SIM swap w Polsce: podmiana karty SIM i przeniesienie numeru

Przejęcie numeru telefonu nie zaczyna się od programu, anteny ani podejrzanego SMS-a. Zaczyna się od czynności urzędowej wykonanej za ciebie: wydania duplikatu karty SIM w salonie, aktywacji profilu eSIM na cudzym telefonie albo przeniesienia numeru, o które nigdy nie wnioskowałeś. Gdy operacja się udaje, numer przestaje być twój, a razem z nim odchodzą kody jednorazowe, połączenia weryfikacyjne i potwierdzenia z banku. Ten poradnik opisuje, jak atak wygląda w Polsce, co operator musi sprawdzić, zanim wyda kartę lub przeniesie numer, w jakiej kolejności reagować w pierwszej godzinie i jak zbudować dokumentację, której ani operator, ani bank nie będą mogli odrzucić zdaniem „to pan potwierdził”.

Czym jest SIM swap, a czym nie jest

SIM swap, czyli podmiana karty SIM, to zmiana faktycznego dysponenta numeru: karta fizyczna albo profil logiczny obsługujący linię trafia do osoby trzeciej. Nie ma tu kopiowania karty z twojej kieszeni ani łamania zabezpieczeń SIM. Jest nowa, ważna karta wydana przez operatora na ten sam numer i stara, wyłączona. Telefon pozostaje włączony, pokazuje zasięg i nadal pobiera dane przez Wi-Fi, ale połączenia i SMS-y już do niego nie docierają, bo trafiają gdzie indziej.

Warto oddzielić tę definicję od dwóch zjawisk, które w rozmowach o bezpieczeństwie mobilnym łatwo pomylić. Pierwsze to podszywanie się pod numer prezentowany rozmówcy, czyli spoofing. Prezes UKE, ostrzegając przed nadużyciami z podmianą kart SIM, wymienia obok niej usługę przekierowywania połączeń jako drugi mechanizm wykorzystywany w tych oszustwach, przy czym samo przekierowanie nie odbiera numeru, tylko przenosi ruch. Drugie to pasywny podsłuch radiowy typu IMSI catcher: słyszy się eter, ale nie przejmuje linii. Złośliwe oprogramowanie czytające powiadomienia to też nie SIM swap, choć efekt bywa podobny, bo kod trafia w te same ręce. Rozróżnienie nie jest akademickie, bo każdy z tych przypadków zostawia inne ślady i rozstrzyga się przed innym podmiotem.

Trzy drogi przejęcia numeru w Polsce

Operator udostępnia linię trzema kanałami i każdy ma swój słaby punkt. Wszystkie trzy łączy jedno wymaganie, które jest zarazem ich słabością: czynności musi dokonać abonent albo osoba z ważnym pełnomocnictwem. Kiedy operator nie potrafi tego wykazać, spór przestaje dotyczyć twojego słowa, a zaczyna dotyczyć jego procedury.

Duplikat karty w salonie

To droga najlepiej udokumentowana, bo zostawia ślad fizyczny: punkt sprzedaży, konkretnego pracownika, godzinę i prawie zawsze ślad po okazanym dokumencie. Błąd rzadko tkwi w regulaminie, częściej w wykonaniu: przyjęta kopia zamiast oryginału, dokument obejrzany bez porównania z twarzą, karta wydana, bo system nie wymagał niczego więcej. W sprawach, które kończą się dobrze dla klienta, operator najczęściej nie potrafi przedstawić ani kopii dokumentu, ani godziny aktywacji. Warszawski sąd w wyroku z 25 lipca 2025 r. (sygn. I C 1041/22) ustalił wprost, że pracownik pozwanego wydał duplikat karty osobie podającej się za abonenta i nie sprawdził jej tożsamości na podstawie dokumentu ze zdjęciem, mimo że taka weryfikacja była praktyką stosowaną w salonach sieci.

Profil eSIM na odległość

eSIM likwiduje okienko i weryfikację twarzą w twarz. Profil jest przekazywany kodem QR albo aktywowany zdalnie, a identyfikacja odbywa się kanałami cyfrowymi. To wygodne dla klienta i dla oszusta, któremu wystarczy przejść krok weryfikacji oparty niekiedy na danych już krążących w obiegu: numer dowodu, data urodzenia, adres, stara faktura. Pytanie do operatora nie brzmi „czy eSIM jest bezpieczna”, ale „jaka dokładnie weryfikacja poprzedza wgranie profilu i jaki zapis z niej zostaje”.

