„GRATULACJE! Twoj numer zostal wylosowany wsrod naszych stalych klientow. Twoja nagroda (smartfon najnowszej generacji) jest zarezerwowana do dzisiejszego wieczora. Zostal 1 egzemplarz: https://fidelite-recompense-cadeau.com/lot"
Ten nie grozi. Nie mówi ani o mandacie, ani o zablokowanym koncie, ani o przesyłce wstrzymanej na celnej. Gratuluje Ci. I właśnie to czyni go tak groźnym: zbiorowo nauczyliśmy się nie dowierzać SMS-om, które straszą. Nigdy nie nauczyliśmy się nie dowierzać SMS-om, które sprawiają przyjemność.
Oszustwo na fałszywy konkurs to jeden z najstarszych schematów w krajobrazie smishingu i jeden z niewielu, który do działania nie potrzebuje podszywania się pod instytucję publiczną. Nie zawsze kradnie dane logowania do bankowości. Często robi coś znacznie gorszego, jeśli patrzeć na czas trwania: zakłada Ci cykliczne obciążenie, którego nie zauważysz przez wiele miesięcy.
Dlaczego dobra wiadomość działa lepiej niż groźba
Kampanie smishingowe oparte na strachu — mandat, nieudana dostawa, zawieszone konto — mają jedną wadę: wywołują też nieufność. Zaniepokojona osoba próbuje weryfikować. Dzwoni do banku, pyta kogoś bliskiego, wpisuje nazwę usługi w wyszukiwarkę.
Osoba pochlebiona weryfikuje inaczej. Sprawdza, czy nagroda jest prawdziwa, a nie czy prawdziwy jest nadawca. Cała jej uwaga skupia się na przedmiocie nagrody, nigdy na tożsamości tego, kto ją obiecuje. To przesunięcie uwagi, które oszuści wykorzystują od początków marketingu telefonicznego i które Cybermalveillance.gouv.fr jednoznacznie klasyfikuje jako odmianę phishingu: niezależnie od wykorzystanej emocji mechanizm pozostaje ten sam — wyłudzenie danych lub pieniędzy.
Do tego dochodzą trzy bardzo konkretne dźwignie:
- Sztuczna rzadkość. „Został 1 egzemplarz", „oferta ważna do dzisiejszego wieczora", „tylko 3 zwycięzców". Zegar odliczający usuwa czas na refleksję, dokładnie jak w fałszywych SMS-ach o mandacie.
- Osobiste wskazanie. „Twój numer został wylosowany" daje złudzenie wyboru. W rzeczywistości wiadomość trafia jednocześnie do dziesiątek tysięcy numerów.
- Śmieszna kwota. Nie proszą Cię o 500 €, proszą o 1,95 € „kosztów dostawy". Kwota zbyt niska, by uruchomić prawdziwą czujność — i o to właśnie w tym schemacie chodzi.
Pięć najczęstszych przebrań
Scenariusz z prezentem występuje w kilku dość stabilnych odmianach, które powtarzają się z kampanii na kampanię.
1. Losowanie dużej sieci handlowej. SMS wspomina sieć supermarketów, dystrybutora elektroniki albo bardzo znaną markę odzieżową. Nagrodą jest bon zakupowy na 500 € lub „tajemnicza paczka". Argument: jesteś klientem, więc masz prawo.
2. Urodziny marki. „Z okazji naszych 40 lat rozdajemy 1000 nagród." Pretekst jest pozornie weryfikowalny (marka rzeczywiście istnieje i gdzieś ma jakąś rocznicę), a w praktyce nieweryfikowalny.
3. Program lojalnościowy operatora. Wiadomość podaje się za pochodzącą od Twojego operatora mobilnego i mówi o „punktach lojalnościowych, których termin wygasa", wymienialnych na prezent. To wersja najbardziej wiarygodna, bo operatorskie programy lojalnościowe naprawdę istnieją.
4. Testowanie produktu. „Zostałeś wybrany do bezpłatnego testowania nowego robota odkurzającego / szczoteczki do zębów z łącznością / ekspresu do kawy." Wystarczy „pokryć koszty przesyłki". Ten format kwitnie, bo programy testowania produktów również istnieją — w prawdziwych panelach konsumenckich.
5. Zwrot promocyjny. Odwrócony wariant: nic Ci nie oferują, oddają Ci pieniądze za wcześniejszy zakup. Wiadomość imituje obsługę posprzedażową.
We wszystkich przypadkach strona docelowa ma ten sam szkielet: koło fortuny lub ankieta satysfakcji z trzema pytaniami, animacja wygranej, a potem formularz.
Prawdziwą pułapką nie jest nagroda, a formularz
To właśnie tutaj oszustwo na prezent różni się od pozostałych. Celem nie zawsze jest opróżnienie konta w jednej operacji. Często jest nim doprowadzenie do tego, byś nieświadomie podpisał abonament z automatycznym odnawianiem.
Typowy przebieg:
- „Wygrywasz" na ustawionym kole (zawsze zatrzymuje się na nagrodzie).
