# RCS, SMS nowej generacji: co ten standard naprawdę zmienia w kwestii oszustw

> RCS stopniowo zastępuje SMS-y w telefonach z Androidem i w iPhone'ach. Zweryfikowane logotypy, szyfrowanie, wzbogacone wiadomości — co ten standard faktycznie chroni i jakie nowe furtki otwiera przed oszustami.

- Source: https://www.envoyer-sms-gratuit.com/pl/blog/2026-09-06/sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces
- Published: 2026-09-06 (6 września 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: pl
- Categories: Guide
- Tags: Cybersécurité, SMS, Smartphone, Protection des données, Guide, France 2026

---
„Colissimo — Twojej przesyłki nie udało się doręczyć". Wiadomość pojawia się na ekranie, ale coś się zmieniło. Obok nazwy nadawcy widnieje małe okrągłe logo w barwach firmy. Pod spodem niebieska plakietka: „Zweryfikowany". I trzy przyciski do wyboru: „Śledź przesyłkę", „Zmień termin", „Skontaktuj się z obsługą klienta".

To już nie jest SMS. To wiadomość RCS — i o wiele bardziej przypomina rozmowę na WhatsAppie niż surowy tekst o długości 160 znaków, który znamy od trzydziestu lat. Odkąd Apple wdrożył ten standard w iOS pod koniec 2024 roku, a Google upowszechnił go na Androidzie, natywna aplikacja do wiadomości w Twoim telefonie dyskretnie zmieniła swoją naturę. Większość użytkowników nigdy tego nie zauważyła.

Ta zmiana to dobra wiadomość dla bezpieczeństwa. Ale tworzy też niebezpieczną sytuację: publiczność uczy się ufać małym logotypom i plakietkom „zweryfikowany", nie wiedząc, co one tak naprawdę gwarantują — a przede wszystkim czego nie gwarantują.

![Smartfon leżący na drewnianym stole z wyświetloną klawiaturą do wybierania numeru i wpisanym nieznanym numerem](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/hero.jpg)

## RCS: o czym właściwie mówimy?

Skrót oznacza *Rich Communication Services*, czyli „wzbogacone usługi komunikacyjne". To standard rozwijany przez GSMA, światowe stowarzyszenie operatorów komórkowych, pomyślany już w 2008 roku jako następca SMS-a i MMS-a, które technicznie stały się archaiczne w zestawieniu z komunikatorami internetowymi.

W praktyce RCS wnosi cztery rzeczy, których SMS nigdy nie potrafił:

- **Wiadomości bez ograniczeń długości**, ze zdjęciami, filmami i plikami w pełnej rozdzielczości;
- **Potwierdzenia przeczytania i wskaźnik „pisze…"**, jak w komunikatorach aplikacyjnych;
- **Przesyłanie przez internet** (Wi-Fi lub dane komórkowe) zamiast przez kanał sygnalizacyjny sieci telefonicznej;
- **Zidentyfikowanych nadawców biznesowych**, z logo, pełną nazwą, kolorami marki i plakietką weryfikacji.

To ostatni punkt interesuje nas najbardziej. W ekosystemie RCS firma, która chce wysyłać Ci wiadomości, nie może już po prostu opłacić bramki i wpisać „SFR" czy „CPAM" w polu nadawcy. Musi przejść proces rejestracji: weryfikację tożsamości prawnej, zatwierdzenie logo, kontrolę przez operatora lub przez Google. To element zwany **RCS Business Messaging**.

Na papierze rozwiązuje to historyczny problem SMS-a: całkowity brak uwierzytelnienia nadawcy.

## Grzech pierworodny SMS-a i dlaczego RCS go naprawia

Trzeba zrozumieć, jak naiwnym protokołem jest SMS. Stworzony pod koniec lat 80. do komunikacji między abonentami tej samej sieci, nigdy nie przewidywał mechanizmu weryfikacji nadawcy. Gdy firma wysyła wiadomość, wypełnia swobodne pole tekstowe zwane *sender ID*. Tego pola nie weryfikuje nikt w całym łańcuchu technicznym.

