# SMS Blaster: fałszywa stacja bazowa ukryta w bagażniku, która zalewa ulicę SMS-ami z pułapką

> SMS Blaster to piracki nadajnik, który podaje się za stację bazową i wysyła oszukańcze SMS-y do wszystkich telefonów w promieniu kilkuset metrów, bez udziału operatora. Jak to działa, dlaczego filtry antyspamowe niczego nie wykrywają i jak się chronić.

- Source: https://www.envoyer-sms-gratuit.com/pl/blog/2026-09-13/arnaque-sms-blaster-antenne-mobile-mobile
- Published: 2026-09-13 (13 września 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: pl
- Categories: Guide
- Tags: Cybersécurité, SMS, Smartphone, Carte SIM, France 2026, Guide

---
„CIC: wykryto nietypowe logowanie do Twojego konta z nowego urządzenia. Jeśli to nie Ty, zabezpiecz konto tutaj: cic-verification-acces[.]com”

Otrzymujesz tę wiadomość o 18:40, wychodząc z dworca. Osoba stojąca obok zagląda w tej samej chwili do telefonu i marszczy brwi. Wiadomość jest identyczna. Nie macie tego samego operatora ani tego samego banku, nic Was nie łączy. A jednak właśnie odebraliście ten sam SMS w tej samej sekundzie.

To nie jest klasyczna kampania smishingowa. Nie było bazy numerów kupionej na czarnym rynku, nie było bramki wysyłkowej, nie było operatora po drugiej stronie. Jest natomiast samochód zaparkowany 150 metrów dalej, urządzenie zasilane z akumulatora i **fałszywa stacja bazowa**, która wymusiła na wszystkich telefonach w okolicy połączenie z nią, żeby wepchnąć wiadomość wprost do skrzynki odbiorczej. To właśnie nazywa się SMS Blaster.

![Kobieta o rudych włosach i w okularach, nieostra w tle, trzymająca na pierwszym planie biały smartfon](/images/blog/2026-09-13-arnaque-sms-blaster-antenne-mobile-mobile/hero.jpg)

## Co radykalnie zmienia SMS Blaster

Do tej pory wszystkie oszukańcze SMS-y, które analizujemy w tym magazynie, miały jedną cechę wspólną: korzystały z sieci. Oszust płaci za usługę masowej wysyłki, często za granicą, wgrywa listę numerów i klika „wyślij”. Wiadomość przechodzi przez operatorów, przez filtry antyspamowe i zostawia ślady, które można wykorzystać. Właśnie dlatego zgłoszenie pod **33700**, oficjalny serwis zgłaszania spamu głosowego i SMS-owego prowadzony przez Association Française du Multimédia Mobile we współpracy z francuskimi operatorami, ma sens: zasila on całkiem realny łańcuch blokowania.

SMS Blaster całkowicie pomija ten poziom. Urządzenie zachowuje się jak mobilna stacja bazowa — miniaturowa antena przekaźnikowa. Telefony w okolicy, zaprojektowane tak, by łączyć się z najsilniejszym sygnałem, same się do niej przyczepiają. Po ustanowieniu połączenia urządzenie wysyła wiadomość do telefonu tak, jak zrobiłaby to prawdziwa sieć. Konsekwencje są łańcuchowe:

- **Żaden operator nie bierze w tym udziału.** Ani Orange, ani SFR, ani Bouygues, ani Free nie widziały tej wiadomości. Operatorskie filtry antysmishingowe, które co roku blokują dziesiątki milionów oszukańczych SMS-ów, są poza grą.
- **Żaden numer nie był potrzebny.** Oszust nie zna Twojego numeru, nigdy go nie kupił, nigdy go nie widział. On zalewa obszar geograficzny, nie listę kontaktów.
- **Wyświetlany nadawca jest całkowicie dowolny.** Urządzenie samo decyduje o nagłówku: „CIC”, „Ameli”, „Chronopost”, „ANTAI”. Nic nie wymusza wiarygodnego formatu numeru.
- **Wiadomość może wylądować w istniejącym wątku.** To najbardziej niepokojący szczegół: jeśli wyświetlany nadawca dokładnie odpowiada marce, od której już wcześniej dostawałeś prawdziwe SMS-y, niektóre telefony grupują fałszywą wiadomość w tej samej rozmowie, tuż po autentycznych.

Ten ostatni punkt niszczy główny odruch weryfikacyjny, jaki społeczeństwo w końcu wypracowało. „Sprawdź, czy wiadomość trafia do tego samego wątku co poprzednie” — ta rada, długo skuteczna, nie chroni już przed tą techniką.

