Fałszywy SMS albo mail o ePUAP. Jak rozpoznać oszustwo po ataku

👁 117 przeczytań

10 listopada 2026 wieczorem minister cyfryzacji potwierdził cyberatak na ePUAP, a skrzynki systemu przestały działać dla obywateli i urzędów (wszystko, co wiadomo, zbieram w tekście Cyberatak na ePUAP. Skrzynki nie działają, sprawą zajmuje się ABW). Dla oszustów to idealny moment. Ludzie są zaniepokojeni, czytają o ataku i łatwiej uwierzą w wiadomość, że „po incydencie” trzeba coś potwierdzić, odblokować albo dopłacić.

Do późnego wieczora 10 listopada CERT Polska nie publikował ostrzeżenia o kampanii związanej akurat z tym atakiem. Schematy podszywania się pod gov.pl, profil zaufany i mObywatel są jednak znane od lat. Poniżej, po czym je poznać.

Jak zwykle wygląda taka wiadomość

Kilka typowych motywów, które warto znać zawczasu:

• „Twoje konto ePUAP / profil zaufany zostało zablokowane” i link do „odblokowania”;
• „Masz nowe pismo do odebrania” z linkiem, który nie prowadzi do gov.pl;
• „Potwierdź tożsamość po incydencie bezpieczeństwa” albo „zweryfikuj dane”;
• mała dopłata do „opłaty administracyjnej”, „aktualizacji profilu” czy „dostarczenia pisma” - po to, żebyś wpisał dane karty albo zalogował się do banku na fałszywej stronie;
• presja czasu: „w ciągu 24 godzin”, „inaczej konto zostanie usunięte”.

Pięć sygnałów ostrzegawczych

1. Adres strony. Prawdziwe serwisy państwowe kończą się na .gov.pl tuż przed pierwszym ukośnikiem: epuap.gov.pl, pz.gov.pl, login.gov.pl, gov.pl. Adres typu „gov.pl-weryfikacja.com” albo „epuap.gov.pl.xyz.info” to podróbka, bo prawdziwa domena to ostatni człon przed ukośnikiem.
2. Skrócony link w SMS-ie od „urzędu”. Państwo nie musi ukrywać, dokąd Cię kieruje.
3. Prośba o dane karty albo logowanie do banku w sprawie, która z płatnością nie ma nic wspólnego. Profil zaufany potwierdza się przez bankowość, ale wchodzisz wtedy do banku sam, z pz.gov.pl, a nie z linku w SMS-ie.
4. Pośpiech i groźba. Urząd nie kasuje konta w 24 godziny za brak kliknięcia.
5. Nadawca. Nazwa nadawcy SMS-a da się podrobić, więc sam podpis „gov.pl” niczego nie dowodzi. Wątek z prawdziwymi wiadomościami w telefonie też może zostać „podpięty” pod fałszywą.

Najprostsza zasada: nie wchodź na rządowe serwisy z linków w wiadomościach. Wpisz adres ręcznie albo otwórz aplikację mObywatel. Jeśli pismo naprawdę na Ciebie czeka, zobaczysz je po zalogowaniu.

Gdzie zgłosić

• SMS: przekaż go bezpłatnie na numer 8080. Trafia do CERT Polska, który blokuje fałszywe strony na liście ostrzeżeń używanej przez operatorów.
• Strona albo mail: zgłoś na incydent.cert.pl.
• Straciłeś pieniądze: zawiadom bank i policję.

Kliknąłeś i coś wpisałeś? Pierwsze minuty

1. Dane karty albo logowanie do banku - od razu zadzwoń na infolinię banku (numer z karty lub strony banku, nie z SMS-a) i zablokuj kartę lub dostęp.
2. Hasło - zmień je wszędzie, gdzie używałeś tego samego, i włącz logowanie dwuetapowe.
3. Numer PESEL, zdjęcie dowodu - zastrzeż PESEL w aplikacji mObywatel albo na gov.pl. To blokuje wzięcie kredytu czy zawarcie umowy na Twoje dane. Zastrzeżenie można później cofnąć.
4. Dowód osobisty - jeśli wysłałeś jego zdjęcie, rozważ zgłoszenie w urzędzie i wymianę dokumentu.
5. Zgłoś stronę na incydent.cert.pl, żeby inni nie trafili na nią po Tobie.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Czy po ataku na ePUAP trzeba coś zmieniać na koncie?

Na wieczór 10 listopada nie ma oficjalnej informacji o wycieku danych z ePUAP. Minister zapewnił, że infrastruktura Centralnego Ośrodka Informatyki jest bezpieczna, a sprawę bada ABW. Nie ma więc komunikatu, który nakazywałby zmianę hasła czy ponowne potwierdzanie profilu zaufanego. Każda wiadomość, która twierdzi inaczej i podsuwa link, powinna wzbudzić podejrzenia. Jeśli resort wyda takie zalecenie, dopiszę je w tekście z aktualizacjami.