Wystarczy, że ktoś przekona pracownika salonu telekomunikacyjnego, że to on jest Tobą, i odbierze duplikat Twojej karty SIM. Od tego momentu wszystkie kody autoryzacyjne z banku, hasła resetowane przez SMS i powiadomienia z aplikacji trafiają do przestępcy. Ty zostajesz z wyłączonym telefonem i pustym kontem. SIM swapping to oszustwo, które w Polsce zabrało już ofiarom miliony złotych, a sprawy o tej kwalifikacji trafiają na wokandy coraz częściej. W tym wpisie wyjaśniamy, jak działa SIM swap, jakie przepisy ścigają sprawców i co realnie możesz zrobić, gdy padniesz ofiarą.
Na czym polega SIM swap i dlaczego tak skutecznie omija zabezpieczenia banku?
SIM swapping to oszustwo, w którym przestępca przejmuje Twój numer telefonu przez wyłudzenie duplikatu karty SIM u operatora. Cała operacja jest możliwa, ponieważ numer telefonu pełni dziś rolę uniwersalnego klucza do większości kont w sieci. Bank wysyła na niego kody autoryzujące przelewy. Skrzynka mailowa pozwala odzyskać hasło przez SMS. Konta w sklepach internetowych, mediach społecznościowych i aplikacjach do płatności traktują numer jak drugi dowód osobisty.
Mechanizm jest zwykle dwuetapowy. Najpierw sprawca zbiera Twoje dane: imię, nazwisko, PESEL, numer dokumentu, adres, czasem skan dowodu. Część informacji przestępca kupuje na czarnym rynku po wcześniejszych wyciekach, część zdobywa przez phishing, fałszywe ankiety, oszustwa na portalach ogłoszeniowych lub klasyczne wyłudzenia telefoniczne. Gdy ma już komplet, kontaktuje się z operatorem, podszywa pod Ciebie i prosi o duplikat karty SIM. Powołuje się przy tym na zgubienie telefonu, kradzież albo uszkodzenie karty.
Jeśli pracownik salonu nie zweryfikuje tożsamości dokładnie, wydaje duplikat. W tej samej chwili Twoja oryginalna karta przestaje działać. Z perspektywy ofiary wygląda to tak, jakby telefon nagle stracił zasięg, choć inni użytkownicy w okolicy normalnie korzystają z sieci. Pierwsza myśl to zwykle awaria. Tymczasem sprawca już resetuje hasło do bankowości, autoryzuje logowanie kodem SMS i zleca przelewy na rachunki słupów.
To, co czyni SIM swap szczególnie groźnym, to fakt, że atak omija dwuskładnikowe uwierzytelnianie oparte na SMS-ach. Ten mechanizm miał być dodatkową warstwą bezpieczeństwa, ale w starciu z przejętym numerem nie chroni właściciela konta.
Jak wygląda atak typu SIM swap krok po kroku?
Schemat ataku jest na tyle powtarzalny, że warto go znać. Wiedza o kolejnych etapach pomaga rozpoznać sygnały ostrzegawcze, zanim pieniądze opuszczą konto.
- Rekonesans danych. Sprawca zbiera Twoje dane osobowe z wycieków, mediów społecznościowych, fałszywych formularzy i nielegalnych baz w sieci. Im więcej szczegółów, tym łatwiej przekonać operatora.
- Wybór operatora i czasu. Przestępca sprawdza, u kogo masz numer, i wybiera moment, gdy salony są zatłoczone lub gdy pełnomocnictwa weryfikuje się szybciej (np. piątkowe popołudnia).
- Wyłudzenie duplikatu SIM. Wizyta w salonie z podrobionym dokumentem lub kontakt zdalny w przypadku operatorów udostępniających taką ścieżkę.
- Aktywacja duplikatu. Twoja karta zostaje wyłączona, działająca karta trafia do telefonu sprawcy.
- Przejęcie kont. Reset hasła do bankowości, poczty i mediów społecznościowych. Wszystkie kody autoryzacyjne trafiają do przestępcy.
- Wyprowadzenie środków. Przelewy na rachunki słupów, czasem kryptowaluty, czasem szybkie zakupy w internecie albo wypłaty BLIK-iem.
- Zacieranie śladów. Sprawca często usuwa powiadomienia mailowe o transakcjach i blokuje Ci dostęp do skrzynki.
