Fałszywe SMS-y i e-maile? No i akurat wpadły nam wszystkim do telefonów w pierwszych miesiącach 2026 roku — i to na taką skalę, jakiej chyba jeszcze nie widzieliśmy. Bo zobacz: CERT Polska, który działa w strukturach CSIRT NASK, od stycznia do marca odebrał ponad 161 tysięcy zgłoszeń podejrzanych wiadomości. Tylko w samym marcu wpłynęło ich 62,6 tys., a zespół zarejestrował 14,4 tys. incydentów phishingowych.

Jak się przyjrzymy danym z całego roku, to ta skala robi się jeszcze bardziej widoczna. W 2025 roku liczba zgłoszeń obsłużonych przez CERT Polska sięgnęła 658,3 tys. — czyli o 10 proc. więcej niż rok wcześniej, kiedy było ich 601 tys. Smishing, no i tu chodzi o oszustwa rozsyłane SMS-em, odpowiadał za 295,2 tys. zgłoszeń, a NASK zablokował dostarczenie blisko 1,88 mln złośliwych wiadomości.

A pod kogo się ci oszuści podszywają? W sumie pod marki i instytucje, które wszyscy znamy. Najczęściej to banki, firmy kurierskie, dostawcy energii i portale sprzedażowe. W wiadomości dostajesz link, który prowadzi do spreparowanej strony logowania… a ta przechwytuje hasła i dane karty.

Jak rozpoznać fałszywy SMS i e-mail

Pierwszy sygnał, na który musimy uważać, to presja czasu. Nadawca straszy — że zablokuje konto, że trzeba dopłacić kilka złotych do paczki, albo że czeka nas kara za niezapłacony rachunek. No i w treści pojawia się taki skrócony albo przekręcony adres, który tylko mniej więcej przypomina oryginalną domenę banku czy kuriera.

Te komputerowe oszustwa w styczniu 2026 to było aż 97 proc. wszystkich obsłużonych incydentów. I właśnie dlatego liczba domen rośnie lawinowo: w styczniu na Listę Ostrzeżeń trafiło 18,1 tys. szkodliwych adresów, a w lutym kolejne 16,9 tys. Czyli średnio jakieś 593 nowe złośliwe domeny dziennie.

Numer 8080 i formularz CERT — gdzie zgłosić phishing

Dobra, a co właściwie zrobić z takim podejrzanym SMS-em? Przekazujemy go — za darmo — na numer 8080. „Jeżeli otrzymałeś podejrzaną wiadomość smsem – przekaż ją lub udostępnij na numer 8080″ — tak instruuje CSIRT NASK w komunikacie na gov.pl. Dzięki temu analitycy mogą raczej szybko blokować szkodliwe domeny na poziomie sieci.

I tu uwaga, bo sposób przekazania jest kluczowy. „Ważne jest aby przekazać całą wiadomość w oryginalnej formie — nie wycinaj odnośnika ani treści” — podkreśla CERT Polska. Zespół radzi, żeby użyć opcji „Przekaż” albo „Prześlij dalej”, a nie kopiować sam tekst. W sumie drobiazg, a robi różnicę.

A jak to są e-maile albo podejrzane strony, to wtedy działamy trochę inaczej. „Wyślij zgłoszenie na adres cert@cert.pl lub wypełnij formularz na stronie incydent.cert.pl” — tak czytamy w wytycznych. Cały ten mechanizm zgłaszania opisujemy zresztą w naszym przewodniku o zgłoszeniu podejrzanego SMS.

I że to wszystko naprawdę działa — widać po liczbach. Na podstawie wzorców fałszywych SMS-ów operatorzy zablokowali w styczniu 108,5 tys. wiadomości, a przez cały 2025 rok na Listę Ostrzeżeń trafiło 244,3 tys. szkodliwych domen. Zgłoszenia od nas, użytkowników, zespół CERT Polska przyjmuje całodobowo pod adresem incydent.cert.pl.