SIM Swap - jak oszuści przejmują numer telefonu, by autoryzować przelewy?

Na czym polega mechanizm ataku SIM Swap?

Atak SIM Swap polega na przejęciu numeru telefonu ofiary poprzez wyrobienie duplikatu karty SIM u operatora. Nie chodzi w nim o fizyczną kradzież telefonu, tylko o uzyskanie nowej karty SIM, która powoduje dezaktywację twojej karty i przejęcie numeru przez przestępcę. Docelowym celem ataku jest najczęściej bankowość internetowa oraz portfele kryptowalutowe.

W praktyce wygląda to tak:

• cyberprzestępca kontaktuje się z operatorem sieci komórkowej,
• podszywa się pod właściciela numeru (wykorzystując socjotechnikę),
• składa wniosek o wymianę karty SIM,
• otrzymuje duplikat karty SIM, a twoja karta zostaje dezaktywowana.

Od tego momentu wszystkie połączenia i SMS-y trafiają do oszusta.

W takim przypadku często wykorzystuje się manipulację pracownikami infolinii lub salonów operatorów telefonii komórkowej. Technicznie możliwe są też bardziej zaawansowane ataki (np. wykorzystujące luki w systemach jak SS7 czy identyfikatory IMSI), ale w praktyce najczęściej wystarcza dobrze przeprowadzona rozmowa z niczego niepodejrzewającym pracownikiem.

Skąd przestępcy pozyskują dane niezbędne do wyrobienia duplikatu karty SIM?

Aby skutecznie podszyć się pod ciebie, oszust potrzebuje podstawowych danych: imię, nazwisko, PESEL, numer dowodu czy numer telefonu. I niestety, zdobycie tych informacji jest dziś łatwiejsze, niż się wydaje.

Najczęstsze źródła takich informacji to:

• phishing - fałszywe maile i strony wyłudzające dane,
• smishing i vishing - SMS-y i telefony od „pracowników banku”,
• spoofing - podszywanie się pod innego użytkownika lub urządzenie, aby w ten sposób wyłudzić wrażliwe dane osobowe,
• media społecznościowe - informacje, które sam upubliczniasz (tzw. OSINT),
• wyciek danych z firm i sklepów internetowych,
• dane kupowane w dark webie.

W bardziej zaawansowanych przypadkach przestępcy używają:

• tzw. dowodów kolekcjonerskich, czyli fałszywych dokumentów tożsamości,
• spreparowanych pełnomocnictw.

Im więcej informacji o na twój temat mają, tym łatwiej przejdą procedurę identyfikacyjną u operatora.

Jak przejęcie numeru telefonu pozwala autoryzować nielegalne przelewy?

Gdy oszust przejmie numer telefonu, zyskuje dostęp do twoich SMS-ów autoryzacyjnych. A to często wystarcza do przejęcia twoich pieniędzy.

Schemat wygląda tak:

• przestępca loguje się do twojej bankowości elektronicznej (ma login i hasło, które zdobył wcześniej),
• zleca przelew,
• bank wysyła kod jednorazowy SMS,
• kod trafia na telefon oszusta,
• przelew zostaje zatwierdzony.

W efekcie dochodzi do nieautoryzowanych transakcji i kradzieży pieniędzy.

Co więcej, numer telefonu pozwala oszustowi:

• resetować hasła do e-maila i innych usług,
• przejąć twoje konta w social media,
• zaciągać szybkie pożyczki,
• uzyskać dostęp do portfeli kryptowalutowych.

To dlatego SIM Swap jest tak niebezpieczny. Przejęcie jednego elementu (numeru telefonu), daje dostęp do wielu systemów.

Jakie objawy sugerują bycie ofiarą podmiany karty SIM?

Najważniejszy sygnał jest bardzo charakterystyczny. Jest to nagły brak zasięgu w miejscu, gdzie zawsze był dostępny.

Jeśli na twoim telefon pokazują się następujące komunikaty:

• informacja o braku sygnału GSM,
• „karta nieaktywna”,
• „tylko połączenia alarmowe”,

to może oznaczać, że ktoś przejął twój numer.

Inne sygnały ostrzegawcze to:

• SMS informujący o złożeniu wniosku o wymianę karty SIM,
• brak możliwości wykonywania połączeń,
• nagłe wylogowanie z aplikacji bankowej,
• pojawienie się nieznanych operacji w historii transakcji.

W takiej sytuacji nie czekaj. Liczą się każda minuta.

Jak skutecznie zabezpieczyć się przed kradzieżą numeru u operatora?

Dobra wiadomość jest następująca: możesz znacząco ograniczyć ryzyko przejęcia twojego numeru telefonu przez przestępców.

Najważniejsze działania, jakie możesz podjąć:

• ustaw hasło u operatora (np. w Orange, T-Mobile),
• zabezpiecz konto dodatkowym PIN-em lub hasłem abonenckim,
• aktywuj zastrzeżenie PESEL w aplikacji mObywatel,
• ogranicz udostępnianie danych w social media,
• weryfikuj każdą rozmowę z konsultantem (ochrona przed vishingiem).

Warto też wiedzieć, że eSIM eliminuje fizyczną kartę SIM, ale nadal wymaga ostrożności przy procedurach cyfrowych.

Dlaczego warto zamienić kody SMS na mobilną autoryzację lub klucze sprzętowe?

Kody SMS są wygodne, ale mają jedną dużą wadę: są powiązane z numerem telefonu. A ten, jak widać, można przejąć.

Lepsze rozwiązania to:

• mobilna autoryzacja (powiadomienia push w aplikacji bankowej, która łączy autoryzację z urządzeniem, a nie numerem telefonu),
• aplikacje typu Google Authenticator,
• fizyczne urządzenia, takie jak klucze bezpieczeństwa (U2F).

Różnica jest kluczowa:

• SMS - trafia na numer (który można przejąć),
• mobilna autoryzacja - przypisana do urządzenia,
• klucz sprzętowy - fizycznie w twoich rękach.

Najwyższy poziom bezpieczeństwa daje uwierzytelnianie wieloskładnikowe (MFA), dlatego warto posługiwać się nim wszędzie tam, gdzie to możliwe, aby uniknąć oszustw w internecie.

Jak postępować w przypadku podejrzenia ataku SIM Swap?

Jeśli podejrzewasz atak typu SIM Swap, działaj natychmiast. Oto co powinieneś zrobić krok po kroku:

1.Skontaktuj się z bankiem, by zablokować konto i przelewy.

1. Zadzwoń do operatora, aby zgłosić zablokowanie karty SIM i sprawdzić, czy wydano jej duplikat.

3.Zgłoś podejrzenie oszustwa organom ścigania. Dotoczy to policji, prokuratury oraz CERT Polska.

1. Zmień hasła do banku, e-maila oraz social mediów - konieczne z innego urządzenia, niż to, którego kartę SIM przejęto.
2. Dodatkowo w przypadku nieautoryzowanych transakcji, złóż reklamację w banku.

Co ważne, w razie problemów możesz skorzystać z pomocy Rzecznika Finansowego.

Podsumowanie: Jak rozpoznać SIM Swap?

SIM Swap to atak, w którym przestępca przejmuje twój numer telefonu i wykorzystuje go do kradzieży pieniędzy. Nie potrzebuje twojego telefonu, tylko dostępu do twoich danych i operatora. Jeśli zareagujesz szybko, możesz zatrzymać atak, zanim stracisz pieniądze w wyniku oszustwa bankowego, czy oszustwa na BLIK.

Anna Błażejewska-PłacheckaZobacz artykuły autora

Data dodania: 27.04.2026