Spoofing: gdy na ekranie wyświetla się fałszywy numer

Redakcja Kto zadzwonił? · Aktualizacja: 30.08.2026

Na ekranie: numer infolinii Twojego banku. W słuchawce: „konsultant działu bezpieczeństwa”, który uprzejmie informuje o „podejrzanej transakcji” i prosi o kod BLIK „w celu anulowania”. Numer się zgadza, logo w Google się zgadza — a mimo to właśnie rozmawiasz z oszustem. Spoofing, czyli fałszowanie identyfikatora dzwoniącego, to dziś najgroźniejsza technika oszustw telefonicznych w Polsce.

Jak to w ogóle możliwe

Identyfikator dzwoniącego (CLI) to informacja deklarowana przez system inicjujący połączenie. W klasycznej telefonii weryfikował ją operator; w świecie bramek VoIP dzwoniący może wpisać w pole „numer” niemal cokolwiek. Połączenie wędruje potem przez kilku pośredników — często z zagranicy — i dociera do polskiej sieci z „numerem banku” albo „numerem sąsiada z 22”. Twój telefon wyświetla to, co dostał; dopasuje nawet nazwę kontaktu, jeśli masz numer zapisany.

Trzy najczęstsze scenariusze

• Fałszywy bank / „dział bezpieczeństwa”: presja czasu, „ratowanie środków”, przelew na „konto techniczne”, kody BLIK albo instalacja AnyDesk/TeamViewer. Konsekwentnie: rozłącz się, oddzwoń na oficjalny numer.
• Fałszywy policjant / urzędnik: spoofing numeru komendy uwiarygadnia oszustwo „na policjanta”. Prawdziwa policja nigdy nie prosi o pieniądze ani nie każe ich „zabezpieczać”.
• Zwykłe numery prywatne: telemarketing i wangiri podszywają się pod lokalne numery (Twój kierunkowy, sąsiednie tysiące), bo takie połączenia częściej odbieramy. Nieznany „lokalny” numer też warto sprawdzić.

Co zmieniło prawo

Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej uczyniła ze spoofingu i smishingu przestępstwa zagrożone karą pozbawienia wolności, a operatorom kazała działać prewencyjnie: blokować połączenia ze sfałszowanym CLI (m.in. zagraniczne połączenia przedstawiające się polskim numerem komórkowym), blokować SMS-y zgodne ze wzorcami CSIRT NASK i wymieniać się informacjami o nadużyciach. Efekt jest odczuwalny, ale nie stuprocentowy — technika wyprzedza filtry, więc ostatnia linia obrony pozostaje po Twojej stronie.

Żelazne zasady obrony

1. Numer to nie tożsamość. Wyświetlacz mówi, co zadeklarował dzwoniący — nie kim jest.
2. Przerwij i oddzwoń sam. Każdą sprawę „z banku/urzędu/policji” weryfikujesz, dzwoniąc samodzielnie na oficjalny numer. Uczciwej instytucji to nie przeszkadza.
3. Nigdy pod presją: kody BLIK, hasła, dane karty, zdalny pulpit, przelewy „na bezpieczne konto” — to zawsze oszustwo.
4. Zgłaszaj: SMS-y na 8080, incydenty do CERT Polska, straty na policję — pełna mapa zgłoszeń — i zostaw relację na stronie numeru, żeby ostrzec następnych.

Pamiętaj też o drugiej stronie medalu: skoro numer można sfałszować, to zgłoszenia przy numerze mogą dotyczyć oszusta, nie właściciela. Dlatego przy każdym numerze piszemy, że wyświetlany numer nie jest dowodem — a właściciele mają procedurę sprzeciwu.