## Jak urządzenie może podawać się za stację bazową?

Odpowiedź mieści się w jednym słowie: **2G**. GSM, wdrożony na początku lat 90., powstał w czasach, gdy chodziło głównie o to, by osoby prywatne nie mogły podsłuchiwać rozmów. Sieć uwierzytelnia telefon, ale telefon tak naprawdę nie uwierzytelnia sieci. Innymi słowy: Twój telefon dowodzi swojej tożsamości stacji bazowej, ale stacja nie musi niczego dowodzić Twojemu telefonowi.

Kolejne generacje naprawiły tę wadę. 3G, a potem 4G i 5G wymagają wzajemnego uwierzytelnienia: pirackie urządzenie nie może już udawać legalnej sieci. Problem w tym, że kompatybilność wstecz pozostaje w wielu telefonach domyślnie włączona. Atakującemu wystarczy więc zakłócić lub lokalnie zdominować pasma 4G/5G, żeby telefony, pozbawione lepszej opcji, posłusznie „zeszły” do 2G. Nazywa się to atakiem typu *downgrade*.

> Zasada techniczna nie jest nowa: to kuzyn „IMSI catcherów”, walizek przechwytujących używanych od dawna przez niektóre służby i znanych badaczom bezpieczeństwa od ponad piętnastu lat. Nowa jest cena, miniaturyzacja i masowe zastosowanie przestępcze.

Sprzęt, który jeszcze niedawno był zastrzeżony dla państw, mieści się dziś w plecaku i da się nim sterować z laptopa. Władze kilku krajów — między innymi Wielkiej Brytanii, Tajlandii, Wietnamu i Nowej Zelandii — w ostatnich latach konfiskowały tego typu urządzenia, często umieszczone w pojazdach krążących po centrach miast. We Francji użycie nieautoryzowanego nadajnika radiowego na częstotliwościach przydzielonych operatorom to kilka odrębnych przestępstw, niezależnie od samego oszustwa: zakłócanie i nielegalna emisja są karane na podstawie kodeksu poczty i łączności elektronicznej, a nadzór sprawuje ANFR (Agence nationale des fréquences).

### Krótki zasięg, ale ogromna przepustowość

SMS Blaster nie pokrywa całego miasta. Jego użyteczny zasięg liczy się w setkach metrów — kilkadziesiąt w gęstej zabudowie, więcej na otwartym terenie. Za to w tym obszarze może dosięgnąć **kilku tysięcy telefonów na godzinę**. Stąd wybór miejsc: dworce, wyjścia z metra, targi, strefy handlowe, okolice stadionów, kolejki na festiwalach. Wszędzie, gdzie zagęszczenie ludzi jest największe i gdzie patrzą w telefon podczas chodzenia.

Modus operandi opisywany przez prasę branżową jest niemal zawsze ten sam: zwykły pojazd, sprzęt w bagażniku zasilany z powerbanku dużej pojemności, postój od dwudziestu do czterdziestu minut, a potem przejazd w inne miejsce. Żadnej interakcji z ofiarami. Żadnego kontaktu fizycznego. „Kurier” nie istnieje, „doradca bankowy” jeszcze nie dzwoni — wszystko rozstrzyga się w jednym kliknięciu.

## Jak rozpoznać wiadomość wysłaną przez SMS Blaster

Ponieważ nagłówek nadawcy niczego już nie dowodzi, uwagę trzeba przenieść na inne sygnały. Cztery wskazówki często występują razem:

| Wskazówka | Co obserwujesz | Dlaczego to znaczące |
| --- | --- | --- |
| Jednoczesność | Kilka osób obok Ciebie dostaje tę samą wiadomość | Klasyczna kampania nie celuje w obszar geograficzny |
| Krótka przerwa w sieci | Telefon przeszedł na „E”, „G” albo stracił dane chwilę wcześniej | Znak wymuszonego downgrade'u do 2G |
| Niespójna marka | SMS z banku, którego nie jesteś klientem | Atak nie jest celowany: on zalewa obszar |
| Link z podejrzaną domeną | `cic-verification-acces.com`, `ameli-mise-a-jour.net` | Żaden urząd ani bank nie używa takich domen |

Druga wskazówka jest najbardziej techniczna, ale najbardziej wiarygodna. Jeśli w centrum miasta pokrytym 4G/5G Twój telefon nagle przełącza się na wskaźnik „E” lub „G” na kilka minut, a potem przychodzi zaskakujący SMS, ta zbieżność zasługuje na nieufność. Użytkownicy, którzy noszą w torbie [kompaktowy powerbank](https://www.amazon.fr/s?k=batterie+externe+compacte+smartphone&tag=ds050-21), zresztą często zauważają takie przełączenia, bo uważniej obserwują pasek stanu, gdy ładują telefon w podróży.