Przeniesienie numeru bez wniosku abonenta

Tutaj nie ma karty na twoje nazwisko. Jest umowa u innego dostawcy i numer, który zmienia właściciela. W Polsce to wariant szczególnie istotny, bo procedura jest szybka i sformalizowana: wystarczy numer do przeniesienia oraz dane abonenta, a nowy dostawca działa na podstawie pełnomocnictwa. Oszust nie musi cię przekonywać, musi tylko zawrzeć umowę w twoim imieniu.

Przenoszenie numeru po polsku: terminy, wnioski, koszty

Uprawnienie do zachowania numeru przy zmianie dostawcy wynika z art. 71 ust. 1 Prawa telekomunikacyjnego. Tryb określa rozporządzenie wykonawcze (Dz.U. 2018 poz. 2324, które zastąpiło rozporządzenie z 2006 r.): abonent składa wniosek o przeniesienie przydzielonego numeru bezpośrednio u nowego dostawcy, w formie pisemnej, elektronicznej lub dokumentowej. Nowy dostawca prowadzi całą sprawę, w tym rozwiązanie umowy u dotychczasowego operatora, a samo przeniesienie jest bezpłatne.

Terminy są krótkie i to one wyznaczają okno reakcji. Wniosek złożony osobiście w punkcie obsługi w sprawie numeru komórkowego nowy dostawca rozpatruje w ciągu 6 godzin roboczych, a złożony w inny sposób, na przykład pocztą, w ciągu 3 dni roboczych. Przeniesienie następuje nie później niż w ciągu 1 dnia roboczego od dnia wskazanego w umowie jako data rozpoczęcia świadczenia usług. Abonent zachowuje też prawo do przeniesienia numeru przez co najmniej miesiąc od rozwiązania dotychczasowej umowy. Dla osoby, której numer właśnie przejęto, płyną z tego dwa wnioski: potwierdzenie przeniesienia trzeba wychwycić natychmiast, a brak reakcji w ciągu jednego dnia roboczego oznacza, że numer jest już po drugiej stronie.

Rejestr zastrzeżeń numerów PESEL: polskie zabezpieczenie, o którym mało kto wie

Od 1 czerwca 2024 r. operator telekomunikacyjny ma obowiązek sprawdzić w rejestrze zastrzeżeń numerów PESEL, czy numer PESEL abonenta jest zastrzeżony, zanim wyda duplikat karty SIM lub jego odpowiednik cyfrowy. Podstawą są przepisy o ewidencji ludności (rozdział 3a) wprowadzone ustawą z 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości. Jeżeli numer jest zastrzeżony, operator ma odmówić wydania duplikatu. Rejestr prowadzi minister właściwy do spraw informatyzacji, zastrzeżenie jest bezpłatne, nie wymaga podania przyczyny i można je złożyć w urzędzie gminy, w aplikacji mObywatel, a także w banku lub w placówce operatora wyznaczonego.

To najskuteczniejsza pojedyncza czynność prewencyjna w polskich realiach, bo działa przed atakiem, a nie po nim: nawet oszust z twoimi danymi z wycieku nie dostanie duplikatu karty, jeśli PESEL jest zastrzeżony. Cena jest praktyczna: zastrzeżenie trzeba cofnąć, gdy sam chcesz załatwić sprawę wymagającą weryfikacji, na przykład podpisać umowę u operatora albo wziąć kredyt. Warto więc planować to jak blokadę, a nie jak ustawienie na zawsze.

Dlaczego numer stał się kluczem

Numer telefonu przestał być danymi kontaktowymi, a stał się czynnikiem uwierzytelniającym. Banki, komunikatory, portale społecznościowe, operatorzy płatności i urzędy używają go jako drugiego składnika albo kanału odzyskiwania dostępu. Rzecznik Finansowy, ostrzegając przed oszustwem z podmianą kart SIM, opisał typowy scenariusz: przestępca zna numer, dane osobowe i bankowe, wyłudza u operatora nową kartę, a następnie telefonicznie kontaktuje się z bankiem, podaje się za właściciela rachunku i zmienia hasła do bankowości internetowej. W sprawach prowadzonych przez Rzecznika przelewy były uwierzytelniane kodami, które bank standardowo wysyłał na numer telefonu klienta, a dwaj klienci stracili łącznie ponad 650 tys. zł.

