SIM swap - jak oszust przejmuje numer telefonu i konto bankowe? 2026
SIM swap to przejęcie numeru telefonu przez oszusta poprzez uzyskanie karty lub profilu SIM/eSIM przypisanego do numeru ofiary. Gdy atak się powiedzie, dotychczasowa karta może nagle stracić zasięg, a połączenia i SMS-y zaczynają trafiać do osoby atakującej. To szczególnie niebezpieczne, gdy numer służy do odzyskiwania haseł albo zatwierdzania logowania i operacji kodem SMS.
Sam numer telefonu nie otwiera automatycznie konta bankowego. SIM swap jest zwykle jednym z etapów większego oszustwa: przestępca wcześniej zdobywa część danych osobowych, hasło do poczty lub bankowości albo wykorzystuje procedurę odzyskiwania dostępu. Przejęty numer może później pomóc mu ominąć zabezpieczenie oparte na SMS-ach.
Jeżeli jednocześnie widzisz podejrzane logowania, wiadomości o zmianie SIM/eSIM lub operacje bankowe, nie czekaj. Skontaktuj się z operatorem z innego telefonu, zadzwoń do banku na oficjalny numer i zabezpiecz pocztę e-mail. W takim scenariuszu liczą się minuty.
Najważniejsza profilaktyka w Polsce: zastrzeż PESEL. Od 1 czerwca 2024 status PESEL jest sprawdzany także przed wydaniem kopii karty SIM. Sprawdź oficjalną usługę Zastrzeż PESEL →
Spis treści
- Co to jest SIM swap?
- Jak wygląda atak SIM swap – bez technicznego żargonu
- Po czym poznać, że ktoś przejął Twój numer?
- Dlaczego SIM swap zagraża kontu bankowemu?
- Co zrobić natychmiast po podejrzeniu SIM swap?
- Jak chronić się przed przejęciem numeru?
- Zastrzeżenie PESEL a duplikat karty SIM
- Czy eSIM chroni przed SIM swap?
- SMS jako 2FA – czy nadal jest bezpieczny?
- Najczęstsze błędy po utracie numeru
- FAQ – SIM swap i bezpieczeństwo numeru
1. Co to jest SIM swap?
Określenie SIM swap oznacza oszustwo polegające na przejęciu numeru telefonu poprzez uzyskanie nowej karty SIM lub profilu eSIM powiązanego z numerem ofiary. Komisja Nadzoru Finansowego opisuje ten mechanizm jako sytuację, w której atakujący posługuje się duplikatem karty należącej do ofiary, a jej dotychczasowa karta przestaje działać.
Urząd Komunikacji Elektronicznej od lat ostrzega, że przejęty numer może zostać wykorzystany m.in. do odbierania kodów SMS, odzyskiwania kont pocztowych i społecznościowych oraz prób przejęcia bankowości elektronicznej.
Ważne: SIM swap nie jest tym samym co fizyczna kradzież telefonu. Telefon możesz nadal mieć w ręku – problem polega na tym, że numer został „przeniesiony” na inną kartę lub profil.
2. Jak wygląda atak SIM swap – bez technicznego żargonu
Nie będziemy opisywać sposobów obchodzenia procedur operatora. Z punktu widzenia użytkownika wystarczy rozumieć cały łańcuch ataku. Najczęściej nie zaczyna się on od samej karty SIM, lecz od danych, które przestępca zdobył wcześniej – na przykład przez phishing, wyciek danych, przejętą skrzynkę e-mail albo rozmowę, w której ofiara podała zbyt wiele informacji.
Oszust zna numer telefonu i część informacji pozwalających podszyć się pod właściciela konta lub numeru.
Dochodzi do nieuprawnionej wymiany SIM/eSIM albo wykorzystania innej procedury prowadzącej do przejęcia numeru.
Dotychczasowa karta przestaje być aktywna. To jeden z najbardziej charakterystycznych sygnałów alarmowych.
Przejęty numer może zostać użyty w procesach odzyskiwania hasła lub tam, gdzie usługodawca nadal wysyła kody SMS.
Celem może być bank, poczta, social media, komunikator lub inne konto powiązane z numerem telefonu.
Dlatego ochrona przed SIM swap nie może ograniczać się do „pilnowania karty”. Trzeba chronić jednocześnie dane osobowe, konto operatora, pocztę e-mail i sposób uwierzytelniania.