Cała operacja od momentu wyłudzenia duplikatu do wyczyszczenia konta zajmuje zwykle od kilkudziesięciu minut do kilku godzin. Dlatego sygnał o utracie zasięgu należy traktować poważnie, zwłaszcza gdy nie spodziewasz się problemów technicznych z siecią.
Sygnały ostrzegawcze, że padasz ofiarą SIM swappingu
Atak SIM swap rzadko jest błyskawiczny. Zwykle zostawia ślady, które przy odpowiedniej czujności rozpoznasz na czas. Reakcja w ciągu pierwszych minut potrafi uratować zawartość konta.
- Nagła i całkowita utrata zasięgu. Telefon pokazuje „brak sieci” albo „karta SIM nieaktywna”, choć inni użytkownicy tego samego operatora w okolicy nie mają problemów.
- Nieoczekiwane wiadomości od operatora. SMS z informacją o aktywacji nowej karty SIM, mail z potwierdzeniem zmian na koncie abonenckim albo telefon od konsultanta z pytaniem o niedawno złożone zgłoszenie.
- Wylogowanie z aplikacji bankowej, poczty lub mediów społecznościowych. Komunikat o zalogowaniu z nowego urządzenia, prośba o ponowną weryfikację tożsamości.
- Maile o resetowaniu haseł, których nie inicjowałeś. Każda wiadomość typu „Twoje hasło zostało zmienione” powinna być sygnałem alarmowym.
- Brak powiadomień o transakcjach. Sprawcy często zmieniają preferencje powiadomień, żeby ofiara dowiedziała się o stratach jak najpóźniej.
Jeśli zauważysz dwa lub więcej takich sygnałów w krótkim odstępie czasu, działaj natychmiast. Czas to dosłownie pieniądze.
Kwalifikacja prawna SIM swap w polskim kodeksie karnym
SIM swapping, podobnie jak inne nowoczesne cyberprzestępstwa, nie ma jednego, dedykowanego przepisu. Polskie sądy kwalifikują takie czyny jednocześnie z kilku artykułów kodeksu karnego, co bezpośrednio przekłada się na wyższy wymiar kary i szerszy zakres odpowiedzialności sprawcy.
- Art. 286 kodeksu karnego — oszustwo. Klasyczne wprowadzenie w błąd w celu osiągnięcia korzyści majątkowej. W przypadku SIM swap wprowadzenie w błąd następuje wobec pracownika operatora, który wydaje duplikat karty osobie podającej się za właściciela numeru. Kara to pozbawienie wolności od 6 miesięcy do 8 lat. Przy mieniu znacznej wartości (powyżej 200 tysięcy złotych) sąd może zastosować art. 294 kk i orzec karę do 10 lat.
- Art. 287 kodeksu karnego — oszustwo komputerowe. Przepis obejmuje sytuacje, w których sprawca bez upoważnienia wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych. Gdy przestępca po przejęciu numeru loguje się do Twojej bankowości i autoryzuje przelewy, jego działanie wypełnia znamiona właśnie tego czynu. Sankcja: pozbawienie wolności od 3 miesięcy do 5 lat.
- Art. 267 kodeksu karnego — nielegalne uzyskanie informacji. Dotyczy bezprawnego uzyskania dostępu do informacji nieprzeznaczonych dla sprawcy, w tym przełamywania zabezpieczeń systemów teleinformatycznych. Logowanie do cudzej skrzynki mailowej, konta bankowego czy profili w mediach społecznościowych po przejęciu numeru spełnia te znamiona. Kara to pozbawienie wolności do 2 lat.
- Art. 190a § 2 kodeksu karnego — kradzież tożsamości. Przepis penalizuje podszywanie się pod inną osobę przez wykorzystanie jej wizerunku, danych osobowych lub innych informacji w celu wyrządzenia szkody majątkowej lub osobistej. W SIM swap to znamię realizuje się już na etapie wizyty w salonie operatora. Kara: pozbawienie wolności do 3 lat.
W praktyce jedno zdarzenie SIM swap to często zbieg kilku przepisów. Sąd może orzec karę z najsurowszego z nich, a sprawca odpowiada za pełny zakres skutków, w tym za szkodę majątkową. Poszkodowany ma prawo dochodzić zwrotu utraconych środków oraz zadośćuczynienia za naruszenie dóbr osobistych.
