Fałszywy alert RCB: jak odróżnić prawdziwy SMS od oszustwa

👁 120 przeczytań

Prawdziwy alert RCB przychodzi od nadawcy „ALERT RCB”, nie ma polskich liter, nie prosi o dane ani o pieniądze i prawie nigdy nie zawiera linku. SMS, który każe kliknąć, zalogować się albo dopłacić, to prawie na pewno oszustwo. Poniżej porównuję oba rodzaje wiadomości i piszę, co zrobić, jeśli już kliknąłeś.

To tekst z serii o alertach RCB. Tło, czyli kto pisze alerty, kto je wysyła i co wynika z archiwum komunikatów, opisałem w tekście Alerty RCB: kto je pisze, kto dostaje i czemu tyle pogody.

Prawdziwy alert a SMS oszusta: porównanie

Sześć cech prawdziwego alertu

• Nadawca „ALERT RCB”. Rozporządzenie z 2020 roku nakazuje opatrzyć komunikat identyfikatorem nadawcy, którym dla odbiorców w Polsce jest właśnie „ALERT RCB”. Kolejne alerty zbierają się w tej samej rozmowie w telefonie, więc nowy SMS pojawi się pod starymi, znanymi Ci komunikatami.
• Brak polskich liter. Ten sam przepis każe pisać alfabetem GSM 7-bit, bez znaków diakrytycznych. Dlatego alert ma „Zachowaj spokoj” zamiast „spokój”. SMS „od RCB” z poprawnymi ogonkami powinien wzbudzić podejrzenia.
• Krótkość. Limit w rozporządzeniu to 306 znaków, ale RCB w praktyce mieści się w 160, czyli w jednym SMS-ie. Rzecznik RCB Piotr Błaszczyk tłumaczył w rozmowie z Wirtualnemedia.pl, że przy dwóch SMS-ach odbiorca mógłby dostać części w złej kolejności.
• Kategoria na początku. Od sierpnia 2026 roku alerty zwykle zaczynają się od słowa: „POGODA:”, „KOMUNIKAT:”, „CWICZENIA:” albo „UWAGA!”. Tak wynika z treści alertów, które przejrzałem w archiwum RCB.
• Brak próśb. Alert każe coś zrobić dla bezpieczeństwa: nie zbliżać się do rzeki, przegotować wodę, zamknąć okna, znaleźć bezpieczne miejsce. Nigdy nie prosi o PESEL, hasło, numer karty ani o płatność.
• Publikacja w drugim kanale. Każdy alert trafia też na stronę RCB i do mediów społecznościowych. Rzecznik mówi, że RCB publikuje je tam „za każdym razem”.

A co z linkami?

16 września 2024 roku, w czasie powodzi, RCB opublikowało komunikat o SMS-ach podszywających się pod alert. Przestrzegało w nim przed podejrzanymi linkami i pisało, że prawdziwe alerty RCB nie zawierają linków ani próśb o kliknięcie w odnośnik.

Ta zasada została złamana 31 lipca 2026 roku, gdy alert na cały kraj brzmiał: „MSWiA: bądź przygotowany. Pobierz: poradnikbezpieczenstwa.gov.pl”. Strona nie wytrzymała ruchu. Polsat News opisał krytykę polityków opozycji, którzy przypominali, że wcześniej państwo uczyło, by w alertach linków nie klikać.

Uważam, że ta wysyłka osłabiła prostą regułę, której łatwo było uczyć. Praktyczna wersja na dziś: jeśli alert zawiera adres, to wyłącznie w domenie gov.pl i bez prośby o logowanie. Nawet wtedy bezpieczniej jest wpisać adres samodzielnie w przeglądarce, niż klikać. To moja rada, nie oficjalna zasada RCB.

Czy oszust może podrobić nadawcę „ALERT RCB”?

