Fałszywy SMS o mandacie: jak rozpoznać oszustwo

„Masz nieopłacony mandat. Ureguluj należność, aby uniknąć egzekucji." I link. Ten SMS, z drobnymi wariacjami, od lat wraca falami w Polsce. To powracająca kampania smishingu: znika na kilka tygodni i wraca z innym tekstem i inną, podobnie wyglądającą domeną — zawsze z tym samym celem: żebyś wpisał dane swojej karty na fałszywej stronie udającej policję, urząd albo rządowy serwis płatności.

Dobra wiadomość: to oszustwo rozbraja jedna zasada, i to z tych łatwych do zapamiętania.

Kluczowa zasada: mandatów nie doręcza się SMS-em z linkiem do zapłaty

Zapamiętaj to: ani policja, ani żaden urząd nie wyśle Ci SMS-a z linkiem do opłacenia mandatu. Prawdziwe mandaty i zawiadomienia o wykroczeniach docierają utartymi, oficjalnymi kanałami:

• Bezpośrednio od funkcjonariusza, podczas kontroli — mandat dostajesz do ręki, z pouczeniem i numerem.
• Pocztą, listem poleconym — tak przychodzą wezwania i mandaty zaoczne, na przykład z fotoradaru, zawsze z pełną dokumentacją: zdjęciem, miejscem, datą i numerem rachunku do wpłaty podanym w piśmie.
• Przez oficjalne serwisy administracji, do których logujesz się sam — nigdy przez link przysłany w wiadomości.

Mechanika „nieopłacony mandat + link + zapłać teraz z SMS-a" to nie jest sposób działania urzędu: to schemat oszustwa. Jeśli wiadomość każe Ci płacić przez link zawarty w samym SMS-ie, nie ma czego dalej analizować.

Jak wygląda fałszywy SMS i dlaczego działa?

Wiadomość jest zaprojektowana tak, by wywołać szybką reakcję, a nie refleksję. Jej składniki prawie się nie zmieniają:

• Pośpiech. „Ostateczne wezwanie", „uniknij egzekucji komorniczej", „sprawa zostanie skierowana do sądu". Popychają Cię do załatwienia sprawy natychmiast.
• Groźba dodatkowych kosztów. Straszak jest skuteczny, bo opiera się na czymś prawdziwym: nieopłacone mandaty rzeczywiście kończą się wezwaniami i egzekucją. Oszust używa tego prawdziwego mechanizmu, żeby całość wyglądała wiarygodnie i żeby „opłacało się" zapłacić od razu i mieć spokój.
• Niewielka kwota. Zwykle chodzi o sumy do przełknięcia (kilkadziesiąt–sto kilkadziesiąt złotych, nie tysiące). Prawdziwym celem nie jest ściągnięcie tej „grzywny": jest nim przechwycenie pełnych danych Twojej karty na fałszywej bramce płatności, a czasem także SMS-owego kodu potwierdzającego — żeby później wykonać znacznie większe obciążenia.
• Podobna domena. Linki typu „mandaty-online", „e-mandat", „platnosc-mandat" z myślnikami i dopiskami, w domenach, które nie są rządowe. Na małym ekranie telefonu, w pośpiechu — przechodzą. Strona docelowa całkiem sprawnie kopiuje urzędowe logotypy i szatę graficzną.
• Zmienny nadawca. Czasem zwykła komórka, czasem nadawca alfanumeryczny udający policję czy urząd. Ponieważ pole nadawcy SMS-a można sfałszować, nie jest ono dowodem na nic — ani za, ani przeciw.

Żaden z tych elementów nie wymaga, by oszust cokolwiek o Tobie wiedział. Wysyła ten sam SMS do tysięcy numerów i wystarcza mu odsetek osób, które akurat przypadkiem spodziewały się jakiegoś mandatu. Które kampanie tego typu są aktywne w danym tygodniu, sprawdzisz na naszej stronie trendów.

Jak sprawdzić, czy naprawdę mam mandat?

