Gdzie zgłosić podejrzany numer telefonu?

Podejrzany SMS o dopłacie do paczki, telefon z „banku” straszący blokadą konta, połączenie z numeru, który wygląda jak infolinia urzędu. Każdy taki kontakt rodzi to samo pytanie: gdzie to właściwie zgłosić, żeby miało to sens. Problem w tym, że nie ma jednego uniwersalnego miejsca. Co innego robi się z fałszywym SMS-em, co innego z połączeniem głosowym, a jeszcze co innego, gdy przez telefon doszło już do wyłudzenia pieniędzy. Zła wiadomość jest taka, że łatwo trafić nie tam i stracić czas. Dobra, że właściwe kanały są bezpłatne, w większości zajmują dosłownie chwilę, a każde zgłoszenie realnie pomaga zablokować oszustów, zanim dotrą do kolejnych osób. Ten przewodnik porządkuje, co zgłosić i gdzie, w zależności od tego, co dokładnie się wydarzyło.

Zanim cokolwiek zgłosisz: zabezpiecz dowody

Zgłoszenie ma tym większą wartość, im więcej konkretów zawiera. Zanim więc skasujesz podejrzaną wiadomość albo rozłączysz się z ulgą, warto zachować to, co pozwoli instytucjom działać. Kluczowe są: numer nadawcy albo dzwoniącego, dokładna data i godzina, pełna treść SMS-a lub opis rozmowy, a jeśli w wiadomości był link, to jego adres w niezmienionej formie.

Przy wiadomościach najprościej zrobić zrzut ekranu. Przy połączeniach głosowych pomaga notatka spisana od razu po rozmowie, a jeśli prawo na to pozwala (jako uczestnik rozmowy zwykle można ją nagrać na własne potrzeby dowodowe), także nagranie. Takiego nagrania nie publikuje się publicznie, dołącza się je wyłącznie do zgłoszenia.

Jest jedna rzecz, o której łatwo zapomnieć pod wpływem emocji: nie usuwaj podejrzanych wiadomości ani historii połączeń, dopóki sprawy nie zgłosisz. Skasowany SMS to zniszczony dowód. To samo dotyczy aplikacji, którą ktoś nakłonił Cię do zainstalowania. Jeśli podejrzewasz, że to element ataku, nie odinstalowuj jej pochopnie, bo może być istotna dla ustalenia przebiegu zdarzenia, ale odłącz telefon od internetu, żeby ograniczyć ewentualne szkody.

Podejrzany SMS: numer 8080 to najszybsza droga

Jeśli dostałeś podejrzaną wiadomość SMS, najprostszym i najważniejszym kanałem jest bezpłatny numer 8080. To dedykowana linia zespołu CERT Polska (działającego w ramach CSIRT NASK), stworzona specjalnie po to, żeby zgłaszanie fałszywych SMS-ów było banalnie proste. Numer działa od 22 listopada 2023 roku i zastąpił wcześniejszy, trudniejszy do zapamiętania 799 448 084.

Sposób zgłoszenia sprowadza się do jednego gestu. Przytrzymujesz podejrzaną wiadomość, wybierasz opcję „Przekaż dalej” (lub „Prześlij dalej”), jako odbiorcę wpisujesz 8080 i wysyłasz. Najważniejsza zasada: przekazujesz całą wiadomość w oryginalnej formie, bez wycinania linku ani skracania treści. Każdy znak może być istotny dla analizy, bo system porównuje treść ze znanymi kampaniami phishingowymi. Na numer 8080 można przesyłać zarówno wiadomości z linkiem, jak i te bez niego.

Po chwili zwykle otrzymujesz automatyczną odpowiedź informującą, czy wiadomość została rozpoznana jako część znanej kampanii oszustów. Warto od razu zapisać sobie 8080 w kontaktach, żeby w razie potrzeby nie szukać. Przesłanie SMS-a jest bezpłatne na terenie Polski (w roamingu koszt wynika z cennika operatora). Jest jedno ograniczenie, o którym rzadko się pisze: w ciągu czterech godzin można zgłosić maksymalnie trzy wiadomości, co ma zapobiegać nadużyciom samego systemu zgłoszeń.

