CLI spoofing: dlaczego numer na wyświetlaczu kłamie i jak się przed tym bronić (2026)

CLI spoofing to podszycie się pod cudzy numer telefonu. Ofiara widzi na ekranie numer swojego banku, komisariatu albo urzędu skarbowego – i nie ma żadnego powodu, żeby wątpić. Cała reszta oszustwa buduje się na tym jednym, fałszywym fundamencie.

Ten poradnik wyjaśnia, dlaczego tak łatwo to zrobić, co polskie prawo z tym zrobiło od 2023 roku, dlaczego mimo przepisów problem nie zniknął i – przede wszystkim – co realnie możesz zrobić Ty.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Świadomie nie opisujemy, jak wykonać spoofing – wyjaśniamy mechanizm na tyle, żeby dało się go zrozumieć i rozpoznać, bez instrukcji do powtórzenia.

Skąd się to wzięło

Odpowiedź jest niewygodna: system telefoniczny nigdy nie był projektowany tak, żeby numer dzwoniącego dało się zweryfikować. Opierał się na zaufaniu między niewielką liczbą operatorów, którzy się nawzajem znali.

Amerykańska Federalna Komisja Łączności opisała to w decyzji z 2020 roku bardzo precyzyjnie:

„Technological advancements and marketplace developments in IP-based telephony have made caller ID spoofing easier and more affordable than ever before. (…) Driven in part by the rise of VoIP, the telecommunications industry has transitioned from a limited number of carriers that all trusted each other to provide accurate caller origination information to a proliferation of different voice service providers and entities originating calls, which allows consumers to enjoy the benefits of far greater competition but also creates new ways for bad actors to undermine this trust.”

Po polsku: kiedyś połączenia inicjowała garstka operatorów, którzy ufali sobie nawzajem i mieli po co dbać o reputację. Telefonia internetowa otworzyła tę bramę dla ogromnej liczby podmiotów – a model zaufania został ten sam. FCC dodaje wprost, że dawniej podszycie się pod numer wymagało zaawansowanej wiedzy i drogiego sprzętu, a dziś jest tanie i proste.

Dlaczego nie da się tego po prostu zakazać

To jest pytanie, które zadaje każdy: skoro podmiana numeru służy oszustom, dlaczego operatorzy jej nie wyłączą?

Bo podmiana numeru prezentowanego ma zastosowania całkowicie legalne i powszechne. FCC podaje wprost przykład:

„Spoofing has legal and illegal uses. For example, medical professionals calling patients from their mobile phones often legally spoof the outgoing phone number to be the office phone number for privacy reasons, and businesses often display a toll-free call-back number. Illegal spoofing, on the other hand, occurs when a caller transmits misleading or inaccurate caller ID information with the intent to defraud, cause harm, or wrongly obtain anything of value.”

Lekarz dzwoniący do pacjenta z prywatnej komórki wyświetla numer przychodni. Duża firma z setką konsultantów pokazuje jeden numer główny. Infolinia prezentuje numer bezpłatny. To wszystko jest podmianą numeru – i nikt nie chce jej zakazać.

Ta sama logika jest wpisana w polskie prawo. Ustawowa definicja mówi o „nieuprawnionym” posłużeniu się cudzą informacją adresową – a contrario, użycie uprawnione nie jest CLI spoofingiem w rozumieniu ustawy. Brytyjski regulator Ofcom nakazuje blokować połączenia z zagranicy z brytyjskim numerem „except in a limited number of legitimate use cases”.

Trzy niezależne systemy prawne mówią więc to samo: problem nie polega na tym, że podmiana numeru jest możliwa, tylko na tym, że trzeba odróżnić uprawnioną od oszukańczej – a to jest trudne i zawodne.

Co zrobiło polskie prawo

Od 25 września 2023 roku obowiązuje ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej. To ona po raz pierwszy nazwała spoofing po imieniu.