- Proszą Cię o imię, nazwisko, adres, datę urodzenia, e-mail, numer telefonu. Dużo danych, uzasadnianych „wysyłką nagrody".
- Proszą o 1,95 € lub 2,99 € kosztów przesyłki, do zapłaty kartą.
- Bardzo drobnym drukiem, pod przyciskiem płatności: wzmianka o usłudze „premium" płatnej na przykład 39,90 € miesięcznie, z możliwością rezygnacji w każdej chwili i 48-godzinnym okresem próbnym.
- Nagroda nigdy nie przychodzi. Miesięczne obciążenie — owszem, startuje.
Kwota 1,95 € nie jest ceną: to test poprawności karty. Potwierdza, że numer, data ważności i kod CVV są prawidłowe, i stanowi podstawę autoryzacji kolejnych obciążeń.
Darmowy prezent, który wymaga karty płatniczej, nie jest prezentem. Prośba o dane karty w celu „pokrycia kosztów" to sygnał stopu, niezależnie od wyświetlanej kwoty.
Niektóre warianty wcale nie proszą o kartę. Proszą o „potwierdzenie SMS-em" przez wysłanie słowa kluczowego na płatny numer skrócony albo o zatwierdzenie otrzymanego kodu — co uruchamia subskrypcję usługi treściowej rozliczanej na fakturze operatora. To historyczny mechanizm SMS+, wykorzystany niezgodnie z przeznaczeniem.
Sygnały, które zdradzają wiadomość w dziesięć sekund
Jeszcze przed otwarciem linku nakłada się na siebie kilka poszlak.
| Sygnał | Co ujawnia |
|---|---|
| Brak jakiejkolwiek wzmianki o Twoim nazwisku | Wysyłka jest masowa, nie spersonalizowana |
| Nadawca = 10-cyfrowy numer komórkowy | Marki używają nazw nadawcy lub numerów skróconych |
Długa, hybrydowa nazwa domeny (fidelite-cadeau-lot-2026.xyz) | Domena jednorazowa stworzona pod kampanię |
| „Został 1 egzemplarz" | Wyprodukowana rzadkość, klasyczna dźwignia presji |
| Nagroda niezwiązana z przywołaną marką | Generyczny zestaw używany ponownie w kolejnych kampaniach |
| Błędy w akcentach, brak ogonków i znaków diakrytycznych | Zagraniczna bramka wysyłkowa działająca na tekście bez znaków diakrytycznych |
| Brak dostępnego regulaminu konkursu | Legalny konkurs we Francji taki regulamin publikuje |
Ten ostatni punkt jest najmocniejszy prawnie. Poważna akcja promocyjna ma regulamin dostępny do wglądu, wskazuje organizatora (nazwę firmy, adres) i nigdy nie uzależnia wydania nagrody od płatności. DGCCRF regularnie przypomina, że loterie reklamowe nie mogą wprowadzać konsumenta w błąd co do jego szans na wygraną ani co do rzeczywistych kosztów.
Jest też test zdrowego rozsądku, nieomylny: czy w ogóle brałeś udział? Nie wygrywa się w konkursie, do którego się nie zgłosiło. Jeśli wiadomość nie potrafi Ci przypomnieć, kiedy i jak grałeś, to żadnej gry nie było.
Dlaczego właśnie Ty i jak zdobyli Twój numer
Pytanie wraca zawsze: „Skąd znają mój numer?". Dominują trzy kanały.
Wycieki danych. Wielkie naruszenia ostatnich lat wprowadziły w obieg pliki zawierające imię, nazwisko, e-mail, numer telefonu, a czasem adres. CNIL regularnie to potwierdza. Twojego numeru nikt nie odgadł: został kupiony.
Wcześniejsze konkursy, prawdziwe i fałszywe. Każdy formularz wypełniony na stronie „darmowego udziału" zasila bazy odsprzedawane dalej. Wczorajszy fałszywy konkurs finansuje dzisiejszego SMS-a.
Generowanie losowe. Struktura francuskich zakresów numerów komórkowych jest publiczna. Bramka może mechanicznie wygenerować miliony kombinacji, bez żadnych danych osobowych.
W dwóch pierwszych przypadkach wiadomość może zawierać Twoje imię — co ogromnie zwiększa jej wiarygodność, nie dowodząc niczego o nadawcy. To to samo przesunięcie, co w fałszywych SMS-ach o dostawie podających dokładny adres: dane przestały być gwarancją legalności.
Konkretne odruchy, po kolei
Nie klikaj, choćby z ciekawości. Samo otwarcie strony wystarczy, by potwierdzić, że numer jest aktywny, jeśli link zawiera unikalny identyfikator. Za ciekawość płaci się liczbą SMS-ów otrzymywanych w kolejnych tygodniach.
Zgłoś na numer 33700. To oficjalny francuski system zgłaszania niechcianych SMS-ów i połączeń, wspierany przez Arcep i operatorów. Przekaż wiadomość na 33700, a następnie odpowiedz na SMS potwierdzający, podając numer nadawcy. Usługa jest bezpłatna i realnie zasila blokowanie numerów wysyłających.