Sens tej drogi jest podwójny. Po pierwsze, jeśli wiadomość zawiera link do strony wyłudzającej dane, jej adres może trafić na listę ostrzeżeń CERT Polska, na podstawie której operatorzy i przeglądarki blokują dostęp do niebezpiecznych witryn. Po drugie, wzorce zgłoszonych SMS-ów zasilają mechanizm, dzięki któremu operatorzy blokują podobne wiadomości u innych odbiorców. Jedno zgłoszenie chroni więc nie tylko Ciebie.

Podejrzane połączenie, e-mail albo strona: formularz CERT Polska

Numer 8080 obsługuje wyłącznie wiadomości SMS. Gdy problem dotyczy czegoś innego, podejrzanego połączenia głosowego, fałszywego e-maila, strony podszywającej się pod bank czy urząd albo szerszego incydentu, właściwym miejscem jest formularz na stronie incydent.cert.pl. To ta sama instytucja, tylko inny kanał, przystosowany do bardziej złożonych zgłoszeń.

W formularzu wybierasz typ zgłaszającego (najczęściej „osoba fizyczna”), następnie kategorię incydentu (na przykład podejrzany e-mail, strona, oszustwo telefoniczne, spoofing), opisujesz chronologicznie przebieg zdarzenia i dołączasz dowody: zrzuty ekranu, adres strony, numer, z którego dzwoniono. Podanie danych kontaktowych jest nieobowiązkowe, ale ułatwia reakcję i pozwala zespołowi dopytać o szczegóły. Po wysłaniu zgłoszenia system nadaje mu numer, który warto zachować. Jeśli podano dane kontaktowe, odpowiedź zwrotna zwykle przychodzi w ciągu 48 godzin.

Podejrzane e-maile można też przesłać bezpośrednio na adres cert@cert.pl. Od sierpnia 2024 roku dostępna jest również wygodna droga z poziomu telefonu: aplikacja mObywatel ma sekcję „Bezpiecznie w sieci”, w której wybiera się kategorię i postępuje zgodnie ze wskazówkami. Do skorzystania z niej potrzebna jest aktualna wersja aplikacji i potwierdzona tożsamość.

Warto rozumieć, czym jest spoofing, bo to on sprawia, że sam numer na ekranie przestał być dowodem czegokolwiek. Spoofing to podszywanie się pod cudzy numer telefonu: oszust tak manipuluje siecią, że na Twoim ekranie wyświetla się numer prawdziwej infolinii banku, policji czy urzędu. Dlatego zgodność wyświetlanego numeru z tym ze strony instytucji nie potwierdza autentyczności połączenia. Zwalczaniem CLI spoofingu zajmuje się między innymi UKE na podstawie ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, a operatorzy mają obowiązek takie połączenia ograniczać.

Gdy doszło do straty pieniędzy lub danych: policja i CBZC

Jeśli sprawa wykroczyła poza samą próbę, doszło do wyłudzenia pieniędzy, kradzieży danych, gróźb, podszywania się pod funkcjonariusza albo przejęcia konta, to jest już przestępstwo i miejscem zgłoszenia jest policja lub prokuratura. Zawiadomienie o podejrzeniu popełnienia przestępstwa można złożyć w każdej jednostce policji, osobiście na komisariacie, a w części spraw także przez internet.

W sprawach cyberprzestępczości wyspecjalizowaną jednostką jest Centralne Biuro Zwalczania Cyberprzestępczości (CBZC). Składając zawiadomienie, przygotuj komplet informacji, bo to przyspiesza czynności: numer telefonu oszusta, opis sytuacji, adres ewentualnej fałszywej strony, kopie korespondencji (SMS, e-mail, komunikatory) w niezmienionej formie, a jeśli doszło do strat, także wyciągi bankowe pokazujące nieautoryzowane operacje oraz informację, gdzie i kiedy wykonywano wypłaty czy przelewy.

