Może też być próbą podszycia się, której operator nie zablokował, bo nie miał pewności. Z samego ekranu tego nie rozstrzygniesz. Dlatego każdą rozmowę z zastrzeżonego numeru, w której pada prośba o dane, kod albo przelew, traktuj jak niezweryfikowaną.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.

Zacznij Pierwszą Misję →

Fałszywy telefon z banku: jak go rozpoznać

Fałszywy telefon z banku najłatwiej rozpoznasz po tym, o co prosi rozmówca. Numer na ekranie niczego nie dowodzi. Bank nie potrzebuje od ciebie hasła, kodu BLIK ani przelewu “na konto techniczne”, żeby zabezpieczyć twoje pieniądze. CBZC razem z FinCERT.pl, bankowym centrum cyberbezpieczeństwa Związku Banków Polskich, przypominają, że wyświetlony numer albo nazwa banku nie są gwarancją, że rozmawiasz z bankiem.

Poniżej zestawiamy typowe zdania oszustów z tym, co według samych banków i policji robi prawdziwy bank.

Jak sprawdzić rozmówcę w aplikacji banku

Część banków daje narzędzie do sprawdzenia rozmówcy w trakcie rozmowy. W PKO BP możesz poprosić dzwoniącego o weryfikację. Jeśli to naprawdę bank, w aplikacji IKO dostaniesz powiadomienie z imieniem, nazwiskiem i stanowiskiem pracownika. mBank idzie krok dalej. Jeśli w trakcie rozmowy zalogujesz się do aplikacji, a dzwoni ktoś spoza banku, zobaczysz komunikat “nie rozmawiasz teraz z mBankiem”. Według banku aplikacja nie widzi numeru dzwoniącego ani treści rozmowy. Sprawdza tylko, czy bank właśnie dzwoni na twój numer.

Odmowa takiej weryfikacji albo wymówka, że “system nie działa”, to dla obu banków sygnał, żeby się rozłączyć. Jeśli twój bank nie ma takiej funkcji, zostaje zasada uniwersalna: rozłącz się i zadzwoń sam na numer z karty albo ze strony banku.

Po wycieku danych oszust wie, jak się nazywasz

Spoofing działa najlepiej, gdy oszust zna szczegóły. Imię, nazwisko, numer telefonu i nazwa firmy, z której usług korzystasz, sprawiają, że telefon “z banku” albo “od kontrahenta” brzmi wiarygodnie. Takie dane trafiają dziś do przestępców z wycieków.

Jesienią 2026 roku wyciekły dane klientów kilku polskich firm i w części wycieków były numery telefonów. Fakturownia podała w komunikacie o incydencie, że pobrano m.in. imiona, nazwiska, adresy e-mail i telefony użytkowników oraz dane kontrahentów. Firma wprost ostrzega przed telefonami podszywającymi się pod bank i urząd. Szczegóły opisaliśmy w tekście o wycieku z Fakturowni. Wakacje.pl wymieniły numery telefonów na liście danych, które mogły zostać pozyskane. Prosiły też o ostrożność wobec telefonów powołujących się na rezerwację, o czym piszemy przy wycieku z Wakacje.pl.

Jeśli twoje dane były w którymś z tych wycieków, rozmówca może znać twoje nazwisko, adres, a nawet szczegóły zamówienia. Nie dowodzi to, że dzwoni z firmy. Czy twój e-mail albo numer telefonu pojawił się w znanych wyciekach, sprawdzisz w serwisie rządowym, jak opisujemy w poradniku o Bezpiecznych Danych.

Co blokuje operator, a czego nie zatrzyma

Ustawa z 2023 roku wprowadziła trzy mechanizmy przeciw podszywaniu się pod numer, dwa po stronie operatorów i jeden po stronie sprawcy. Pierwszy to opisany wyżej art. 16: blokada albo ukrycie numeru przy podejrzeniu spoofingu. Według Urzędu Komunikacji Elektronicznej Play, Orange, T-Mobile i Plus podpisały w lutym 2024 roku porozumienie, które określa techniczny sposób wykrywania takich połączeń.

Drugi mechanizm to jawny wykaz numerów służących wyłącznie do odbierania połączeń, prowadzony przez UKE (art. 17). Banki, ubezpieczyciele, instytucje płatnicze i urzędy mogą wpisać do niego na przykład numer infolinii. Z takiego numeru nikt nie dzwoni, więc operator ma obowiązek blokować każde połączenie, które się nim przedstawia. Działa to tylko dla numerów, które dana instytucja do wykazu zgłosiła.

Trzeci to sankcja karna dla oszusta. Za podszywanie się pod cudzy numer w celu wyłudzenia danych, pieniędzy albo kodów grozi od 3 miesięcy do 5 lat więzienia (art. 31).

Ministerstwo Cyfryzacji samo przyznaje, że wyłapanie każdego fałszywego połączenia nie jest możliwe. Oszust może też zadzwonić ze zwykłego numeru, którego nikt nie zablokował, i przedstawić się jako bank. Od 1 października 2026 roku obowiązuje nowe rozporządzenie o przesyłaniu numeru między sieciami. Nie oznacza ono jednak końca fałszywych numerów, co wyjaśniamy w poradniku jak zablokować numer telefonu i spam. Tam znajdziesz też ustawienia, które wyciszają połączenia z numerów zastrzeżonych.