Trzecia wskazówka pozostaje jednak najbardziej dostępna: **oszustwo obszarowe jest z definicji źle wycelowane**. Jeśli dostajesz „problem z płatnością” od sieci, w której nic nie zamawiałeś, albo alert z banku, który nie jest Twój, sprawa jest jasna.

## Ustawienie, które neutralizuje atak: wyłączenie 2G

To najskuteczniejszy środek zaradczy, a przy tym bezpłatny. Ponieważ atak opiera się na wymuszonym powrocie do 2G, zabronienie telefonowi łączenia się z nią to podcięcie gałęzi, na której siedzi oszust.

### Na Androidzie

Większość nowszych wersji Androida ma dedykowany przełącznik, wywodzący się z funkcji wprowadzonej przez Google od Androida 12:

- **Ustawienia → Sieć i internet → Karty SIM** (lub „Sieć komórkowa”)
- Poszukaj opcji **„Zezwalaj na 2G”** i wyłącz ją.

Niektórzy producenci nazywają ją inaczej albo umieszczają w menu „Preferowany typ sieci”, gdzie wybiera się „tylko 4G/5G”. Na urządzeniach, które nie udostępniają tego ustawienia, często pozostaje ono dostępne przez zaawansowane menu operatora.

Na najnowszych wersjach Androida istnieje też szerszy tryb „wzmocnionej ochrony” pod nazwą **Advanced Protection**: wyłącza 2G, blokuje nieszyfrowane połączenia i za jednym ruchem zaostrza kilka zachowań sieciowych.

### Na iPhonie

Apple nie oferuje osobnego przełącznika „2G”, ale **tryb Lockdown** (Ustawienia → Prywatność i ochrona → Tryb Lockdown) wyłącza m.in. niezabezpieczone połączenia komórkowe, w tym 2G. Ten tryb jest celowo restrykcyjny: ogranicza także załączniki, niektóre funkcje internetowe i zaproszenia przychodzące. Jest przeznaczony dla osób realnie narażonych, a nie do codziennego użytku przez wszystkich.

W ostateczności można co najmniej sprawdzić w **Ustawienia → Sieć komórkowa → Opcje → Głos i dane**, czy telefon jest ustawiony na 5G albo LTE, a nie na tryb zgodny ze starszymi standardami.

### A jeśli potrzebujesz 2G?

Pozostają dwa uzasadnione przypadki. Po pierwsze, niektóre obszary wiejskie zachowują resztkowe pokrycie 2G jako siatkę bezpieczeństwa dla połączeń głosowych. Po drugie, wiele urządzeń podłączonych do sieci — lokalizatory, alarmy, **[telefon komórkowy z dużymi klawiszami](https://www.amazon.fr/s?k=telephone+portable+senior+grosses+touches+4G&tag=ds050-21)** dla osób starszych, zegarki GPS dla dzieci — istnieje wyłącznie w wersji 2G. Jeśli wyposażasz kogoś bliskiego, wybór urządzenia ma znaczenie: model z obsługą 4G VoLTE, nawet bardzo prosty w użyciu, jest lepszy niż sprzęt zablokowany na 2G. Francuscy operatorzy rozpoczęli zresztą stopniowe wygaszanie 2G i 3G do końca dekady, co sprawi, że ta kwestia stanie się bezprzedmiotowa — ale jeszcze nie jesteśmy w tym punkcie.

## Pozostałe odruchy, które nadal się liczą

Wyłączenie 2G eliminuje najczęstszy wektor wejścia. Ale dalszy przebieg oszustwa się nie zmienia: wiadomość ma nakłonić Cię do kliknięcia linku i wpisania danych logowania. Klasyczne zabezpieczenia zachowują więc całą swoją wartość.

