Gdy klient dostaje fałszywy SMS podszywający się pod sklep, pierwsze pytanie trafia do ciebie: „Czy to od was?”. Ktoś wkleja treść o dopłacie do przesyłki, zwrocie pieniędzy albo blokadzie konta i czeka na decyzję, czy kliknąć. Twój zespół nie zatrzyma wysyłki takich wiadomości, ale może sprawić, że klient dostanie jasną odpowiedź w minutę, a nie po godzinie domysłów.
Ten poradnik dotyczy reakcji obsługi: gotowego wzoru odpowiedzi, publicznej strony o tym, jak się kontaktujecie, zasady, czego nigdy nie żądacie, oraz zbierania zgłoszeń, które pokażą skalę kampanii. Na końcu znajdziesz oficjalne miejsca zgłaszania w Polsce, Wielkiej Brytanii, USA i Niemczech. Przykłady firm są fikcyjne.
Klient pyta, czy SMS jest od was: pierwsza odpowiedź
Klient nie potrzebuje wykładu o cyberbezpieczeństwie. Potrzebuje trzech informacji: czy wiadomość pochodzi od was, co ma teraz zrobić i gdzie sprawdzić stan zamówienia bez klikania w link. Jeżeli nie masz pewności, czy to wasza wysyłka, nie zgaduj. Napisz, że sprawdzasz, i do tego czasu poproś, żeby nie otwierał linku.
„Dzięki, że pytasz, zanim klikniesz. Ta wiadomość nie pochodzi od nas: nie wysyłamy SMS-ów z linkami do dopłat i nigdy nie prosimy o kod z SMS-a, PIN ani dane karty. Nie otwieraj linku. Stan zamówienia sprawdzisz, wpisując ręcznie adres naszego sklepu i logując się na konto. Możesz przekazać tego SMS-a na bezpłatny numer 8080 CERT Polska. Jeśli dane karty zostały już wpisane na tej stronie, od razu skontaktuj się z bankiem.”
Wzór dopasuj do tego, co naprawdę wysyłacie. Jeśli sklep wysyła SMS-y o statusie przesyłki, napisz, jak wyglądają: od jakiej nazwy nadawcy przychodzą i że nigdy nie zawierają prośby o płatność. Gotowy tekst zapisz jako wspólny szablon, a nie w notatkach jednej osoby; zasady budowy takich szkieletów opisuje poradnik o szablonach odpowiedzi w obsłudze.
Co sprawdzić w zgłoszeniu, zanim odpowiesz
Poproś o zrzut ekranu albo przepisaną treść, ale nigdy o przesłanie dalej linku do kliknięcia ani o dane, które klient podał na fałszywej stronie. Nie otwieraj linku z firmowego komputera, nawet żeby „tylko zobaczyć”. Do oceny wystarczy nadawca, treść i adres widoczny w wiadomości. Poniższa tabela pokazuje, jak operator fikcyjnego sklepu z akcesoriami rowerowymi może przełożyć sygnały na odpowiedź.
Przesuń tabelę w bok, aby zobaczyć wszystkie kolumny.
| Sygnał w wiadomości | Co to oznacza dla obsługi | Co odpowiedzieć |
|---|---|---|
| Link do domeny innej niż sklepu | Prawie pewne podszycie | To nie my, nie klikaj, sprawdź zamówienie na koncie |
| Prośba o dopłatę, kod lub dane karty | Niezgodne z waszą zasadą | Nigdy o to nie prosimy, przy podanych danych kontakt z bankiem |
| Poprawny numer zamówienia lub imię | Możliwy wyciek albo zgadywanie, sprawa dla właściciela | Sprawdzamy, wrócimy z odpowiedzią w tej rozmowie |
| Nazwa nadawcy taka jak wasza | Nie przesądza o autentyczności | Liczy się treść i adres, nie nazwa nadawcy |
Trzeci wiersz wymaga osobnej ścieżki. Jeśli fałszywa wiadomość zawiera prawdziwe dane zamówienia, przekaż sprawę osobie, która odpowiada za bezpieczeństwo danych, i nie spekuluj przy kliencie o przyczynie. Nazwa nadawcy nie potwierdza tożsamości, tak samo jak przy pytaniach na czacie; logikę potwierdzania osoby przez znany kanał opisuje poradnik o weryfikacji tożsamości przy zamówieniu.
