SMS o mandacie „z mObywatela” i dopłacie e-TOLL

SMS wygląda urzędowo: nadawca „mObywatel”, treść o wykrytym wykroczeniu drogowym i mandacie do zapłaty, link do „szybkiego uregulowania należności”. Drugi wariant celuje w kierowców jeżdżących autostradami: wiadomość o niezapłaconym przejeździe w systemie e-TOLL. Oba SMS-y łączy jedno — państwowe systemy, pod które podszywają się oszuści, w ogóle nie komunikują się w ten sposób.

Jak działa to oszustwo

Oszuści wysyłają masowo SMS-y z podrobionym nadpisem nadawcy. To kluczowy trik: wiadomość może wyświetlić się w telefonie w tym samym wątku, co prawdziwe powiadomienia, bo dla telefonu liczy się nazwa nadawcy, a tę da się sfałszować. Treść jest krótka i konkretna:

„mObywatel: wykryto wykroczenie drogowe. Zaległy mandat: 200 PLN. Ureguluj należność, aby uniknąć postępowania: [link]”

Link prowadzi do strony imitującej serwis mObywatel albo bramkę płatności. Adres często zawiera słowa „gov” i „pl” gdzieś w środku — wygląda znajomo, ale nie jest to domena gov.pl. Strona pokazuje „zaległość” (w opisywanej przez Niebezpiecznika kampanii było to 200 zł) i prosi o dane karty: numer, datę ważności, kod CVC.

Najgroźniejszy moment przychodzi na końcu. Zamiast pobrać 200 zł, przestępcy próbują dodać Twoją kartę do portfela Google Pay na swoim telefonie. Bank wysyła Ci powiadomienie autoryzacyjne — a jeśli zatwierdzisz je w pośpiechu, nie autoryzujesz płatności, tylko przekazujesz oszustom możliwość płacenia Twoją kartą do wyczerpania limitu.

Wariant e-TOLL działa analogicznie, tylko pretekstem jest „niezapłacony przejazd autostradą”. Operator systemu zaznacza wprost: e-TOLL nigdy nie wysyła SMS-ów z linkami do płatności. Każda taka wiadomość jest fałszywa z definicji, bez potrzeby analizowania adresu.

Ten schemat to bliski krewny innych SMS-owych wyłudzeń z naszej bazy — dopłaty do paczki i faktury za prąd. Zmienia się pretekst, mechanizm zostaje ten sam.

Co zrobić, gdy to się dzieje

• Nie klikaj w link. Jeśli chcesz sprawdzić, czy naprawdę masz zaległość, wejdź samodzielnie na etoll.gov.pl albo otwórz aplikację mObywatel — adresy wpisuj ręcznie.
• Jeśli podałeś dane karty — natychmiast ją zastrzeż w aplikacji banku lub na infolinii. Bank może próbować cofnąć transakcję, dopóki pieniądze nie opuszczą konta odbiorcy.
• Sprawdź, co autoryzowałeś. Jeśli w aplikacji banku zatwierdziłeś komunikat o dodaniu karty do Google Pay lub Apple Pay, powiedz o tym bankowi — samo zastrzeżenie karty może nie usunąć jej z obcego portfela.
• Zachowaj SMS jako dowód: zrzut ekranu z widocznym nadawcą, datą i linkiem przyda się przy zgłoszeniu.
• Kolejne kroki — reklamacja w banku, zawiadomienie, zabezpieczenie dowodów — opisujemy w poradniku co zrobić po oszustwie.

Gdzie zgłosić

Podejrzany SMS przekaż bezpłatnie na numer 8080 (CERT Polska) — wystarczy przesłać wiadomość dalej. Fałszywą stronę zgłoś przez incydent.cert.pl. Jeśli straciłeś pieniądze lub oszuści dodali Twoją kartę do portfela, złóż zawiadomienie na policji. Wszystkie ścieżki zgłoszeń zebraliśmy w poradniku gdzie zgłosić oszustwo.

Podszywanie się pod państwowe aplikacje to jeden z wyraźniejszych trendów ostatnich miesięcy. Razem z klonowaniem głosu, fałszywymi CAPTCHA i przejmowaniem numerów telefonu opisujemy go w podsumowaniu technologicznych metod oszustw.