Definicja ustawowa

Artykuł 3 ust. 1 wymienia cztery zakazane nadużycia: generowanie sztucznego ruchu, smishing, CLI spoofing oraz nieuprawnioną zmianę informacji adresowej. CLI spoofing zdefiniowano tak:

„nieuprawnione posłużenie się lub korzystanie przez użytkownika lub przedsiębiorcę telekomunikacyjnego wywołującego połączenie głosowe informacją adresową wskazującą na osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej inną niż ten użytkownik lub przedsiębiorca telekomunikacyjny, służące podszyciu się pod inny podmiot, w szczególności w celu wywołania strachu, poczucia zagrożenia lub nakłonienia odbiorcy tego połączenia do określonego zachowania, zwłaszcza do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem lub instalacji oprogramowania”

Obowiązek operatora

Artykuł 16 mieści się w jednym zdaniu i jest bezwarunkowy:

„W celu zapobiegania i zwalczania CLI spoofing przedsiębiorca telekomunikacyjny blokuje połączenie głosowe albo ukrywa identyfikację numeru wywołującego dla użytkownika końcowego.”

Artykuł 19 dodaje, że operator ma stosować środki organizacyjne i techniczne służące monitorowaniu, wykrywaniu i wymianie informacji o spoofingu. Ustawa nie narzuca konkretnej technologii – szczegóły mogą być określone w porozumieniach z Prezesem UKE.

Wykaz numerów „tylko do odbierania”

To najbardziej pomysłowy element całej ustawy i wart osobnego wyjaśnienia.

Artykuł 17 nakazuje Prezesowi UKE prowadzić jawny wykaz numerów służących wyłącznie do odbierania połączeń głosowych, udostępniany w Biuletynie Informacji Publicznej. Wpis następuje na wniosek – i lista uprawnionych jest zamknięta:

• banki, oddziały banków zagranicznych i oddziały instytucji kredytowych,
• Krajowa SKOK i spółdzielcze kasy oszczędnościowo-kredytowe,
• firmy inwestycyjne, fundusze inwestycyjne i towarzystwa funduszy inwestycyjnych,
• instytucje płatnicze,
• zakłady ubezpieczeń i zakłady reasekuracji,
• jednostki sektora finansów publicznych,
• a osobno – operatorzy telekomunikacyjni, dla numerów własnych biur obsługi klienta i infolinii.

Mechanizm jest prosty i skuteczny: jeżeli bank zgłosi numer swojej infolinii jako „tylko do odbierania”, to każde połączenie wychodzące z tego numeru jest z definicji podrobione – i operatorzy mają je blokować. Ustawa daje im na to konkretny termin:

„Przedsiębiorca telekomunikacyjny świadczący usługę połączeń głosowych niezwłocznie, nie później niż w terminie 3 dni od dnia wpisu numeru w wykazie (…) blokuje połączenia przychodzące do jego sieci z wykorzystaniem numeru wpisanego w tym wykazie.”

Sam Prezes UKE ma 5 dni na dokonanie wpisu od otrzymania kompletnego wniosku, a wykaz zawiera numer wraz z datą wpisania i datą ewentualnego wykreślenia. Przepisy o wykazie weszły w życie sześć miesięcy po ustawie, czyli około marca 2024 roku.

Spoofing jest przestępstwem

Artykuł 31 przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat dla tego, kto w celu osiągnięcia korzyści majątkowej lub osobistej albo wyrządzenia szkody posługuje się cudzą informacją adresową, żeby nakłonić odbiorcę do przekazania danych, niekorzystnego rozporządzenia mieniem, instalacji oprogramowania albo podania haseł i kodów dostępu. W wypadku mniejszej wagi grozi grzywna, ograniczenie wolności albo pozbawienie wolności do roku. Analogiczny artykuł 30 dotyczy smishingu.

Osobno przewidziano kary pieniężne dla operatorów, którzy nie wykonują obowiązku blokowania. Co ciekawe, sankcja za niewykonanie artykułu 16 weszła w życie dopiero rok po samym obowiązku.

