Nowe metody oszustw 2026: AI, fałszywe CAPTCHA, SIM swap

Przez lata dobre rady dotyczące oszustw sprowadzały się do listy usterek: literówki w SMS-ie, dziwna polszczyzna, kiepsko podrobione logo, obcy akcent w słuchawce. Te wskazówki działały, bo oszuści byli niechlujni. W 2026 roku przestali.

To jest właściwa treść zmiany. Scenariusze zostały te same — ktoś podszywa się pod bank, urząd albo bliską osobę i wywiera presję, żebyś zrobił coś szybko i bez zastanowienia. Zmieniła się tylko jakość wykonania. Sztuczna inteligencja usunęła wszystkie sygnały, po których dawniej się orientowaliśmy. Skoro nie da się już rozpoznać oszustwa „po wyglądzie”, trzeba zmienić metodę: sprawdzać nie to, jak coś wygląda, ale skąd przyszło i czego od nas chce.

Poniżej przegląd metod, które w 2026 roku realnie przesunęły granicę. Każda ma w naszej bazie własną fiszkę z pełnym opisem i procedurą ratunkową.

Głos, który zna Twoje imię

Zacznijmy od tej, która robi największe wrażenie, bo uderza w miejsce, gdzie nie mamy żadnej obrony technicznej. Do sklonowania czyjegoś głosu wystarczy dziś około trzech sekund nagrania — a materiału dostarcza każde nagranie z mediów społecznościowych, każdy wywiad, każda poczta głosowa. Klon odtwarza nie tylko barwę, ale też intonację i emocje: panikę, zadyszkę, płacz.

Efekt jest taki, że stara metoda „na wnuczka” dostała nowy silnik. Kiedyś oszust musiał liczyć na to, że babcia nie rozpozna obcego głosu i uwierzy w „przeziębienie”. Teraz w słuchawce naprawdę brzmi wnuk. Amerykańska Federalna Komisja Handlu podaje, że oszustwa polegające na podszywaniu się są tam najczęściej zgłaszanym typem nadużycia — w 2025 r. Amerykanie zgłosili z ich powodu 3,5 miliarda dolarów strat, blisko trzy razy więcej niż w 2020 r.

Obrona nie leży po stronie technologii, tylko procedury. Rozłącz się i oddzwoń sam na znany numer. Umów się z rodziną na hasło. Zadaj pytanie, na które odpowiedzi nie ma w internecie. Szczegóły i scenariusze rozmów rozpisaliśmy w fiszce o klonowaniu głosu; klasyczną wersję tej metody opisuje fiszka „na wnuczka”.

Kiedy ofiara sama instaluje wirusa

Druga zmiana jest cichsza, ale statystycznie groźniejsza. Metoda ClickFix polega na tym, że strona internetowa pokazuje planszę udającą weryfikację CAPTCHA lub Cloudflare i każe wcisnąć Windows+R, Ctrl+V, Enter. Do schowka użytkownika wcześniej trafiło już złośliwe polecenie — te trzy skróty klawiszowe wystarczą, żeby komputer sam pobrał i uruchomił malware.

Genialność (w złym sensie) tej sztuczki polega na tym, że nie łamie ona żadnego zabezpieczenia. To użytkownik świadomie uruchamia polecenie, więc systemowe mechanizmy ochronne nie mają czego blokować. Według ESET wykorzystanie tej techniki wzrosło o 500% w pierwszym półroczu 2025 r. wobec drugiej połowy 2024 r., odpowiada za blisko 8% wszystkich blokowanych ataków, a Polska jest trzecim najczęściej atakowanym krajem na świecie. CERT Polska opisał w lutym 2026 r. kampanię na zainfekowanych polskich domenach, gdzie ClickFix instalował malware Latrodectus i narzędzie Supper — używane przez grupy przestępcze jako przyczółek przed zaszyfrowaniem całej firmowej sieci.

Ta sama logika „zrób to sam” napędza dwie pokrewne metody: fałszywą aktualizację przeglądarki (strona podsuwa plik, choć przeglądarki aktualizują się same) i fałszywą pomoc techniczną (pełnoekranowy alarm o wirusie z numerem telefonu, pod którym czeka „konsultant” proszący o zdalny dostęp). Sam mechanizm rozbieramy w fiszce o ClickFix.

Wspólny mianownik i jednocześnie prosta reguła obronna: żaden legalny komunikat nie każe Ci wykonywać poleceń poza przeglądarką ani dzwonić pod numer z ekranu.

Państwo jako przynęta

Trzeci nurt to podszywanie się pod instytucje, które budzą odruchowe posłuszeństwo. W 2026 r. najpopularniejsze preteksty to mandat i opłata drogowa: SMS od nadawcy podpisanego „mObywatel” o zaległym mandacie 200 zł albo wiadomość o niezapłaconym przejeździe w systemie e-TOLL.