3. Po czym poznać, że ktoś przejął Twój numer?
Najważniejszym sygnałem jest nagła utrata sieci komórkowej, której nie można wyjaśnić awarią, trybem samolotowym ani problemem z telefonem. Szczególnie niebezpieczna jest kombinacja kilku zdarzeń naraz.
Sam brak zasięgu nie oznacza automatycznie ataku. Może to być zwykła awaria. Jeżeli jednak utracie sieci towarzyszą alerty bezpieczeństwa, traktuj sytuację jak incydent do czasu wyjaśnienia.
4. Dlaczego SIM swap zagraża kontu bankowemu?
Numer telefonu przez lata stał się elementem cyfrowej tożsamości. Jest wykorzystywany do kontaktu, resetowania haseł, potwierdzania zmian na koncie i – w części usług – jako jeden z elementów uwierzytelnienia.
KNF zwraca uwagę, że jeśli jeden ze składników uwierzytelniania jest powiązany z numerem telefonu, przejęcie numeru może pomóc napastnikowi przechwycić kod SMS i zatwierdzić działanie, które sam wcześniej zainicjował.
To bardzo ważne rozróżnienie: SIM swap nie zastępuje hasła. Najgroźniejszy jest wtedy, gdy oszust ma już część danych logowania lub potrafi uruchomić proces odzyskiwania dostępu.
W Polsce dochodziło do realnych spraw karnych związanych z tą metodą. Centralne Biuro Zwalczania Cyberprzestępczości informowało w 2024 roku o akcie oskarżenia dotyczącym grupy podejrzanej m.in. o bezprawne uzyskiwanie dostępu do rachunków bankowych metodą SIM swap.
5. Co zrobić natychmiast po podejrzeniu SIM swap?
Jeżeli podejrzewasz przejęcie numeru, nie zaczynaj od długiego szukania przyczyny w ustawieniach telefonu. Najpierw zatrzymaj możliwość dalszego działania oszusta.
Użyj numeru ze strony operatora lub aplikacji, której autentyczności jesteś pewien. Zgłoś utratę działania karty, zapytaj, czy wykonano wymianę SIM/eSIM i poproś o zabezpieczenie numeru.
Zgłoś podejrzenie przejęcia numeru i poproś o zabezpieczenie bankowości zgodnie z procedurami banku. Jeśli widzisz nieautoryzowane transakcje, zgłoś je od razu.
Zmień hasło z bezpiecznego urządzenia, wyloguj nieznane sesje i sprawdź adresy oraz numery ustawione do odzyskiwania konta.
Zacznij od poczty, konta operatora, bankowości i menedżera haseł. Nie używaj tego samego hasła w kilku serwisach.
Usuń nieznane urządzenia, sesje, metody odzyskiwania oraz nowe numery lub adresy e-mail, których nie dodawałeś.
Próbę cyberoszustwa możesz zgłosić do CERT Polska. Jeśli doszło do kradzieży środków lub przejęcia tożsamości, skontaktuj się także z Policją.
Kontakt do banku i operatora znajdź samodzielnie na ich oficjalnej stronie, w oficjalnej aplikacji lub na dokumentach otrzymanych wcześniej.
6. Jak chronić się przed przejęciem numeru?
Nie istnieje pojedyncze ustawienie, które daje 100% ochrony. Najlepszy efekt daje kilka niezależnych zabezpieczeń. W SIM swap chodzi właśnie o to, aby przejęcie jednego elementu nie otworzyło automatycznie kolejnych drzwi.
Warto też zareagować na każdy nieoczekiwany komunikat o wymianie SIM, zmianie hasła lub dodaniu nowego urządzenia. Alert bezpieczeństwa, którego nie wywołałeś, nie jest czymś do odłożenia „na później”.
7. Zastrzeżenie PESEL a duplikat karty SIM
To jedna z najważniejszych zmian w ochronie przed SIM swap w Polsce. Oficjalny serwis mObywatel informuje, że przy zastrzeżonym numerze PESEL nie można otrzymać kopii karty SIM. Jeżeli rzeczywiście potrzebujesz duplikatu, musisz wcześniej czasowo lub bezterminowo cofnąć zastrzeżenie.
Zastrzeżenie i cofnięcie zastrzeżenia odbywa się w czasie rzeczywistym. W aplikacji mObywatel można też ustawić czasowe cofnięcie, po którym PESEL automatycznie zostanie ponownie zastrzeżony.
Zastrzeż PESEL – oficjalna usługa mObywatel →
8. Czy eSIM chroni przed SIM swap?
Nie w pełni. eSIM ma ważną zaletę: złodziej, który ukradnie telefon, nie może po prostu wyjąć z niego fizycznej karty i przełożyć jej do innego urządzenia. To realnie poprawia bezpieczeństwo przy kradzieży sprzętu.