Wniosek jest strukturalny: SMS nie jest bezużyteczny, jest zależny od trzeciego podmiotu, którego procedura może zostać obejściem. Dlatego odpowiedź na SIM swap nie polega na „lepszym chronieniu haseł”, tylko na zmniejszeniu liczby kont, których bezpieczeństwo opiera się na tym kanale, i na udokumentowaniu błędu tego, kto pozwolił go obejść.

Kaskada, w kolejności występowania

1. Utrata usługi. Brak zasięgu, połączenia wchodzące wprost do poczty głosowej, SMS-y, które nie przychodzą, albo wiadomość od operatora o przeniesieniu numeru. Część operatorów wysyła SMS potwierdzający przed wykonaniem przeniesienia: to najbardziej użyteczny sygnał w całym procesie i ostatnia szansa na zatrzymanie transferu.
2. Kody weryfikacyjne przestają przychodzić. Próby logowania do komunikatora, banku lub portali kończą się blokadą, bo kod idzie gdzie indziej. Każde takie niepowodzenie jest dowodem z datą po stronie serwera.
3. Hasła zmienione bez ciebie. Oszust resetuje komunikator, a potem konta, które się na nim opierają. Wiadomości „zmieniono hasło do twojego konta” znaczą, że wszedł.
4. Ruchy na pieniądzach. Przelewy, zakupy kartą, dodanie odbiorcy, podniesienie limitów. W aplikacji bankowej wiele z tych operacji potwierdza się drugim składnikiem, który oszust już kontroluje.
5. Podszywanie się pod ciebie wobec znajomych. Numer dodaje wiarygodności: prośba o pieniądze wysłana z twojej prawdziwej linii udaje się tam, gdzie sfałszowany e-mail zawodzi.
6. Nowe umowy i zobowiązania. Abonamenty na twoje dane, zamówienia, zmiany adresu, wnioski o dokumenty. Szkoda przestaje być natychmiastowa, a staje się długiem.

Pierwsza godzina

Odruchem jest dzwonienie do wszystkich naraz. Krótka sekwencja z zapisaną godziną każdego kroku daje lepszą dokumentację, bo każde zgłoszenie generuje numer, do którego będzie można się później odwołać.

1. Operator, żeby zablokować i cofnąć. Poproś o trzy rzeczy tymi słowami: blokada linii, anulowanie wszczętego przeniesienia numeru, przywrócenie karty na twoje nazwisko. Zapisz numer zgłoszenia, godzinę i identyfikator konsultanta. Jeśli usłyszysz, że przeniesienie zostało już wykonane, zażądaj daty i godziny wykonania oraz nazwy operatora przyjmującego.
2. Zastrzeżenie PESEL, jeśli jeszcze go nie ma. To zamyka drogę do kolejnego duplikatu w trakcie trwania sprawy. Zrobisz to w aplikacji mObywatel albo w urzędzie gminy, bezpłatnie.
3. Bank, pod numerem z tyłu karty. Nigdy pod numerem z wiadomości e-mail ani ze strony otwartej w pośpiechu. Poproś o zablokowanie instrumentów płatniczych, przegląd dostępów i wyciąg z datami operacji, których nie autoryzowałeś.
4. Główny komunikator i poczta. Zmień hasło z urządzenia, które nie korzysta z przejętej linii, zamknij wszystkie aktywne sesje, sprawdź reguły przekazywania i metody odzyskiwania. Niewidoczne przekierowanie wyjaśnia większość przypadków „nic już nie przychodzi”.
5. Konta z pieniędzmi i konta krytyczne. Nowe hasło, usunięcie numeru z metod odzyskiwania, dodanie drugiego składnika niezależnego od SMS-a.
6. Zgłoszenie. Samo nie zwróci pieniędzy, ale zamienia twoją relację w dokument z datą, którego ani bank, ani operator nie mogą zignorować.

Dowody, których należy żądać od operatora

W tego typu sprawie to operator ma logi. Wniosek musi więc być pisemny, konkretny i oparty na prawie dostępu z art. 15 RODO: dotyczy twoich danych, nie przysługi. Co warto wskazać: data i godzina wniosku o duplikat lub przeniesienie, użyty kanał (salon, telefon, strona, automat), okazane dokumenty i ich oznaczenie, dane pełnomocnictwa, nagranie rozmowy przy zawieraniu umowy, jeśli istnieje, zapis wgrania profilu eSIM oraz data aktywacji nowej karty.