To właśnie umożliwia **spoofing**: podszywanie się pod nazwę nadawcy. Oszust, który wpisze w tym polu „AMELI", sprawi, że jego wiadomość trafi do istniejącego wątku francuskiego ubezpieczyciela zdrowotnego w Twoim telefonie, tuż pod prawdziwymi wiadomościami. Cybermalveillance.gouv.fr, francuski krajowy system pomocy ofiarom cyberprzestępczości, od lat opisuje ten mechanizm w swoich materiałach o smishingu.

W odpowiedzi Francja uruchomiła w październiku 2023 roku **rejestr nazw nadawców SMS**, prowadzony przez Association Française du Multimédia Mobile (AF2M) pod egidą Arcep. Każda firma chcąca używać nazwy alfanumerycznej musi ją teraz zgłosić, a operatorzy blokują wysyłki, których nadawca nie został zarejestrowany. To realny postęp, ale ograniczony do jednego kraju: wysyłki przechodzące przez zagraniczne bramki lub fałszywe stacje bazowe (osławione SMS Blastery) częściowo omijają ten mechanizm.

RCS idzie dalej, ponieważ weryfikacja nie ma charakteru deklaratywnego, lecz **kryptograficzny i wizualny**: logo i plakietka są dostarczane przez platformę, a nie przez nadawcę wiadomości. Oszust nie może ich sfabrykować w treści swojego komunikatu.

## Co plakietka „zweryfikowany" gwarantuje, a czego nie

To sedno sprawy i źródło większości nieporozumień.

**Co plakietka gwarantuje:**

> Podmiot, który do Ciebie pisze, dostarczył dokumenty potwierdzające tożsamość firmy i został zatwierdzony przez platformę. Wyświetlane logo należy do niego. Wiadomość nie została stworzona przez osobę trzecią podszywającą się pod tę firmę.

**Czego plakietka absolutnie nie gwarantuje:**

- Że treść wiadomości jest uczciwa. Realnie zarejestrowana spółka handlowa może bez przeszkód wysłać Ci mylącą ofertę, pułapkę abonamentową czy agresywną propozycję. Weryfikacja dotyczy tożsamości, a nie intencji.
- Że link zawarty w wiadomości jest bezpieczny. Nic nie stoi na przeszkodzie, by legalna wiadomość prowadziła do przejętej strony.
- Że wszystkie niezweryfikowane wiadomości są oszustwem. Wiele małych firm, stowarzyszeń, gabinetów lekarskich czy warsztatów samochodowych nadal wysyła zwykłe SMS-y. Brak plakietki nie jest sygnałem oszustwa.

Ta niuansowa różnica jest kluczowa do przekazania, zwłaszcza osobom najbardziej narażonym. Przez dziesięć lat uczyliśmy seniorów, że „zielona kłódka w przeglądarce nie oznacza, że strona jest uczciwa". Plakietka RCS staje się właśnie nową zieloną kłódką: użyteczną wskazówką, którą osoby nieświadome jej znaczenia zamieniają w absolutny dowód.

## Nowe powierzchnie ataku otwarte przez RCS

Przejście od surowego tekstu do wzbogaconej komunikacji siłą rzeczy przesuwa pole gry. Trzy zmiany zasługują na uwagę.

### 1. Wiadomość, która nie wygląda już jak wiadomość

Oszukańczy SMS rozpoznawało się po brzydocie: literówki, dziwny adres URL widoczny wprost, brak jakiegokolwiek formatowania. Wiadomość RCS może wyświetlić **karuzelę obrazów**, przyciski akcji, interaktywną kartę, kolory marki. Błąd ortograficzny nadal tam jest, ale ginie w zadbanym interfejsie, który budzi zaufanie.

Odruch „sprawdzam link przed kliknięciem" staje się zresztą trudniejszy: w przycisku akcji docelowy adres URL po prostu **nie jest widoczny**. Naciskasz „Śledź przesyłkę", nigdy nie widząc, dokąd Cię to zaprowadzi.

### 2. Powrót załącznika

SMS przenosił jedynie link. RCS przenosi pliki, nawet po kilkaset megabajtów. Na komunikatorze mobilnym pojawia się więc wektor, który uważaliśmy za zarezerwowany dla poczty elektronicznej: zainfekowany załącznik. Na Androidzie plik APK przesłany w rozmowie i przedstawiony jako „aplikacja do śledzenia Twojej sprawy" pozostaje jednym z głównych sposobów instalowania bankowego oprogramowania szpiegującego, co regularnie dokumentują zespoły ANSSI i producenci zabezpieczeń mobilnych.