- **Nigdy nie korzystaj z otrzymanego linku.** Otwórz oficjalną aplikację swojego banku albo samodzielnie wpisz adres. Ta jedna zasada unieważnia ogromną większość kampanii, blaster czy nie.
- **Weryfikuj przez niezależny kanał.** Zadzwoń pod numer widniejący na odwrocie karty płatniczej, nigdy pod ten podany w SMS-ie.
- **Włącz solidne uwierzytelnianie dwuskładnikowe.** [Fizyczny klucz bezpieczeństwa FIDO2](https://www.amazon.fr/s?k=cle+de+securite+FIDO2+USB+NFC&tag=ds050-21) albo aplikacja uwierzytelniająca są lepsze niż kod przesyłany SMS-em — właśnie dlatego, że kanał SMS jest najsłabszym ogniwem.
- **Aktualizuj system.** Comiesięczne poprawki bezpieczeństwa Androida i iOS regularnie zamykają luki w stosie sieciowym. Telefon porzucony przez producenta jest bardziej narażony, i to nie tylko na blastery.
- **Uważaj na drugi etap.** SMS rzadko jest całym oszustwem: służy jako przygrywka do telefonu od „fałszywego doradcy bankowego” kilka godzin lub kilka dni później. Ten scenariusz manipulacji, który według obserwacji Banque de France silnie zyskuje na popularności, kosztuje ofiary najwięcej.

Dla domowników, którzy chcą sformalizować minimum higieny cyfrowej, [papierowy notes na hasła](https://www.amazon.fr/s?k=carnet+de+mots+de+passe&tag=ds050-21) schowany poza zasięgiem wzroku pozostaje, paradoksalnie, całkiem obronnym narzędziem bezpieczeństwa dla osób, które nie chcą menedżera haseł — pod warunkiem, że nie zawiera kodów bankowych i nigdy nie podróżuje w torbie.

## Co zrobić, jeśli kliknąłeś

Kolejność działań liczy się bardziej niż ich liczba.

1. **Natychmiast odetnij dane** (tryb samolotowy), jeśli podejrzewasz trwające pobieranie aplikacji. Blaster może też wysłać link do instalacji złośliwej aplikacji na Androidzie.
2. **Zmień hasła** z innego urządzenia, zaczynając od głównej skrzynki e-mail i bankowości internetowej.
3. **Zadzwoń do banku** pod oficjalny numer i zablokuj kartę, jeśli podałeś jej dane. Przypomnijmy, że zgodnie z francuskim kodeksem monetarnym i finansowym nieautoryzowana transakcja powinna zasadniczo zostać zwrócona przez bank, chyba że doszło do rażącego zaniedbania z Twojej strony — stąd znaczenie szybkiego zgłoszenia na piśmie.
4. **Zgłoś pod 33700** SMS-em (przesyłając wiadomość dalej) i złóż zawiadomienie. Nawet jeśli operator nie przenosił tej wiadomości, zgłoszenie pozwala udokumentować kampanię i zablokować powiązane domeny.
5. **Ostrzeż osoby w swoim otoczeniu geograficznym**: współpracowników, sąsiadów, lokalnych sprzedawców. Atak obszarowy dotyka społeczności, nie jednostki.

Oficjalny portal **cybermalveillance.gouv.fr** oferuje bezpłatną ścieżkę pomocy i kontakt z usługodawcami, a **service-public.fr** szczegółowo opisuje procedurę składania zawiadomienia. Arcep ze swojej strony regularnie przypomina o kanałach zgłaszania niepożądanych połączeń i wiadomości.

## Co ta technika mówi nam o przyszłości

SMS Blaster oznacza zmianę dyskretną, ale głęboką: oszustwo SMS-owe staje się **zagrożeniem fizycznej bliskości**. Przez dwadzieścia lat uczono ludzi, że niebezpieczeństwo pochodzi „skądś”, z anonimowego serwera za granicą. Tutaj przychodzi z ulicy obok, ze zwykłego samochodu, na pół godziny.

Ma to dwie praktyczne konsekwencje. Po pierwsze, czujności nie da się już w całości scedować na operatorów: filtr sieciowy, choćby najskuteczniejszy, nie zobaczy wiadomości, która nie przechodzi przez sieć. Po drugie, ustawienia telefonu, długo traktowane jako szczegół dla ekspertów, stają się pierwszą linią obrony — dokładnie tak jak [szkło hartowane](https://www.amazon.fr/s?k=verre+trempe+protection+ecran+smartphone&tag=ds050-21) dla ekranu.

Rada, która jest odporna na wszystko, nie zmieniła się ani o milimetr: **żaden bank, żaden urząd, żadna firma kurierska nigdy nie poprosi Cię o wpisanie danych logowania przez link otrzymany SMS-em**. Nieważne, jaki nadawca się wyświetla, nieważne, w jakim wątku rozmowy, nieważne, jaka stacja bazowa — prawdziwa czy fałszywa — przeniosła tę wiadomość.

{/* image-sources: https://images.pexels.com/photos/5257224/pexels-photo-5257224.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}