Dwa zabiegi metodologiczne. Po pierwsze, sformułuj wniosek jako żądanie dostępu do danych, a nie jako reklamację: terminy i środki odwoławcze są inne, a brak odpowiedzi można zgłosić do Prezesa UODO. Po drugie, zachowaj potwierdzenie wysłania, bo data twojego wniosku jest datą, od której operator nie może już twierdzić, że o niczym nie wiedział. Skarga do UODO jest bezpłatna i składana online, a organ może skontrolować, jakie weryfikacje poprzedziły wydanie karty lub przeniesienie numeru.

Bank: co mówi ustawa o usługach płatniczych

Spór z bankiem po SIM swapie nie rozstrzyga się na pytaniu „czy kod został wpisany”, ale na pytaniu o uwierzytelnienie i dowód. Art. 46 ust. 1 ustawy o usługach płatniczych nakazuje dostawcy zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego, a w razie potrzeby przywrócić rachunek do stanu, w jakim byłby, gdyby transakcja nie miała miejsca. Wyjątek jest wąski: dostawca może odmówić, jeśli ma uzasadnione i udokumentowane przesłanki podejrzenia oszustwa i zawiadomi o tym na piśmie właściwe organy. Art. 45 ust. 1 i 2 przenosi ciężar dowodu na dostawcę: to on musi wykazać, że transakcja została uwierzytelniona, prawidłowo zarejestrowana i rozliczona oraz że nie doszło do zakłócenia technicznego, a samo zarejestrowanie użycia instrumentu nie wystarcza do udowodnienia autoryzacji. Odpowiedzialność za skutki posłużenia się utraconym instrumentem także rozlicza się według tych zasad, z zastrzeżeniem wyjątku umyślnego działania lub rażącego niedbalstwa użytkownika.

Praktyka sądowa układa się po stronie klienta. Sąd Okręgowy w Warszawie w sprawie XXV C 324/22 zasądził zwrot kwot wypłaconych po przejęciu numeru, uznając, że bank nie wykazał autoryzacji transakcji przez klienta. W sprawie I ACa 1511/18 bank został zobowiązany do zwrotu 86 860 zł, a w sprawie I C 746/21 sąd podkreślił, że dysponowanie kartą SIM nie jest równoznaczne z wolą dokonania przelewu. Prezes UOKiK również wskazywał w decyzjach, że ciężar wykazania autoryzacji spoczywa na banku, a nie na konsumencie. To argument, który warto przytoczyć, gdy bank odpowiada „potwierdził pan kodem”: pytanie dotyczy wtedy momentu i kanału uwierzytelnienia, nie twojej dobrej wiary.

Orzecznictwo dotyczące samego operatora

W sprawie I C 1041/22 sąd nie tylko ustalił, że duplikat karty wydano bez weryfikacji dokumentu tożsamości, ale też ocenił konsekwencje: skoro procedura w salonach przewidywała sprawdzenie dokumentu ze zdjęciem, brak takiego sprawdzenia jest samodzielnym uchybieniem, niezależnie od tego, jak przekonująco oszust się przedstawił. Dla poszkodowanego oznacza to dwie ścieżki równolegle: odpowiedzialność operatora za wadliwe wydanie karty i odpowiedzialność banku za brak należytego uwierzytelnienia transakcji. Obie można prowadzić w jednym postępowaniu, a ich połączenie jest zwykle skuteczniejsze niż wybór jednej.

Ścieżka reklamacyjna, krok po kroku

Jeden: reklamacja u dostawcy, na piśmie. Z numerem zgłoszenia, datami, żądaniem i załącznikami. Reklamację usługi telekomunikacyjnej dostawca rozpatruje w terminie 14 dni od jej złożenia (art. 106 Prawa telekomunikacyjnego); brak odpowiedzi w tym terminie oznacza co do zasady, że reklamację uważa się za uwzględnioną. To narzędzie niedoceniane i warto je wykorzystać świadomie, precyzyjnie formułując żądanie.

Dwa: Prezes UKE. Organ prowadzi postępowania w sprawie naruszenia przepisów Prawa telekomunikacyjnego i może nałożyć karę, a jego działania mają charakter nadzorczy, nie odszkodowawczy. Zgłoszenie nie zastępuje drogi cywilnej, ale dokumentuje skalę problemu i zwiększa nacisk na operatora.