Dlaczego mimo przepisów problem nie zniknął

Tu trzeba być szczerym, bo optymistyczny poradnik byłby w tej sprawie szkodliwy.

Ani CERT Polska, ani banki nie twierdzą, że sprawa jest załatwiona. CERT Polska pisze wprost:

„Nie ufaj bezkrytycznie wyświetlanemu numerowi lub nazwie osoby dzwoniącej. Przestępcy są w stanie je sfałszować!”

Bank Pekao formułuje to identycznie: „Pamiętaj, przestępcy mają możliwość podszycia się pod dowolny numer telefonu.” To są komunikaty aktualne, publikowane po wejściu ustawy w życie.

Powodów jest kilka i warto je znać, bo tłumaczą, dlaczego ostrożność nadal jest po Twojej stronie.

Polska filtruje, ale nie uwierzytelnia

To jest różnica techniczna o realnych konsekwencjach. Polski model polega na wykrywaniu i blokowaniu – operator ma rozpoznać podejrzane połączenie i je zatrzymać. Skuteczność zależy więc od tego, co uda się rozpoznać.

Alternatywne podejście to uwierzytelnianie numeru: kryptograficzne podpisywanie informacji o dzwoniącym, tak żeby sieć odbiorcy mogła sprawdzić podpis. Tak działa amerykański STIR/SHAKEN, nakazany przez FCC wszystkim dostawcom usług głosowych do 30 czerwca 2021 roku:

„That technology, known as STIR/SHAKEN, allows voice service providers to verify that the caller ID information transmitted with a particular call matches the caller's number.”

System przewiduje trzy poziomy poświadczenia. Poziom A oznacza, że operator potwierdza tożsamość abonenta i jego prawo do numeru. Poziom B – tożsamość tak, numer nie. Poziom C oznacza tylko tyle, że operator jest punktem wejścia do sieci dla połączenia, które powstało gdzie indziej – „such as a call that originated abroad”.

I tu jest sedno: poziom C nie zawiera żadnego stwierdzenia o tożsamości dzwoniącego. Nawet w kraju, który wdrożył pełne uwierzytelnianie, połączenia z zagranicy pozostają słabym ogniwem.

Połączenia z zagranicy

Wszystkie trzy systemy – polski, brytyjski i amerykański – mają ten sam słaby punkt. Połączenie inicjowane poza krajem trafia do sieci krajowej przez bramę międzyoperatorską i traci znaczną część kontekstu. Ofcom nakazał operatorom blokowanie takich połączeń, gdy prezentują numer brytyjski, ale robi to z zastrzeżeniem wyjątków dla zastosowań uprawnionych – bo Brytyjczyk dzwoniący z zagranicy z brytyjską kartą SIM to sytuacja całkowicie normalna.

Wykaz obejmuje tylko część numerów

Wykaz UKE chroni numery, które zgłoszono – i tylko takie, których właściciel należy do zamkniętej listy uprawnionych podmiotów. Numer Twojej przychodni, szkoły, firmy kurierskiej czy sąsiada nie może się tam znaleźć. Oszust podszywający się pod te numery nie natrafi na tę barierę.

Jak rozpoznać, że numer jest podrobiony

Uczciwa odpowiedź brzmi: po samym numerze – nie da się. Nie ma na wyświetlaczu żadnej cechy, która odróżnia połączenie prawdziwe od podrobionego. Dlatego rozpoznawanie musi opierać się na treści rozmowy, nie na numerze.

