Spoofing numeru telefonu: dlaczego ekran kłamie

Odbierasz telefon, a na ekranie świeci się numer twojego banku. Głos po drugiej stronie mówi, że ktoś próbuje wyczyścić twoje konto i trzeba działać natychmiast. Numer się zgadza, ton jest poważny i presja rośnie, choć numer na wyświetlaczu nie jest żadnym dowodem na to, kto naprawdę dzwoni.

Co to jest spoofing numeru

Spoofing numeru, czyli CLI spoofing (z angielskiego Calling Line Identification), to podmiana numeru, który wyświetla się odbiorcy połączenia. Oszust dzwoni z dowolnego źródła, ale tak konfiguruje połączenie, że na twoim telefonie pojawia się numer, który sam wybrał. Może to być infolinia banku, komenda policji, urząd skarbowy, a w niektórych przypadkach nawet twój własny numer.

Mechanizm wynika z budowy sieci telefonicznych. Informacja o numerze dzwoniącego jest przesyłana jako osobne pole danych i w wielu konfiguracjach nie jest twardo weryfikowana na całej trasie połączenia. Bramki internetowej telefonii (VoIP) pozwalają wpisać tam praktycznie cokolwiek. Dla operatora docelowego taki numer wygląda wiarygodnie, więc bez mrugnięcia pokazuje go na ekranie.

To nie jest hakowanie twojego telefonu ani włamanie do banku. Nikt nie przejął twojego urządzenia. Po prostu nadpisano jedną etykietę, którą telefon wyświetla w dobrej wierze.

Dlaczego widzisz akurat numer banku albo policji

Oszuści wybierają numery, które budzą zaufanie albo strach. Numer banku uwiarygadnia rozmowę o rzekomym ataku na konto. Numer policji albo prokuratury ma cię sparaliżować i wymusić posłuszeństwo. Numer urzędu sugeruje, że sprawa jest oficjalna i nie ma miejsca na dyskusję.

Czasem widzisz numer, który faktycznie znasz, bo wcześniej sam dzwoniłeś na infolinię. Wtedy aparat dopasowuje go do kontaktu w książce i wyświetla pełną nazwę, na przykład nazwę banku. To podnosi wiarygodność oszustwa do poziomu, który trudno zignorować pod wpływem emocji.

Zdarza się też wariant pozornie absurdalny, gdy dzwoni twój własny numer. Brzmi jak żart techniczny, ale to celowy zabieg. Ma cię zaskoczyć, wytrącić z rutyny i skłonić do odebrania albo do oddzwonienia. Każda taka anomalia to czerwona flaga, nie powód do ciekawości.

Numer na ekranie nie jest dowodem tożsamości

To jest sedno całej sprawy. Wyświetlony numer mówi tylko tyle, jaką etykietę dostało połączenie, a nie kto je nawiązał. Traktuj go jak napis na kopercie, a nie jak podpis pod listem. Każdy może napisać na kopercie cudze imię.

Prawdziwy konsultant banku nigdy nie poprosi cię o podanie pełnego numeru karty, kodu PIN, hasła do bankowości ani kodu BLIK do potwierdzenia. Nie będzie cię też naciskał, żebyś zainstalował aplikację do zdalnego pulpitu albo przepisał pieniądze na rzekomo bezpieczne konto techniczne. Jeśli pada którekolwiek z tych żądań, rozmawiasz z oszustem, niezależnie od tego, co pokazuje ekran. Takie scenariusze to klasyczny schemat oszustwa, który opiera się właśnie na fałszywym poczuciu, że numer gwarantuje tożsamość.

Co zrobić, gdy odbierzesz takie połączenie

Reaguj spokojnie i według prostej zasady. Nie podejmuj żadnych decyzji finansowych w trakcie rozmowy przychodzącej.

1. Rozłącz się, gdy tylko pojawia się presja czasu, prośba o dane logowania albo o przelew. Zakończenie rozmowy nie jest niegrzeczne, jest rozsądne.
2. Odczekaj chwilę i oddzwoń samodzielnie na oficjalny numer, ten z odwrotu karty płatniczej, z umowy albo z oficjalnej strony instytucji. Nie używaj numeru, który wyświetlił się przy połączeniu, i nie oddzwaniaj przez opcję oddzwonienia.
3. Nie instaluj żadnych aplikacji ani nie klikaj w linki z SMS, który przyszedł po telefonie.
4. Jeśli już podałeś dane karty albo logowania, natychmiast zadzwoń na infolinię banku i zastrzeż kartę oraz dostęp.

Ten jeden nawyk, rozłącz i oddzwoń na znany numer, neutralizuje większość scenariuszy spoofingu. Oszust traci kontrolę nad rozmową w momencie, gdy ty inicjujesz nowe, prawdziwe połączenie.

Twój numer też może zostać użyty przeciwko innym

To często pomijany, a bardzo ważny element. Numer, który ofiara widzi na ekranie podczas oszustwa, zwykle należy do zupełnie postronnej osoby. Sprawca nie dzwoni ze swojego numeru. Podstawia cudzy, wybrany losowo albo z jakiejś bazy.

Dlatego możesz pewnego dnia odebrać falę telefonów od obcych, rozzłoszczonych ludzi, którzy twierdzą, że to ty do nich dzwoniłeś z propozycją kredytu albo z groźbą. Nie dzwoniłeś. Twój numer został podszyty. Nie masz nad tym bezpośredniej kontroli i nie jesteś winny, ale spokojnie wyjaśniaj rozmówcom, że padłeś ofiarą podszycia. Pomocne bywa sprawdzenie, czy twój numer krąży już w sieci z negatywnymi zgłoszeniami. Możesz sprawdzić numer i zobaczyć, co inni o nim piszą, zanim ktoś cię o coś oskarży.

Podobny mechanizm podszywania pojawia się też przy połączeniach premium i natrętnym spamie telefonicznym, gdzie fałszywy nadawca ma ukryć prawdziwe źródło ruchu.

Gdzie zgłosić spoofing

Zgłaszanie ma sens, nawet jeśli akurat tobie nic się nie stało. Buduje obraz, który pomaga ścigać sprawców.

Podejrzane SMS przekierujesz bezpłatnie do CERT Polska, przesyłając wiadomość na numer 8080. Incydenty internetowe i próby wyłudzenia możesz opisać na [email protected]. Nadużycia związane z numeracją i połączeniami zgłaszasz do Prezesa UKE przez stronę uke.gov.pl. Jeśli straciłeś pieniądze albo padłeś ofiarą wyłudzenia, zawiadom policję, a w sytuacji nagłej dzwoń pod numer 112.

Spoofing działa tylko dopóty, dopóki numer na ekranie traktujemy jak dowód. Gdy przestaniesz mu ufać bez weryfikacji, najgroźniejsze narzędzie oszusta zamienia się w zwykły, łatwy do zignorowania napis.