To jedyna część, której potrzebujesz, gdy zostaje Ci z tyłu głowy „a jeśli to prawda?". Weryfikację zawsze przeprowadzasz Ty, oficjalnymi kanałami, nigdy przez link z wiadomości:

1. Przypomnij sobie, czy cokolwiek do Ciebie dotarło oficjalną drogą. Prawdziwy mandat masz w ręku po kontroli albo w skrzynce jako list polecony z pełną dokumentacją. Bez takiego pisma nie ma „mandatu do zapłacenia przez link".
2. Zadzwoń lub udaj się na komisariat, jeśli wątpliwość nie daje Ci spokoju — policja potwierdzi, czy figuruje wobec Ciebie jakiekolwiek postępowanie. Numer telefonu znajdź samodzielnie na oficjalnej stronie jednostki, nie w SMS-ie.
3. Płać wyłącznie na rachunek podany w oficjalnym piśmie, przelewem, który sam inicjujesz. Nigdy przez bramkę płatności otwartą z linku w wiadomości.

Jeśli tymi kanałami żaden mandat się nie potwierdza — mandatu nie ma. SMS był fałszywy: blokujesz, usuwasz i koniec. A jeśli mandat rzeczywiście istnieje, opłacasz go na rachunek z pisma — nigdy przez link z wiadomości.

Ta sekwencja (zamknąć wiadomość, wejść samemu na oficjalny kanał) jest dokładnie tą samą, którą polecamy przy weryfikacji telefonu lub SMS-a z banku. Działa wobec każdego urzędu i każdej firmy i jest nawykiem, który ucina najwięcej oszustw u korzeni.

Co robić, jeśli już kliknąłem link albo wpisałem kartę?

Zależy, jak daleko zaszło:

• Tylko kliknąłeś link i zamknąłeś stronę: najprawdopodobniej nic się nie stało. Niczego nie pobrałeś, żadnych danych nie podałeś; zablokuj nadawcę i żyj dalej.
• Wpisałeś dane karty: dzwoń do banku natychmiast, na numer z odwrotu karty, opowiedz, co się stało, i poproś o zablokowanie karty i wydanie nowej. To ruch, który ucina problem jednym cięciem.
• Dodatkowo wpisałeś kod potwierdzający z SMS-a: powiedz o tym bankowi, bo mogła już zostać autoryzowana operacja, którą warto natychmiast reklamować.
• Obserwuj obciążenia w kolejnych dniach i tygodniach. Oszukańcze transakcje nie zawsze przychodzą od razu; czasem czekają. Włącz powiadomienia o operacjach w aplikacji banku.
• Złóż zawiadomienie na policji ze zrzutami SMS-a, linkiem i ewentualnymi obciążeniami. Podejrzanego SMS-a możesz też przekazać bezpłatnie na numer 8080 — trafi do zespołu CERT Polska, który blokuje oszukańcze domeny.
• Zgłoś numer, który wysłał SMS-a, w katalogu numerów spamowych, żeby został oznaczony.

Ten sam schemat w innych przebraniach

Jeśli nauczysz się widzieć szkielet tego oszustwa (znana instytucja + zaległość lub sprawa do załatwienia + pośpiech + link do płatności), rozpoznasz je we wszystkich wariantach, bo oszuści rotują przebrania w zależności od sezonu:

We wszystkich przypadkach obrona jest identyczna: nie klikać, wejść samemu na oficjalny kanał i sprawdzić.

Szybkie pytania

Czy urzędy w ogóle wysyłają SMS-y? Mogą wysyłać wiadomości informacyjne związane ze sprawami, które sam zainicjowałeś, ale nie doręczają mandatów z linkami do płatności. W razie wątpliwości traktuj każdego SMS-a jako niezweryfikowanego i sprawdź sprawę oficjalnym kanałem.

SMS ma w polu nadawcy „Policja" — to nie gwarancja? Nie. Nazwę nadawcy SMS-a można sfałszować. Ani nazwa, ani numer widoczny na ekranie nie dowodzą, kto naprawdę wysłał wiadomość.

A jeśli naprawdę mam mandat i minie mi termin? Prawdziwy mandat masz na piśmie, z kwotą, terminem i rachunkiem do wpłaty. Jeśli pismo istnieje, wszystko jest w nim. Nie potrzebujesz żadnego SMS-a, żeby zapłacić na czas.

Czy jest sens zgłaszać numer? Tak. Te kampanie używają tych samych numeracji przez wiele dni. Każde zgłoszenie sprawia, że numer wyświetli się jako oznaczony, gdy sprawdzi go kolejna osoba — zanim się nabierze.

Jeśli dostałeś takiego SMS-a, poświęć minutę na zgłoszenie go w katalogu numerów NoCall: to najprostszy sposób, żeby następna osoba, która dostanie „mandat", w porę odkryła, że nic nie jest winna.