Sygnał	Dlaczego to sygnał
Dzwoni numer infolinii banku	Infolinie zwykle służą do odbierania, nie do dzwonienia. Część z nich jest w wykazie UKE właśnie jako „tylko do odbierania”
Presja czasu	„Musimy działać natychmiast” wyłącza sprawdzanie. Prawdziwa instytucja poczeka, aż oddzwonisz
Prośba o kod z SMS-a, hasło albo PIN	Żaden bank o to nie prosi. To zasada bez wyjątków
Prośba o instalację aplikacji	Aplikacje zdalnego pulpitu oddają obcej osobie kontrolę nad urządzeniem
Polecenie przelania środków na „bezpieczne konto”	Takie konto nie istnieje. Policja i Związek Banków Polskich: „prawdziwy doradca nigdy o to nie poprosi”
Nakaz zachowania tajemnicy	Ma odciąć Cię od kogoś, kto powiedziałby: to oszustwo
Rozmówca zniechęca do oddzwonienia	To jedyna rzecz, która go demaskuje – dlatego będzie protestował
SMS „potwierdzający”, że dzwoni bank	mBank pisze wprost: „Nie wysyłamy SMS-ów, aby potwierdzić, że dzwonimy z mBanku”

Zwróć uwagę na jeden wzorzec odwrotny, opisany przez CERT Polska w raporcie za 2025 rok: czasem to nie oszust dzwoni do Ciebie, tylko SMS albo mail nakłania Cię, żebyś sam zadzwonił pod wskazany numer. CERT opisuje, że wspólnym elementem tych kampanii jest „próba nakłonienia odbiorcy do nawiązania kontaktu telefonicznego pod wskazanym numerem”, a w rozmowie pada prośba o instalację oprogramowania zdalnego dostępu. Wtedy numer jest prawdziwy – bo należy do oszusta – i żadna blokada nie zadziała.

Co realnie możesz zrobić

Zasada, która wystarcza w 99 procentach przypadków

Zdanie, które to kończy, brzmi: „Dziękuję, rozłączam się i oddzwonię na numer z mojej karty”. Nie musisz go uzasadniać. Prawdziwy pracownik uzna to za rozsądne. Oszust zacznie protestować – i to jest odpowiedź.

Weryfikacja doradcy w aplikacji bankowej

Trzy duże banki pozwalają sprawdzić tożsamość dzwoniącego bez rozłączania się. PKO BP formułuje to wprost: „Podczas rozmowy z pracownikiem banku powiedz, że chcesz zweryfikować jego tożsamość w aplikacji IKO”. Bank Pekao: „poproś o weryfikację jego tożsamości w PeoPay lub Pekao24 lub rozłącz się”. W mBanku konsultant wysyła powiadomienie sam.

Reguła obronna jest w mBanku sformułowana bez furtki: jeśli powiadomienia nie ma albo rozmówca twierdzi, że „nie może wysłać do Ciebie takiego powiadomienia, np. ze względu na problemy techniczne” – „jak najszybciej rozłącz się, aby uniknąć oszustwa”. „Problemy techniczne” to nie wymówka, tylko sygnał.

mBank dodaje jeszcze jedno zdanie, które rozbraja popularną sztuczkę: „Nie wysyłamy SMS-ów, aby potwierdzić, że dzwonimy z mBanku”. SMS „potwierdzający” tożsamość dzwoniącego jest tam z definicji fałszywy.

Wykaz UKE – lista numerów, z których nikt nigdy nie dzwoni

To narzędzie, o którym prawie nikt nie wie, a jest publiczne. Wykaz numerów przeznaczonych wyłącznie do odbierania połączeń – UKE nazywa go wykazem DNO – jest dostępny bez logowania:

• strona informacyjna: bip.uke.gov.pl/wykaz-dno/
• sama tabela z numerami: numeracja.uke.gov.pl/pl/orvc_tables

Instrukcja UKE mówi o wpisanych numerach wprost: „Z numeru wpisanego do wykazu nie można wykonać połączeń wychodzących – służy wyłącznie do odbierania połączeń.”

Logika jest odwrotna do intuicyjnej i właśnie dlatego użyteczna: obecność numeru w wykazie oznacza, że każde połączenie przychodzące z tego numeru jest podszyciem. Wykaz zawiera numer oraz daty wpisania i wykreślenia.