SIM swap jest jednak innym problemem. Jeżeli przestępca zdoła oszukać proces uwierzytelniania po stronie operatora i doprowadzić do wydania nowego profilu, sam fakt używania eSIM nie musi go zatrzymać. Dlatego eSIM nie zastępuje zastrzeżenia PESEL, silnego hasła do konta operatora i dobrego 2FA.
Jeśli chcesz lepiej zrozumieć różnice między kartą fizyczną i cyfrową, zobacz nasz kompletny poradnik o eSIM.
9. SMS jako 2FA – czy nadal jest bezpieczny?
Uwierzytelnianie SMS-em jest zdecydowanie lepsze niż brak drugiego składnika, ale ma słaby punkt: bezpieczeństwo kodu jest powiązane z bezpieczeństwem numeru telefonu. Właśnie dlatego SIM swap jest problemem.
Kod trafia na numer telefonu, więc po przejęciu numeru może zostać odebrany przez napastnika.
Kod jest generowany w aplikacji i nie zależy od aktywnej karty SIM ani od odbierania SMS-ów.
Logowanie nie opiera się na kodzie wysyłanym na numer telefonu, więc przejęcie SIM nie daje tego składnika.
Do logowania potrzebny jest fizyczny klucz lub bezpieczny odpowiednik, niezależny od numeru telefonu.
Nie każda usługa pozwala wybrać metodę uwierzytelniania. Tam, gdzie masz wybór, nie zostawiaj SMS-a jako jedynej warstwy ochrony najważniejszych kont. W bankowości korzystaj z metod i ustawień bezpieczeństwa przewidzianych przez Twój bank.
10. Najczęstsze błędy po utracie numeru
11. FAQ – SIM swap i bezpieczeństwo numeru
Co to jest SIM swap?
To przejęcie numeru telefonu poprzez uzyskanie nowej karty SIM lub profilu eSIM przypisanego do numeru ofiary. Po skutecznym ataku jej dotychczasowa karta może przestać działać.
Czy sam numer telefonu wystarczy, żeby ukraść pieniądze z konta?
Nie. Sam numer zwykle nie daje dostępu do banku. Ryzyko rośnie, gdy oszust ma już dane logowania, dostęp do poczty albo potrafi uruchomić proces odzyskiwania konta i wykorzystuje przejęty numer jako dodatkowy element uwierzytelnienia.
Dlaczego po SIM swap telefon traci zasięg?
Gdy operator aktywuje nową kartę lub profil dla tego samego numeru, poprzednia karta może zostać dezaktywowana. Dlatego nagły brak usługi bez wyraźnej przyczyny jest jednym z ważnych sygnałów alarmowych.
Czy zastrzeżenie PESEL chroni przed SIM swap?
W Polsce zastrzeżony PESEL blokuje możliwość otrzymania kopii karty SIM w procesach objętych obowiązkiem weryfikacji rejestru. To bardzo ważna warstwa ochrony, ale nadal warto zabezpieczyć konto operatora, pocztę i 2FA.
Czy eSIM jest bezpieczniejszy od zwykłej karty SIM?
eSIM jest trudniejszy do fizycznego wyjęcia z telefonu, więc pomaga przy kradzieży urządzenia. Nie daje jednak pełnej odporności na oszustwo polegające na nieuprawnionym wydaniu nowego profilu.
Co zrobić, jeśli telefon nagle nie ma zasięgu?
Najpierw sprawdź, czy nie ma awarii operatora. Jeśli brak sieci łączy się z alertami o zmianie SIM, logowaniach lub operacjach bankowych, skontaktuj się z operatorem z innego telefonu i równolegle zabezpiecz bank oraz pocztę.
Gdzie zgłosić SIM swap?
Zgłoś sprawę operatorowi i – jeśli zagrożone są finanse – bankowi. Incydent cyberbezpieczeństwa możesz przekazać do CERT Polska przez incydent.cert.pl. Jeżeli doszło do przestępstwa lub utraty pieniędzy, zgłoś sprawę Policji.
Czy warto używać kodów SMS do logowania?
SMS jest lepszy niż brak 2FA, ale jest podatny na przejęcie numeru. Jeśli dana usługa pozwala, dla najważniejszych kont warto wybrać aplikację uwierzytelniającą, passkey lub klucz bezpieczeństwa.