Czas ma tu realne znaczenie. Im szybciej po zdarzeniu trafi zawiadomienie, tym większa szansa na zablokowanie środków, ustalenie sprawców i uchronienie kolejnych osób. Jeśli w grę wchodzi utrata dostępu do konta bankowego lub pieniędzy, najpierw jednak wykonuje się „gaszenie pożaru”, o którym w kolejnej sekcji, bo minuty potrafią decydować.

Co zrobić natychmiast, gdy podałeś dane lub kliknąłeś link?

Zgłoszenie jest ważne, ale gdy już doszło do podania danych albo kliknięcia w link, najpierw trzeba ograniczyć szkody. Kolejność działań ma znaczenie, bo niektóre z nich są nieodwracalne dopiero po czasie.

Pierwszy krok to kontakt z bankiem, ale wyłącznie pod oficjalnym numerem z aplikacji lub oficjalnej strony, nigdy pod tym podanym przez dzwoniącego. Bank może zablokować kartę, wstrzymać podejrzane przelewy i zmienić dane dostępowe do bankowości. Jeśli podałeś kody BLIK albo dane karty, zgłoś to od razu. Drugi krok, jeśli instalowałeś jakąkolwiek aplikację „do weryfikacji” albo telefon zaczął działać dziwnie, to potraktowanie tego jak możliwe złośliwe oprogramowanie: odłącz urządzenie od internetu, a po zabezpieczeniu sprawy usuń podejrzane aplikacje, zaktualizuj system, w razie potrzeby rozważ przywrócenie ustawień fabrycznych po wykonaniu kopii zapasowej.

Osobną, bardzo ważną czynnością jest zastrzeżenie numeru PESEL, zwłaszcza jeśli oszust mógł wejść w posiadanie Twoich danych osobowych. Robi się to zdalnie przez aplikację mObywatel lub portal gov.pl, albo osobiście w urzędzie gminy czy w banku. Zastrzeżenie PESEL utrudnia zaciągnięcie na Twoje dane kredytu czy pożyczki. Warto też rozważyć alerty w biurach informacji gospodarczej, które szybciej sygnalizują próby wyłudzeń.

Telemarketing i uciążliwe połączenia: UKE i UOKiK

Nie każde niechciane połączenie to oszustwo. Część to natrętny, ale legalny w formie telemarketing albo połączenia marketingowe bez wymaganej zgody. Tu właściwe instytucje są inne niż przy oszustwach, co bywa źródłem nieporozumień.

Urząd Komunikacji Elektronicznej (UKE) to pierwszy adres dla niezamówionego telemarketingu. Urząd nadzoruje przepisy wymagające uprzedniej zgody abonenta na kontakt marketingowy i może wszczynać postępowania wobec firm łamiących te zasady. Skargę na niezamówione połączenia lub SMS-y marketingowe najwygodniej złożyć przez ePUAP (pismo ogólne do UKE, w tytule warto wpisać, czego dotyczy) albo przez formularz i dane kontaktowe dostępne na stronie uke.gov.pl.

Urząd Ochrony Konkurencji i Konsumentów (UOKiK) zajmuje się z kolei masowymi, nieuczciwymi praktykami rynkowymi, na przykład gdy cała firma stosuje agresywny model wprowadzający konsumentów w błąd. Jeśli natomiast doszło do bezprawnego przetwarzania Twoich danych osobowych, właściwym organem jest UODO. Te ścieżki różnią się od zgłoszeń do CERT czy policji: dotyczą naruszeń o charakterze konsumenckim i administracyjnym, a nie ataku phishingowego.

Poniższa tabela porządkuje, gdzie kierować zgłoszenie w zależności od tego, co się wydarzyło.