Zgłoś fałszywy adres na Phishing Initiative i złóż zgłoszenie na cybermalveillance.gouv.fr, jeśli wejdziesz w interakcję ze stroną. W przypadku stwierdzonych oszustw platforma THESEE (service-public.fr) umożliwia złożenie zawiadomienia online.
Weryfikuj oficjalnym kanałem. Jeśli SMS powołuje się na Twojego operatora, sieć handlową lub bank, skorzystaj z aplikacji zainstalowanej w telefonie albo numeru z tyłu karty — nigdy z linku. Ten odruch łatwiej utrzymać, gdy telefon pozostaje sprawny: ładowarka sieciowa USB-C pozwala uniknąć rozładowanej baterii, która popycha do „szybkiego działania" na dogasającym ekranie.
Nie oddzwaniaj na numery premium. Oddzwonienie „w celu potwierdzenia nagrody" na numer 08 lub numer skrócony może być rozliczane za czas trwania połączenia.
Jeśli już podałeś dane karty
Czas liczy się bardziej niż cokolwiek innego.
- Natychmiast zablokuj kartę w swoim banku, przez aplikację lub numer awaryjny Twojej instytucji. We Francji międzybankowy serwer blokowania jest dostępny pod numerem 0 892 705 705.
- Zażądaj anulowania obciążenia i odwołania autoryzacji. Nieautoryzowana płatność musi zostać zwrócona przez bank na warunkach przewidzianych w kodeksie monetarnym i finansowym; ACPR i Banque de France regularnie przypominają te ramy, również gdy ofiara została zmanipulowana.
- Szukaj cyklicznych obciążeń na trzech ostatnich wyciągach: anonimowy opis na 39,90 € często wraca co miesiąc, nie przyciągając uwagi.
- Złóż zawiadomienie i zachowaj wszystko: zrzut SMS-a, adres URL, znacznik czasu, wyciągi. Wyciąg opisany ręcznie w notatniku A5 z datą świetnie sprawdza się przy odtwarzaniu chronologii w okienku.
- Obserwuj inne konta: ten sam adres e-mail i to samo hasło w innym serwisie to otwarte drzwi.
Jeśli obciążenie przechodzi przez fakturę operatora, zgłoś reklamację w obsłudze klienta i poproś o zablokowanie usług SMS+ oraz zakupów na fakturę. Ta blokada jest bezpłatna i obowiązuje bezterminowo, dopóki jej nie zdejmiesz.
Ochrona osób najbardziej narażonych
Fałszywe wygrane dotykają wszystkich, ale dwie grupy płacą więcej: osoby starsze żyjące w izolacji, dla których spersonalizowany kontakt ma wartość społeczną, oraz nastolatki, które czasem płacą, nie zdając sobie sprawy z cyklicznego charakteru abonamentu.
Kilka prostych działań zmienia sytuację:
- Wyłączenie zakupów na fakturze operatora na liniach nieletnich i osób wymagających ochrony. To najskuteczniejszy krok i jest darmowy.
- Wybór karty z autoryzacją każdej transakcji albo karty prepaid do doładowania do zakupów online: limit mechanicznie ogranicza szkody z ukrytego abonamentu.
- Włączenie filtra antyspamowego SMS oferowanego przez iOS i Androida oraz zablokowanie nadawcy po zgłoszeniu.
- Ustalenie ram rozmowy. Praktyczny poradnik o oszustwach cyfrowych zostawiony pod ręką, z zasadą „za żaden prezent się nie płaci", działa lepiej niż ustne przypomnienie zapomniane tydzień później.
- Utrzymanie czytelnego ekranu. Duża część przypadkowych kliknięć wynika z pośpiesznego czytania na pękniętym lub brudnym ekranie; szkło hartowane nie zapobiegnie oszustwu, ale ułatwia rozwianie wątpliwości, gdy czyta się link znak po znaku.
Dla seniorów korzystających z telefonu klawiszowego telefon komórkowy z dużymi klawiszami także upraszcza życie: mniej aplikacji, mniej przeglądarek, mniej powierzchni ataku — choć SMS i tak zawsze dotrze.
Co warto zapamiętać
Fałszywy konkurs przez SMS to nie oszustwo drugiej kategorii. Jest po prostu bardziej cierpliwy niż inne: nie szuka przelewu w dziesięć minut, szuka autoryzacji obciążeń, która potrwa rok.
Trzy zdania wystarczą, by trwale się przed nim zabezpieczyć:
- Nie wygrywa się w konkursie, do którego się nie zgłosiło.
- Nagroda wymagająca kosztów przesyłki opłaconych kartą nie jest nagrodą.
- Wiadomość, która zabrania myślenia — „został 1 egzemplarz", „tylko do dzisiejszego wieczora" — to wiadomość, która wie, że nie przetrwałaby refleksji.
Resztą jest nawyk. Przekazanie na 33700 zajmuje dwadzieścia sekund, zablokowanie nadawcy pięć, a rozmowa o tym z bliskimi kosztuje jeszcze mniej. To właśnie obniża rentowność takich kampanii: nie lepsza technologia, ale zbiorowy odruch.