Technicznie nazwa nadawcy SMS-a (tzw. nadpis) to tylko pole tekstowe. Polska ma jednak przepisy, które utrudniają takie podszywanie się. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej z 28 lipca 2023 roku przewiduje, że:

• CSIRT NASK prowadzi wykaz nadpisów zastrzeżonych dla podmiotów publicznych;
• operatorzy mają blokować SMS-y z nadpisami podobnymi do zastrzeżonych, np. z małym „l” zamiast dużego „I”;
• operatorzy mają też blokować SMS-y z wzorcami oszustw przekazanymi przez CERT Polska;
• za smishing grozi kara od 3 miesięcy do 5 lat więzienia.

Nie sprawdziłem, czy „ALERT RCB” jest wpisany do wykazu NASK. Prawdziwe alerty wysyłają bezpośrednio operatorzy na polecenie dyrektora RCB, a nie bramki SMS. Tak czy inaczej sama nazwa nadawcy nie wystarcza. Patrz też na treść i na to, czego wiadomość od Ciebie chce.

Co zrobić z podejrzanym SMS-em

• Nie klikaj i nie odpisuj. Odpowiedź potwierdza oszustowi, że numer jest aktywny.
• Przekaż SMS na numer 8080. To bezpłatny numer CERT Polska. Przekaż całą wiadomość, bez wycinania linku. Po chwili przyjdzie odpowiedź z wynikiem sprawdzenia, a niebezpieczne strony trafiają na listę ostrzeżeń, którą blokują operatorzy.
• Sprawdź gov.pl/web/rcb. Jeśli takiego alertu tam nie ma, a nikt w okolicy go nie dostał, to nie był alert.
• Zapytaj kogoś obok. Prawdziwy alert dostają wszyscy na danym terenie, więc jeśli przyszedł tylko do Ciebie, to prawie na pewno nie jest prawdziwy.

Kliknąłem. Co teraz?

• Jeśli podałeś dane logowania do banku albo kartę, od razu zadzwoń do banku i zablokuj kartę lub dostęp.
• Zmień hasło do konta, które podałeś, a jeśli używałeś go gdzie indziej, zmień je też tam.
• Jeśli zainstalowałeś aplikację z linku, odinstaluj ją, a w razie wątpliwości przywróć telefon do ustawień fabrycznych.
• Zgłoś sprawę: SMS na 8080, a przy stracie pieniędzy także na policję.
• Jeśli podałeś PESEL, rozważ jego zastrzeżenie w aplikacji mObywatel.

Gdzie w tym AI

Narzędzia AI ułatwiają oszustom pisanie poprawnych, wiarygodnych SMS-ów i stron, więc stara rada „szukaj błędów językowych” działa coraz słabiej. Nie znalazłem jednak żadnego potwierdzonego przypadku fałszywego alertu RCB napisanego przez AI ani deepfake’a, który podszywałby się pod RCB. Udokumentowane przypadki z 2024 roku to zwykłe SMS-y z linkami. Najlepsza obrona nie zależy od jakości tekstu: prawdziwy alert nigdy nie chce od Ciebie danych ani pieniędzy.

Najczęstsze pytania

Jak sprawdzić, czy alert RCB jest prawdziwy?

Spójrz na nadawcę („ALERT RCB”), pisownię (brak polskich liter), brak próśb o dane i link. Potem sprawdź, czy ten sam komunikat jest na gov.pl/web/rcb albo na profilu RCB na X.

Czy alert RCB może zawierać link?

Zwykle nie. Jedynym znanym wyjątkiem jest alert z 31 lipca 2026 roku z adresem rządowego poradnika w domenie gov.pl. Alert z linkiem do logowania, płatności albo aplikacji to oszustwo.

Gdzie zgłosić fałszywy alert RCB?

Przekaż go SMS-em na bezpłatny numer 8080 (CERT Polska). Fałszywe strony i maile zgłosisz na incydent.cert.pl.

Czy RCB prosi o PESEL albo dane?

Nie. RCB nie ma bazy numerów ani danych odbiorców i nigdy nie prosi o żadne dane w alercie.