Odpowiedzialność banku i operatora telekomunikacyjnego
W sprawach o SIM swap pojawia się pytanie, kto poza sprawcą ponosi odpowiedzialność za stratę. Praktyka pokazuje, że właściwie poprowadzona sprawa pozwala odzyskać pieniądze nie tylko od przestępcy, ale także od podmiotów, które zawiodły w swoich obowiązkach.
- Operator telekomunikacyjny. Wydanie duplikatu SIM bez prawidłowej weryfikacji tożsamości może stanowić naruszenie obowiązków operatora wynikających z umowy abonenckiej oraz przepisów o ochronie danych osobowych. Jeśli pracownik salonu nie sprawdził dokumentu, zignorował niespójności w danych albo wydał duplikat osobie wyłącznie na podstawie znajomości PESEL i adresu, abonent ma podstawy do dochodzenia odszkodowania.
- Bank. Zgodnie z ustawą o usługach płatniczych, w razie nieautoryzowanej transakcji bank ma obowiązek niezwłocznie zwrócić środki posiadaczowi rachunku. Pojęcie „autoryzacji” jest tu rozumiane wąsko: jeśli to nie Ty potwierdziłeś przelew, transakcja nie jest autoryzowana, nawet jeśli wprowadzony został prawidłowy kod SMS. Bank może odmówić zwrotu tylko wtedy, gdy wykaże rażące niedbalstwo po Twojej stronie. Sam fakt korzystania z autoryzacji SMS nim niedbalstwem nie jest.
- Rzecznik Finansowy. W razie sporu z bankiem masz prawo skorzystać z procedury przed Rzecznikiem Finansowym. To bezpłatna ścieżka odwoławcza, którą warto wykorzystać przed wytoczeniem sprawy cywilnej.
Sprawy o SIM swap bywają złożone, bo równolegle toczą się postępowanie karne przeciwko sprawcom, postępowanie reklamacyjne w banku i ewentualny spór z operatorem. Każdy z tych torów rządzi się innymi regułami dowodzenia i terminami.
Co zrobić, gdy zauważysz, że padłeś ofiarą SIM swappingu?
Każda minuta zwłoki oznacza realne ryzyko, że pieniądze opuszczą Twoje konto. Działaj według ustalonej kolejności.
- Krok pierwszy. Zadzwoń na infolinię operatora z innego telefonu i zgłoś podejrzenie nieuprawnionej aktywacji duplikatu SIM. Poproś o natychmiastową blokadę numeru.
- Krok drugi. Skontaktuj się z bankiem i zgłoś podejrzenie nieautoryzowanych transakcji. Wnioskuj o blokadę bankowości elektronicznej, karty i wszystkich kanałów dostępu do konta. Złóż formalną reklamację na piśmie.
- Krok trzeci. Zmień hasła do skrzynki mailowej, mediów społecznościowych i kont, które były powiązane z numerem telefonu. Jeśli stracisz dostęp, skontaktuj się z pomocą techniczną tych serwisów.
- Krok czwarty. Zabezpiecz dowody. Zachowaj zrzuty ekranu, SMS-y, maile o resetach haseł, historię logowań, wyciągi bankowe. Wszystko może być potrzebne w postępowaniu karnym i reklamacyjnym.
- Krok piąty. Złóż zawiadomienie o popełnieniu przestępstwa w prokuraturze lub na komisariacie. Wskaż wszystkie kwalifikacje prawne i opisz szczegółowy przebieg zdarzeń.
- Krok szósty. Pobierz raport z BIK i sprawdź, czy na Twoje dane nie zostały wzięte żadne zobowiązania. SIM swap często idzie w parze z próbą zaciągnięcia szybkich pożyczek.
Im szybciej zareagujesz, tym większa szansa, że uda się zablokować transakcje albo cofnąć już wykonane przelewy.
Jak chronić się przed SIM swappingiem?
Pełne wyeliminowanie ryzyka nie jest możliwe, ale można je istotnie ograniczyć kilkoma decyzjami.
- Ustanów hasło abonenckie u operatora. Większość operatorów pozwala dodać dodatkowe hasło wymagane przy każdej zmianie na koncie, w tym przy wydaniu duplikatu SIM.