Trzy: Rzecznik Finansowy. W sporze z bankiem to właściwa instytucja: wniesienie sprawy jest bezpłatne, wymaga wcześniejszej reklamacji, a efektem jest stanowisko, które bank zwykle bierze pod uwagę, choć nie jest ono wyrokiem.

Cztery: sąd. Dla wątku bankowego powództwo o zwrot nieautoryzowanej transakcji, dla wątku operatorskiego o należyte wykonanie umowy i naprawienie szkody. Sprawy te można połączyć, co pokazuje praktyka z Warszawy.

Wątek karny: jakie kwalifikacje, jakie zawiadomienie

SIM swap uruchamia kilka możliwych kwalifikacji z Kodeksu karnego i nie musisz wybierać sam: zawiadomienie opisuje fakty, a kwalifikację ustala prokurator. Najczęściej brane pod uwagę są nieuprawniony dostęp do informacji (art. 267 § 1 i 2 k.k.), oszustwo komputerowe (art. 287 § 1 k.k.), oszustwo (art. 286 § 1 k.k.) oraz podszywanie się pod inną osobę w celu wyrządzenia szkody majątkowej (art. 190a § 2 k.k.).

W praktyce złóż zawiadomienie o popełnieniu przestępstwa na policji lub w prokuraturze z papierową teczką: kopia reklamacji do operatora, numer zgłoszenia, wyciąg z rachunku z zakwestionowanymi operacjami, zrzuty ekranu z godzinami i jednostronicowa chronologia. Zawiadomienie możesz złożyć pisemnie lub przez ePUAP, a jeśli chodzi o incydent w sieci, dodatkowo warto zgłosić go do zespołu CERT Polska. Żadna z tych czynności nie zastępuje reklamacji u operatora: uzupełnia ją.

Prewencja uszeregowana według skuteczności

1. Zastrzeżenie numeru PESEL. Najsilniejsza pojedyncza czynność: blokuje wydanie duplikatu karty u każdego operatora, dopóki sam nie cofniesz zastrzeżenia.
2. Usunięcie numeru z metod odzyskiwania głównego komunikatora i kont finansowych. To najbardziej zmniejsza skalę szkody, bo przecina łańcuch między linią a resetami haseł.
3. Przejście na passkeys lub klucz bezpieczeństwa tam, gdzie usługa to umożliwia, a w pozostałych przypadkach na aplikację uwierzytelniającą. Kod generowany lokalnie nie przechodzi przez sieć komórkową.
4. Blokada przenoszenia numeru i dodatkowy kod weryfikacyjny u operatora, jeśli je oferuje, z potwierdzeniem, że obejmują także duplikaty i eSIM.
5. Obserwacja słabych sygnałów: SMS o przeniesieniu, niewyjaśniona utrata zasięgu, powiadomienie o aktywacji nowej karty. Telefon do operatora w tej chwili jest wart więcej niż reklamacja po trzech dniach.
6. Rozdzielenie zastosowań: jeden numer do kont wrażliwych, drugi do zakupów i rejestracji, żeby wyciek danych kontaktowych nie wystawiał linii, na którą przychodzą kody.

Co nie pomaga, albo pomaga niewiele

Wymiana karty SIM po fakcie niczego nie chroni, bo karta nie była wektorem. Zmiana numeru jest środkiem ograniczającym, nie rozwiązaniem: oszust nie potrzebuje nowego numeru, jeśli ma już dane i konta. Przywracanie telefonu do ustawień fabrycznych nie pomaga, a wręcz szkodzi, bo lokalne logi i zrzuty ekranu są dowodami. I wreszcie załatwianie sprawy wyłącznie telefonicznie, bez śladu pisemnego, oddaje drugiej stronie prawo do opowiedzenia tej historii po swojemu.

Zakres tego poradnika

Tekst opisuje procedury polskie i źródła publiczne: Prawo telekomunikacyjne, rozporządzenie o przenoszeniu numerów, ustawę o usługach płatniczych, Kodeks karny, przepisy o rejestrze zastrzeżeń numerów PESEL, komunikaty Prezesa UKE i Rzecznika Finansowego oraz orzeczenia sądów w takim zakresie, w jakim są publicznie dostępne. Nie jest to porada prawna dla konkretnej sprawy i nie obiecuje żadnego wyniku: terminy, wymagane dokumenty i rozstrzygnięcie zależą od stanu faktycznego, operatora i sądu. To, czego może być pewien, to kolejność czynności i rodzaj dowodów do zachowania, czyli ta część, która zależy wyłącznie od ciebie.