Dla SMS-ów są publiczne dane o skali blokowania, bo ten mechanizm opiera się na zgłoszeniach od ludzi. Według NASK w 2025 roku, na podstawie SMS-ów przesłanych na numer 8080, CERT Polska przygotował 790 wzorców oszukańczych wiadomości. Operatorzy zablokowali według nich blisko 1,88 mln SMS-ów. Podobnej publicznej statystyki dla zablokowanych połączeń nie znaleźliśmy.

Co zrobić po telefonie od oszusta: kroki

Jeśli rozmowa wydaje ci się podejrzana, przerwij ją. Nie musisz niczego tłumaczyć. Potem działaj według tego, co zdążyłeś zrobić.

Gdy niczego nie podałeś:

1. Rozłącz się i odczekaj co najmniej 30 sekund. Tak radzą CBZC i FinCERT.pl.
2. Zadzwoń do banku sam. Numer wybierz ręcznie z odwrotu karty albo ze strony banku. Nie oddzwaniaj z historii połączeń, bo tam jest numer podstawiony przez oszusta.
3. Opowiedz bankowi o rozmowie. Zapytaj, czy na koncie dzieje się coś nietypowego.

Gdy podałeś dane, kod albo zrobiłeś przelew:

1. Natychmiast zadzwoń do banku i wykonaj jego instrukcje. W mBanku możesz od razu włączyć w aplikacji blokadę transakcji. W innych bankach zablokuj kartę w aplikacji i opisz sytuację konsultantowi.
2. Jeśli zainstalowałeś program wskazany przez rozmówcę, odłącz telefon albo komputer od internetu i odinstaluj go. Jak oszuści używają programów do zdalnego pulpitu, opisujemy w tekście o TeamViewerze i QuickSupport.
3. Zmień hasło do bankowości i do poczty, jeśli rozmówca mógł je poznać.
4. Jeśli podałeś numer PESEL albo zdjęcie dowodu, zastrzeż PESEL w mObywatelu albo na gov.pl. Co takie zastrzeżenie realnie blokuje, wyjaśniamy w tekście o zastrzeżeniu PESEL.
5. Zgłoś sprawę na policji albo w prokuraturze. Ministerstwo Cyfryzacji wskazuje te dwa adresy dla podejrzenia CLI spoofingu.
6. Złóż w banku reklamację nieautoryzowanej transakcji. Terminy i obowiązki banku opisujemy w poradniku oszustwo bankowe: gdzie zgłosić.

Podejrzany SMS, który przyszedł przed albo po rozmowie, przekaż bez zmian na bezpłatny numer 8080. Numer 8080 przyjmuje tylko wiadomości SMS. Połączeń głosowych przez niego nie zgłosisz.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania o spoofing

Czy spoofing jest karalny?

Tak. Art. 31 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej przewiduje od 3 miesięcy do 5 lat więzienia za dzwonienie z cudzego numeru w celu wyłudzenia danych, pieniędzy, haseł albo kodów. W wypadku mniejszej wagi grozi grzywna, ograniczenie wolności albo do roku więzienia. Osobno odpowiadają operatorzy. Za niewykonanie obowiązku blokowania grozi im kara do 3% przychodu.

Jak sprawdzić, kto dzwonił z numeru zastrzeżonego?

Samodzielnie tego nie sprawdzisz, bo twój telefon numeru w ogóle nie otrzymał. Nie pomogą też aplikacje do identyfikacji rozmówców, bo nie mają czego sprawdzić. Jeśli rozmowa była próbą oszustwa, zgłoś ją na policji. Ustalenie sprawcy należy wtedy do organów ścigania.

Czy można zablokować wszystkie połączenia z numerów zastrzeżonych?

Tak, w ustawieniach telefonu, a w części sieci także u operatora. Na Androidzie z aplikacją Telefon Google służy do tego opcja blokowania nieznanych numerów, a na iPhonie wyciszanie nieznanych dzwoniących. Opis krok po kroku znajdziesz w naszym poradniku o blokowaniu numerów. Pamiętaj, że zablokujesz wtedy także uczciwe połączenia bez numeru, na przykład od osób, które celowo ukrywają swój numer.

Podsumowanie

Spoofing to podmiana numeru wyświetlanego przy połączeniu, dzięki której oszust udaje bank, urząd albo bliską osobę. Od 25 września 2023 roku operatorzy muszą takie połączenia blokować albo ukrywać numer dzwoniącego, a od 25 września 2024 roku grożą im za zaniedbanie kary. Dlatego połączenie z numeru zastrzeżonego bywa dziś śladem podejrzanego połączenia, którego operator nie odciął. Numer i nazwa banku na ekranie nie dowodzą, kto dzwoni, więc oceniaj treść rozmowy. Bank nie prosi o kody, hasła, przelew na inne konto ani instalację programu. Część banków, na przykład PKO BP i mBank, pozwala sprawdzić rozmówcę w aplikacji. Po podejrzanej rozmowie rozłącz się i zadzwoń sam na numer z karty. Jeśli coś podałeś, natychmiast skontaktuj się z bankiem, wykonaj jego instrukcje i zgłoś sprawę na policji.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.