- Zrezygnuj z autoryzacji SMS na rzecz aplikacji. Tam, gdzie to możliwe, włącz uwierzytelnianie przez aplikację bankową, klucz sprzętowy lub generator kodów (np. Google Authenticator).
- Nie podawaj numeru telefonu w niesprawdzonych formularzach. Konkursy, ankiety i darmowe e-booki to częste źródła danych dla sprawców.
- Ogranicz informacje o sobie w mediach społecznościowych. Imię, nazwisko, data urodzenia i nazwa pracodawcy to wystarczający komplet do prób socjotechnicznych.
- Sprawdź ustawienia odzyskiwania konta. W skrzynce mailowej, mediach społecznościowych i bankowości upewnij się, że reset hasła nie odbywa się wyłącznie przez SMS.
- Reaguj na utratę zasięgu. Każde nagłe i nietypowe wyłączenie sieci warto skonsultować z operatorem.
- Monitoruj BIK i konto bankowe. Powiadomienia o każdej transakcji i regularny przegląd raportów kredytowych pozwalają szybciej wykryć nieprawidłowości.
Wdrożenie tych zasad zajmuje godzinę, a w razie ataku może uratować dorobek życia.
Kiedy potrzebujesz adwokata w sprawie o SIM swap?
Sprawy o SIM swap to splot trzech postępowań: karnego przeciwko sprawcom, reklamacyjnego z bankiem i często cywilnego z operatorem. Każde z nich wymaga innej strategii i innych dowodów. Bez wsparcia prawnego ofiary często rezygnują w połowie drogi, bo bank odmawia zwrotu pieniędzy, prokuratura umarza śledztwo „z powodu niewykrycia sprawcy”, a operator zasłania się procedurami.
Adwokat w sprawie o SIM swap pomoże Ci w:
- przygotowaniu zawiadomienia o przestępstwie z prawidłową, łączoną kwalifikacją prawną (art. 286, 287, 267 i 190a kk),
- reprezentacji jako pełnomocnik pokrzywdzonego w postępowaniu przygotowawczym i sądowym,
- dochodzeniu zwrotu środków od banku w trybie reklamacyjnym, a następnie cywilnym,
- prowadzeniu sporu z operatorem telekomunikacyjnym, gdy doszło do uchybień przy weryfikacji tożsamości,
- zaskarżeniu postanowienia o umorzeniu śledztwa, jeśli prokuratura zbyt szybko zamknęła sprawę,
- obronie osób oskarżonych o udział w SIM swap, w tym tzw. słupów, czyli osób udostępniających rachunki bankowe sprawcom bez świadomości celu.
Sprawy te wymagają znajomości prawa karnego, prawa bankowego i procedur telekomunikacyjnych. Dobrze poprowadzone postępowanie potrafi przesądzić, czy odzyskasz utracone pieniądze.
Co warto zapamiętać?
SIM swapping nie jest już zjawiskiem niszowym. To realne, masowo występujące oszustwo, w którym tracisz nie tylko pieniądze, ale też dostęp do tożsamości cyfrowej. Polskie prawo karne dysponuje narzędziami do ścigania sprawców na podstawie art. 286, 287, 267 i 190a kodeksu karnego, a poszkodowany ma realne szanse na odzyskanie środków od banku, operatora i samego przestępcy. Wymaga to jednak szybkiej reakcji, prawidłowo zabezpieczonych dowodów i konsekwentnego prowadzenia trzech równoległych postępowań.
Jeśli padłeś ofiarą SIM swap Kancelaria Adwokacka OWO Adwokaci pomoże Ci ułożyć strategię działania. Specjalizujemy się w prawie karnym, prowadzimy sprawy zarówno pokrzywdzonych, jak i osób oskarżonych w postępowaniach o oszustwa komputerowe oraz cyberprzestępczość. Działamy we Wrocławiu i Jeleniej Górze, a w razie potrzeby reprezentujemy klientów z całej Polski, także zdalnie i z zagranicy. Adwokat Artur Obarzanek prowadzi sprawę osobiście, bez obiecywania gotowych rozwiązań. Dostajesz uczciwą ocenę szans, indywidualną strategię procesową dopasowaną do Twojej sytuacji i kontakt na każdym etapie postępowania.