### 3. Zależność od internetu

RCS działa na danych. Wiadomość wysłana, gdy jesteś poza zasięgiem lub wyczerpałeś pakiet, automatycznie przełącza się na klasyczny SMS — a więc bez plakietki, bez logo, bez szyfrowania. To ciche przełączenie tworzy wizualną niespójność, którą oszuści mogą wykorzystać: „Twoja wiadomość dotarła w trybie ograniczonym, kliknij, aby ją wyświetlić". Utrzymywanie naładowanego i połączonego telefonu pełni tu realną funkcję bezpieczeństwa, co tłumaczy popularność [kieszonkowych powerbanków](https://www.amazon.fr/s?k=batterie+externe+compacte+pour+smartphone&tag=ds050-21) wśród intensywnych użytkowników telefonów.

![Młoda kobieta w okularach przeciwsłonecznych czytająca wiadomość na telefonie komórkowym przed witryną sklepową](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/body-1.jpg)

## A co z szyfrowaniem?

To temat najgorzej rozumiany. SMS **nie jest szyfrowany end-to-end**: przechodzi otwartym tekstem przez infrastrukturę operatora, który technicznie może go odczytać, i przez pewien czas jest przechowywany na jego serwerach. To zresztą powód, dla którego specjaliści od dawna odradzają odbieranie bankowych kodów uwierzytelniających przez SMS.

RCS długo dziedziczył tę słabość. Google dodał szyfrowanie end-to-end we własnej aplikacji Wiadomości, ale wyłącznie między dwoma użytkownikami tej aplikacji. Od publikacji profilu **RCS Universal Profile 3.0** przez GSMA w 2025 roku szyfrowanie end-to-end jest przewidziane na poziomie samego standardu, również między Androidem a iPhone'em. Jego faktyczne wdrożenie zależy od aktualizacji systemów operacyjnych i aplikacji.

Zapamiętajmy dwie rzeczy:

| | Klasyczny SMS | RCS (najnowszy profil) |
|---|---|---|
| Uwierzytelniony nadawca | Nie (we Francji rejestr AF2M) | Tak dla zweryfikowanych firm |
| Szyfrowanie end-to-end | Nie | Tak, zależnie od wersji |
| Transmisja | Sieć operatora | Internet |
| Załączniki | Nie | Tak |
| Czytelne bez transmisji danych | Tak | Nie |

Szyfrowanie chroni Twoje **prywatne** rozmowy przed przechwyceniem. Nie chroni natomiast w żadnym stopniu przed oszustwem: oszust, który pisze do Ciebie bezpośrednio, pisze zaszyfrowanym kanałem, co wcale nie czyni jego kłamstwa bezpieczniejszym. Mylenie poufności z wiarygodnością to najczęstszy błąd rozumowania w tym temacie.

## Odruchy do zaktualizowania w 2026 roku

Pojawienie się RCS nie unieważnia żadnego z dotychczasowych odruchów. Dokłada jedynie kilka nowych.

**1. Sprawdzaj kanał, a nie wiadomość.** Złota zasada pozostaje niezmienna: żadna administracja, żaden bank, żaden przewoźnik nie poprosi Cię o wpisanie danych logowania czy danych bankowych z poziomu otrzymanej wiadomości. Niezależnie od wyświetlanego logo — zamykamy i samodzielnie wchodzimy na oficjalną stronę lub do aplikacji.

**2. Przytrzymuj zamiast klikać.** W większości aplikacji do wiadomości długie przytrzymanie przycisku akcji lub linku wyświetla adres docelowy bez jego otwierania. Wyrób sobie ten nawyk: to jedyny sposób, by zobaczyć, dokąd prowadzi przycisk RCS.

**3. Nie ufaj żadnemu plikowi otrzymanemu w rozmowie.** Żadna instytucja publiczna, żaden francuski bank nie dystrybuuje swojej aplikacji inaczej niż przez App Store lub Google Play. Plik instalacyjny otrzymany w wiadomości jest oszustwem — bez wyjątku.