Nie udało nam się odczytać, ile numerów zawiera wykaz ani czy ma wyszukiwarkę – tabela ładuje się skryptem, a serwis UKE blokuje dostęp automatyczny. Sprawdź to sam w przeglądarce.

Ustawienia w telefonie

Android. W aplikacji Telefon od Google istnieje funkcja „Filtrowanie połączeń”, dostępna ścieżką Telefon → Więcej → Ustawienia → Spam i Filtrowanie połączeń. Można wybrać poziom: „Maksymalna ochrona”, „Średnia ochrona” albo „Podstawowa ochrona”, a na nowszych telefonach Pixel dostępne jest „Automatyczne filtrowanie połączeń”. Zastrzeżenie: opisy Google odnoszą się w dużej mierze do telefonów Pixel i nie potwierdziliśmy, że funkcja działa identycznie na wszystkich Androidach w Polsce.

iPhone. W polskim podręczniku Apple odpowiednia sekcja nosi nazwę „Klasyfikowanie i blokowanie połączeń”. Nie udało nam się odczytać dokładnej ścieżki w ustawieniach z oficjalnej dokumentacji, więc jej nie podajemy – zamiast zgadywać, poszukaj tej sekcji w podręczniku iPhone'a na stronie wsparcia Apple.

Aplikacje do identyfikacji dzwoniącego

Aplikacje pokazujące, „kto dzwoni”, zwykle wymagają dostępu do książki adresowej i przesyłają ją do dostawcy – razem z numerami Twoich znajomych, którzy na to nie wyrazili zgody. To realny koszt prywatnościowy.

Nie znaleźliśmy oficjalnego stanowiska UODO, CERT Polska ani UKE w tej sprawie, więc nie przypisujemy tej oceny żadnemu urzędowi i nie rekomendujemy żadnej konkretnej aplikacji. Sygnalizujemy tylko, że wybór nie jest darmowy.

Gdzie zgłosić podejrzane połączenie

Tu jest korekta wobec tego, co często się pisze – w tym wobec naszego wcześniejszego poradnika o oszustwie na pożyczkę.

Kanał	Co przyjmuje
Formularz incydent.cert.pl	Ma osobną kategorię „Podejrzany telefon”. Formularz prosi o pełne informacje o połączeniu, o to, za kogo podawał się rozmówca, i do czego nakłaniał. To właściwy kanał dla połączeń głosowych
SMS na numer 8080	Wyłącznie SMS-y. Ustawa mówi o zgłoszeniach „od odbiorców krótkich wiadomości tekstowych (SMS)”. Bezpłatnie. Połączenia głosowego tam nie zgłosisz
mObywatel, usługa „Bezpiecznie w sieci”	Zgłoszenie złośliwej strony, oszustwa lub innego zdarzenia
Twój bank	Jeśli rozmówca podszywał się pod bank – zgłoś to na oficjalnej infolinii. Banki prowadzą własne zespoły antyfraudowe
Policja	Gdy doszło do straty lub próby wyłudzenia. Spoofing jest przestępstwem z art. 31 ustawy

Zgłaszając, zapisz: numer, z którego dzwoniono, dokładną datę i godzinę, za kogo podawał się rozmówca i czego żądał. Jeśli przyszły maile z „dokumentami” – zachowaj je z nagłówkami, nie kasuj.

Jeśli prowadzisz firmę albo instytucję

Jeżeli Twoja organizacja należy do kręgu uprawnionych – bank, SKOK, firma inwestycyjna, fundusz, instytucja płatnicza, zakład ubezpieczeń, jednostka sektora finansów publicznych – możesz wpisać swój numer infolinii do wykazu UKE i sprawić, że nikt nie będzie się pod niego podszywał.