Rola operatora: blokowanie numeru u źródła

Obok instytucji państwowych warto pamiętać o własnym operatorze telekomunikacyjnym. Orange, Play, T-Mobile, Plus i pozostali mają własne systemy wykrywania i blokowania spamu oraz oszustw telefonicznych, a zgłoszenia klientów te systemy zasilają. Zgłoszenie robi się przez infolinię, aplikację operatora albo formularz na jego stronie.

Efekt bywa konkretny: jeśli operator potwierdzi, że numer służy do oszustw lub masowego spamu, może go zablokować w swojej sieci, a niekiedy we współpracy z innymi dostawcami. To działanie komplementarne wobec zgłoszenia do CERT czy policji, a nie jego zamiennik. Zgłoszenie do operatora działa na poziomie sieci telekomunikacyjnej, zgłoszenie do CERT na poziomie treści i linków, a zawiadomienie na policję uruchamia ściganie sprawcy.

Niezależnie od zgłoszeń, sam numer możesz od razu zablokować w telefonie. Na Androidzie i iOS otwierasz szczegóły połączenia lub wiadomości i wybierasz opcję zablokowania. To najprostszy sposób, żeby ten konkretny numer przestał Cię nękać, ale trzeba pamiętać, że przy spoofingu oszust i tak posługuje się podmienianymi numerami, więc blokada jednego numeru nie rozwiązuje problemu u źródła. Dlatego blokowanie warto łączyć ze zgłoszeniem.

Przykład z życia: telefon „z banku” i trzy właściwe ruchy

Prześledźmy typowy scenariusz, bo pokazuje, jak w praktyce łączą się różne kanały. Do pana Marka dzwoni osoba przedstawiająca się jako pracownik działu bezpieczeństwa banku. Na ekranie wyświetla się numer identyczny z infolinią, którą pan Marek zna. Rozmówca informuje o „podejrzanej transakcji”, roztacza presję czasu i prosi o podanie kodu z aplikacji, żeby „zablokować operację”.

Pan Marek robi rzecz najważniejszą: przerywa rozmowę. Żaden bank nie prosi przez telefon o kody autoryzacyjne, hasła ani o instalację dodatkowego oprogramowania, więc sama taka prośba jest sygnałem oszustwa, niezależnie od tego, jak wiarygodnie wygląda numer. Zamiast oddzwaniać z historii połączeń, pan Marek dzwoni na oficjalny numer banku z własnej aplikacji i potwierdza, że żadnej podejrzanej transakcji nie ma, a bank do niego nie dzwonił. To był spoofing.

Dalej pan Marek wykonuje trzy ruchy. Po pierwsze, zgłasza incydent przez formularz na incydent.cert.pl, opisując przebieg rozmowy i podając wyświetlany numer, bo to połączenie głosowe, a nie SMS, więc 8080 tu nie zadziała. Po drugie, informuje swojego operatora, który może objąć numer analizą. Po trzecie, ponieważ nie podał żadnych danych ani pieniędzy nie stracił, nie musi iść na policję, ale zapisuje datę, godzinę i numer na wypadek, gdyby próby się powtórzyły. Gdyby jednak podał kod i doszło do przelewu, kolejność byłaby inna: najpierw natychmiastowy telefon do banku i blokada, potem zawiadomienie na policję, dopiero na końcu zgłoszenie do CERT. Wniosek jest prosty: właściwy kanał zależy od tego, co się stało, a najskuteczniejsza reakcja zwykle łączy kilka z nich.

Podsumowanie: który kanał, kiedy

Na koniec warto zebrać całość w prostą logikę decyzyjną. Jeśli masz podejrzany SMS, przekaż go na 8080, to najszybsza i najważniejsza droga. Jeśli chodzi o podejrzane połączenie, e-mail, fałszywą stronę albo spoofing, skorzystaj z formularza na incydent.cert.pl lub z mObywatela. Jeśli straciłeś pieniądze albo dane, zgłoś przestępstwo policji lub CBZC, wcześniej blokując konto w banku i zastrzegając PESEL. Jeśli problem to natrętny telemarketing, kieruj skargę do UKE, a przy masowych nieuczciwych praktykach do UOKiK. Równolegle zawsze warto powiadomić własnego operatora i zablokować numer w telefonie.