**4. Patrz na spójność, nie na estetykę.** Zweryfikowana wiadomość firmowa, która zwraca się do Ciebie na „ty", straszy terminem 24 godzin albo żąda „uregulowania 1,99 €", jest podejrzana niezależnie od oprawy. Pilność i mikropłatność to dwa najbardziej stałe znaki rozpoznawcze oszustwa.

**5. Miej pod ręką numer 33700.** Francuska krajowa usługa zgłaszania oszukańczych SMS-ów i połączeń, prowadzona przez operatorów pod nadzorem władz publicznych, przyjmuje przekazywane niechciane wiadomości. Równolegle platforma Pharos oraz serwis cybermalveillance.gouv.fr pozostają punktami wejścia w poważniejszych przypadkach.

**6. Zrób porządek w aplikacjach do wiadomości.** Wiele telefonów z Androidem ma dwie aplikacje zdolne odbierać wiadomości, co mnoży punkty wejścia i zaciera punkty odniesienia. Pozostawienie tylko jednej, na bieżąco aktualizowanej, znacznie ułatwia czujność.

## Szczególny przypadek seniorów i osób mniej biegłych technicznie

Każda zmiana interfejsu wywołuje efekt uboczny: resetuje punkty odniesienia tym, którzy budowali je latami. Osiemdziesięciolatek, który w końcu zrozumiał, że „prawdziwa wiadomość z mojego banku nigdy nie zawiera linku", staje nagle przed kolorowymi dymkami, przyciskami, logotypami i miniaturkami.

Kilka prostych działań zmniejsza ryzyko:

- **Wyłączenie RCS** w ustawieniach aplikacji Wiadomości, jeśli użytkownik w ogóle z niego nie korzysta. Telefon wraca do klasycznych SMS-ów — uboższych, ale czytelniejszych.
- **Zablokowanie instalacji aplikacji z nieznanych źródeł**, opcja dostępna w ustawieniach bezpieczeństwa Androida, która neutralizuje większość ataków przez załączniki.
- Przy naprawdę ograniczonych potrzebach warto rozważyć **[telefon dla seniora z dużymi klawiszami](https://www.amazon.fr/s?k=telephone+portable+senior+grosses+touches&tag=ds050-21)**, w którym obsługa wiadomości pozostaje celowo podstawowa: mniej funkcji to także mniejsza powierzchnia ataku.
- Zapisywanie ważnych danych logowania w **papierowym notesie na hasła** przechowywanym w domu, zamiast trzymania ich w notatkach w telefonie albo konieczności pilnego ich odzyskiwania — a to moment, który oszuści chętnie wykorzystują.
- Ustawienie **podstawki na telefon** przy domowym biurku, aby dana osoba wyrobiła sobie nawyk czytania wiadomości spokojnie, na siedząco, a nie w biegu na ulicy. Pośpiech jest głównym czynnikiem przypadkowych kliknięć.

## Co warto zapamiętać

RCS to realne ulepszenie. Uwierzytelnianie nadawców biznesowych znacznie utrudnia prymitywne podszywanie się pod „CPAM" czy „La Poste", które przez dziesięć lat napędzało smishing. Szyfrowanie end-to-end, w miarę jak jest wdrażane, łata strukturalną słabość SMS-a.

Ale żadne ulepszenie techniczne nigdy nie wyeliminowało oszustwa: ono je jedynie przesuwa. Kampanie oszukańcze migrują na zwykłe numery komórkowe, na WhatsAppa, do komunikatorów platform sprzedażowych, do fałszywych kodów QR. A przede wszystkim opierają się na tym, czego technika nigdy nie naprawi: na strachu, pośpiechu, zmęczeniu i zaufaniu do logotypu.

Pytanie, które trzeba sobie zadać na widok wiadomości, brzmi więc nie „czy wygląda prawdziwie?", lecz „czy prosi mnie o coś, czego sam nie zainicjowałem?". To pytanie działa równie dobrze przy SMS-ie z 1995 roku, jak i przy wzbogaconej wiadomości z 2026.

{/* image-sources: https://images.pexels.com/photos/11090579/pexels-photo-11090579.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/12679946/pexels-photo-12679946.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}