• Wniosek składa się do Prezesa UKE na jego adres do doręczeń elektronicznych.
• Trzeba go opatrzyć podpisem kwalifikowanym, zaufanym albo osobistym.
• Do wniosku dołącza się dokument potwierdzający prawo do dysponowania numerem.
• Prezes UKE dokonuje wpisu w 5 dni od otrzymania kompletnego wniosku, a operatorzy blokują połączenia w ciągu 3 dni od wpisu.
• Instrukcja: bip.uke.gov.pl/jak-uzyskac-wpis-w-wykazie-dno/

Warunek jest jeden i bezwzględny: z takiego numeru nie wolno wykonywać połączeń wychodzących. Jeśli Twoja infolinia oddzwania do klientów, potrzebujesz do tego osobnego numeru.

Najczęstsze pytania

Czy da się poznać po wyświetlaczu, że numer jest podrobiony?

Nie. Nie ma żadnej cechy odróżniającej. Dlatego rozpoznawanie opiera się na treści rozmowy – presji czasu, prośbie o kody, instalację aplikacji czy przelew – a nie na numerze.

Skoro jest ustawa, dlaczego wciąż do mnie dzwonią?

Bo polski model polega na wykrywaniu i blokowaniu, a nie na kryptograficznym uwierzytelnianiu numeru. Skuteczność zależy od tego, co operator rozpozna. Do tego dochodzą połączenia z zagranicy – słaby punkt każdego z systemów, również amerykańskiego STIR/SHAKEN, w którym połączenia spoza sieci dostają poświadczenie niezawierające żadnego stwierdzenia o tożsamości dzwoniącego.

Czy oddzwonienie na numer, który się wyświetlił, to dobry pomysł?

Nie jest to weryfikacja. Trafisz do prawdziwego właściciela numeru, który o niczym nie wie – a jeśli numer należy do oszusta, potwierdzisz mu, że odbierasz. Oddzwaniaj wyłącznie na numer znaleziony niezależnie.

Czy mogę żądać od operatora, żeby zablokował konkretny numer?

Nie zweryfikowaliśmy, czy i na jakich zasadach polscy operatorzy oferują taką usługę – nie udało się dotrzeć do stron produktowych. Zapytaj swojego operatora bezpośrednio. Pamiętaj przy tym, że blokada konkretnego numeru jest mało skuteczna wobec spoofingu, bo oszust zmienia prezentowany numer dowolnie.

Ile jest takich oszustw w Polsce?

Nie wiadomo. Raport roczny CERT Polska za 2025 rok nie zawiera ani słowa „spoofing”, ani „vishing”, a UKE nie publikuje statystyk zablokowanych połączeń w miejscach, do których dotarliśmy. Każda liczba podawana jako „oficjalna statystyka spoofingu w Polsce” wymaga sprawdzenia źródła.

Czy podszywanie się pod numer jest zawsze przestępstwem?

Nie. Karalna jest podmiana nieuprawniona i dokonana w konkretnym celu – korzyści majątkowej lub osobistej albo wyrządzenia szkody. Lekarz wyświetlający numer przychodni czy firma pokazująca numer główny nie popełniają przestępstwa.

Materiały powiązane

• Oszustwo na pożyczkę wziętą na Twoje dane – najczęstszy scenariusz, w którym spoofing jest wykorzystywany.
• Oszustwa bankowe i internetowe w Polsce: phishing, spoofing, fałszywy BLIK – szersze tło.
• Oszustwa na wnuczka i na policjanta – jak zdalnie chronić rodziców w Polsce.
• Klonowanie głosu i oszustwo na wnuczka – gdy głos w słuchawce brzmi znajomo.
• Jak zastrzec numer PESEL krok po kroku – gdy dane już wyciekły.

Stan na 28 sierpnia 2026 r. Materiał ma charakter informacyjny i nie stanowi porady prawnej. Świadomie zaznaczyliśmy, czego nie udało się potwierdzić u źródła: liczby numerów w wykazie UKE, statystyk skuteczności blokowania, usług antyfraudowych operatorów innych niż Orange, dokładnej ścieżki funkcji w iPhonie oraz istnienia unijnego odpowiednika amerykańskiego STIR/SHAKEN. Nie opisujemy też, jak wykonać spoofing – to poradnik obronny.