Tu obrona jest zaskakująco łatwa, bo obie instytucje same wykluczyły ten kanał. e-TOLL deklaruje wprost, że nigdy nie wysyła SMS-ów z linkami do płatności. Mandaty w Polsce doręcza się osobiście albo listem, a nie SMS-em z linkiem. Jeśli więc taka wiadomość w ogóle do Ciebie dotarła, nie musisz analizować adresu strony — już wiesz, że to oszustwo.

Wart uwagi jest finał tej metody, bo pokazuje, jak przestępcy wyprzedzają nasze przyzwyczajenia. Zamiast pobrać 200 zł, próbują dodać Twoją kartę do portfela Google Pay na własnym telefonie. Bank wysyła powiadomienie autoryzacyjne, ofiara zatwierdza je odruchowo („przecież płacę ten mandat”) — i oddaje kartę do swobodnego użytku. Stąd nowy nawyk do wyrobienia: czytaj treść powiadomienia autoryzacyjnego, nie tylko klikaj „zatwierdź”. Szczegóły w fiszce o fałszywym mandacie i SMS-ach e-TOLL, a pokrewne warianty w fiszkach o dopłacie do paczki i fakturze za prąd.

Fałszywka na pierwszym miejscu w Google

Odruch „wpisuję nazwę banku w wyszukiwarkę i klikam pierwszy wynik” jest tak powszechny, że stał się osobnym wektorem ataku. Oszuści kupują link sponsorowany na nazwę banku, ich podróbka ląduje nad wynikami organicznymi, a użytkownik loguje się na stronie przestępców. CSIRT KNF publikował listy takich domen — warianty w rodzaju bank-nazwa.live czy nazwa-logowanie.live.

Skala jest przemysłowa. W 2023 r. CERT Polska zablokował 80 tys. szkodliwych domen, w tym 32 tys. związanych z fałszywymi inwestycjami — średnio ponad 250 nowych oszukańczych stron dziennie. Reklamodawcy reagują wolno: w teście CERT z 2024 r. na 122 zgłoszone fałszywe reklamy platformy usunęły zaledwie 10, czyli 8,2%. Przestępcy stosują przy tym cloaking — rozpoznają adresy IP analityków NASK czy KNF i pokazują im inną, niewinną wersję reklamy niż zwykłym użytkownikom.

Reguła obronna jest jednozdaniowa: do banku wchodź z zakładki albo wpisując adres ręcznie, nigdy z wyników wyszukiwania. Szerzej w fiszce o fałszywych reklamach w Google.

Numer telefonu jako klucz do wszystkiego

Ostatnia metoda nie jest nowa, ale w 2026 r. wyjątkowo boleśnie obnaża słabość polskiego systemu. SIM swap polega na wyłudzeniu od operatora duplikatu karty SIM — często na podstawie danych z wycieku i sfałszowanego dokumentu. Skutek: Twój telefon milknie, a przestępca odbiera Twoje SMS-y. Czyli także kody autoryzacyjne z banku.

Problem strukturalny wygląda tak: numer telefonu pełni u nas funkcję drugiego składnika logowania niemal wszędzie — w banku, w poczcie, w serwisach. Kto przejmie numer, przejmuje resztę. Upowszechnienie eSIM sytuacji nie poprawiło; im szybsza i prostsza wymiana karty, tym pobieżniejsza weryfikacja klienta.

Tu obrona wymaga jednorazowego wysiłku, ale działa trwale: hasło do konta abonenckiego u operatora (wymagane przy każdej wymianie karty), zastrzeżenie PESEL i — najważniejsze — zamiana kodów SMS na aplikację uwierzytelniającą wszędzie, gdzie się da. Ta ostatnia zmiana odbiera SIM swapowi sens. Szczegóły w fiszce o SIM swap.

Co z tego wynika

Trzy wnioski, jeśli miałbyś zapamiętać tylko tyle.

Po pierwsze: przestań oceniać po wyglądzie. Głos, twarz, logo, polszczyzna, adres w reklamie — wszystko to da się dziś podrobić w kilka minut. Wygląd przestał być dowodem czegokolwiek.

Po drugie: weryfikuj drugim kanałem. To jedno zachowanie rozbraja większość opisanych tu metod. Rozłącz się i oddzwoń sam. Wejdź na stronę banku z zakładki, nie z linku. Sprawdź zaległość na etoll.gov.pl, nie w SMS-ie. Oszustwo żyje w kanale, który wybrał przestępca — wystarczy z niego wyjść.

Po trzecie: zrób te trzy rzeczy zawczasu, zanim będą potrzebne. Zastrzeż PESEL. Ustaw hasło u operatora komórkowego. Przenieś logowanie z SMS-ów na aplikację uwierzytelniającą. Kilkanaście minut, a wycinają cały segment ataków.

Jeśli już padłeś ofiarą — kolejność działań, terminy i wzory zgłoszeń zebraliśmy w poradnikach co zrobić po oszustwie i gdzie zgłosić oszustwo. Szerszy obraz roli sztucznej inteligencji w oszustwach opisujemy w analizie AI w oszustwach i deepfake, a pełną mapę metod stosowanych w Polsce — w przeglądzie wszystkich metod oszustw.