Wszystkie te zgłoszenia są bezpłatne, a większość zajmuje kilka minut. Łatwo pomyśleć, że pojedyncze zgłoszenie niczego nie zmienia, ale to nieprawda: mechanizmy blokowania SMS-ów, list ostrzeżeń o stronach i filtrów operatorskich działają właśnie dzięki masie zgłoszeń od zwykłych ludzi. Twoje kilka minut może uchronić przed stratą kogoś, kto nie rozpozna oszustwa równie szybko.

Najczęściej zadawane pytania

Poniżej zebrane zostały krótkie, konkretne odpowiedzi na pytania, które najczęściej pojawiają się przy zgłaszaniu podejrzanych numerów i wiadomości. To zagadnienia szczegółowe, na które łatwo nie znaleźć jasnej odpowiedzi w jednym miejscu.

Czy zgłoszenie na numer 8080 jest płatne? Nie. Przesłanie podejrzanego SMS-a na numer 8080 jest bezpłatne na terenie Polski. Jedynie w roamingu koszt może wynikać z cennika operatora. W ciągu czterech godzin można zgłosić maksymalnie trzy wiadomości.

Czy mogę zgłosić SMS bez linku? Tak. Na numer 8080 przesyła się zarówno wiadomości zawierające link, jak i te bez niego. System CERT Polska analizuje treść i porównuje ją ze znanymi kampaniami oszustów, więc podejrzana wiadomość bez linku również ma wartość.

Gdzie zgłosić podejrzane połączenie głosowe, a nie SMS? Połączeń nie zgłasza się na 8080, bo ten numer obsługuje wyłącznie SMS-y. Podejrzane połączenie, w tym spoofing, zgłasza się przez formularz na incydent.cert.pl, a jeśli doszło do straty lub groźby, dodatkowo na policję.

Czy zgłoszenie anonimowe ma sens? Tak. Przy zgłoszeniu do CERT Polska podanie danych kontaktowych jest nieobowiązkowe. Anonimowe zgłoszenie nadal zasila listy ostrzeżeń i mechanizmy blokowania, choć podanie kontaktu pozwala na odpowiedź zwrotną i ewentualne dopytanie.

Co zrobić, gdy oszust podszył się pod mój numer telefonu? To odmiana spoofingu, gdzie Twój numer jest wykorzystywany bez Twojej wiedzy. Zgłoś sprawę do CERT Polska przez formularz oraz do swojego operatora, który może pomóc zabezpieczyć numer. Jeśli w grę wchodzą nieautoryzowane transakcje, powiadom też bank i policję.

Czy warto zgłaszać numer operatorowi, skoro zgłaszam do CERT? Tak, bo to różne poziomy działania. CERT pracuje na treści wiadomości i linkach, operator na poziomie własnej sieci telekomunikacyjnej. Zgłoszenie do obu zwiększa szansę, że numer zostanie zablokowany dla większej liczby osób.

Kiedy sprawę zgłasza się na policję, a kiedy tylko do CERT? Do CERT zgłasza się samą próbę oszustwa: podejrzany SMS, e-mail, stronę czy połączenie. Na policję idzie się, gdy doszło do przestępstwa: utraty pieniędzy lub danych, gróźb, podszywania się pod funkcjonariusza albo przejęcia konta.

Czy mogę nagrać rozmowę z oszustem jako dowód? Jako uczestnik rozmowy zwykle możesz nagrać ją na własne potrzeby dowodowe. Takiego nagrania nie publikuje się publicznie, dołącza się je wyłącznie do zgłoszenia dla policji czy CERT. Zawsze warto też zapisać numer, datę i godzinę.

Ten materiał ma charakter informacyjny i porządkuje ogólnodostępne procedury zgłaszania. W sytuacji realnej straty finansowej lub zagrożenia najlepiej działać niezwłocznie i w razie wątpliwości kontaktować się bezpośrednio z bankiem oraz policją.