Publiczny artykuł: jak się z tobą kontaktujemy
Najszybsza odpowiedź to taka, której klient nie musi zadawać. Opublikuj krótki artykuł „Jak się z tobą kontaktujemy” i linkuj go w stopce, w potwierdzeniu zamówienia i w odpowiedziach obsługi. Ma wymieniać wszystkie wasze kanały i jasno mówić, czego nie robicie. Pisz konkretnie: „nie wysyłamy linków do płatności SMS-em” daje klientowi kryterium, a „dbamy o bezpieczeństwo” nie daje żadnego.
- Adres strony i domeny, z których wysyłacie e-maile.
- Nazwa nadawcy SMS-ów, jeśli je wysyłacie, i ich jedyny cel.
- Lista danych, o które nigdy nie prosicie: kody z SMS-a, PIN, hasło, pełny numer karty.
- Informacja, że dopłaty do zamówienia widać tylko po zalogowaniu na konto w sklepie.
- Bezpieczny sposób sprawdzenia wiadomości: czat na stronie otwartej z ręcznie wpisanego adresu.
- Data ostatniej aktualizacji artykułu.
W obsłudze klienta Meetlead taki tekst opublikujesz jako artykuł Centrum pomocy w wersji polskiej, angielskiej i niemieckiej; klienci znajdą go w wyszukiwarce widgetu na twojej stronie. Przy aktywnym Meet AI opublikowany artykuł staje się też źródłem wiedzy asystenta, więc odpowiedź o waszych kanałach będzie zgodna z treścią strony. Jak dobierać tematy i sprawdzać, czy artykuł pomaga, opisuje tekst o bazie wiedzy i FAQ na stronie.
Zasada „nigdy nie prosimy” musi obowiązywać także na czacie
Publiczna obietnica działa tylko wtedy, gdy zespół jej nie łamie. Jeśli w artykule piszesz, że nie prosicie o kod z SMS-a ani dane karty, operator nie może o nie poprosić „wyjątkowo”, żeby szybciej zamknąć sprawę. Każdy taki wyjątek uczy klientów, że prośba o kod od „sklepu” bywa prawdziwa, a z tego korzystają oszuści.
Część zaniepokojonych klientów i tak wklei na czacie numer karty albo kod, żeby „udowodnić”, że to oni. Na ten moment potrzebujesz osobnej procedury, opisanej w poradniku o danych wrażliwych wklejonych na czacie. Tutaj wystarczy jedno zdanie w szablonie: „Nie potrzebujemy tych danych, nie wysyłaj ich nam ani nikomu, kto podaje się za nas”.
Jeden tag, żeby zobaczyć kampanię
Pięć podobnych pytań w ciągu jednego popołudnia to już sygnał, że ktoś wysyła wiadomości pod waszą nazwą do większej grupy. Żeby to zauważyć, wszystkie takie rozmowy muszą być oznaczone tak samo, niezależnie od tego, kto ma dyżur.
- Utwórz jeden tag.Na przykład „podszycie-sms”, z opisem, kiedy go używać. Nie twórz osobnych tagów na każdy wariant treści.
- Zapisz szczegóły w notatce.Godzina otrzymania, nazwa nadawcy, motyw wiadomości i domena z linku, bez danych osobowych klienta.
- Sprawdzaj liczbę oznaczonych rozmów.Właściciel tematu raz dziennie filtruje skrzynkę po tagu. Gwałtowny wzrost oznacza, że czas zaktualizować artykuł i baner na stronie.
- Przekaż zebrane domeny.Lista adresów z notatek trafia do osoby, która zgłasza fałszywe strony do odpowiednich instytucji.
Meetlead nie wykrywa phishingu i nie wysyła SMS-ów, ale w skrzynce przypiszesz tag do rozmowy, zobaczysz licznik jego użyć i przefiltrujesz rozmowy po kilku tagach naraz. Jak nazwać tag, żeby przetrwał dłużej niż jedną kampanię, pokazuje poradnik o tagowaniu rozmów i zgłoszeń. Przy dużej fali pytań przyda się też wspólna karta faktów i stały rytm aktualizacji, jak przy komunikacji awarii z klientami.
Gdzie zgłaszać fałszywe SMS-y i strony
Klientowi podaj jedno miejsce właściwe dla jego kraju, a sam zgłoś fałszywe strony, które zebrałeś z rozmów. Gdy ktoś stracił pieniądze, pierwszym krokiem jest kontakt z bankiem, a kolejnym zgłoszenie na policję. Tabela zbiera kanały potwierdzone na stronach instytucji; przed publikacją w artykule pomocy sprawdź je jeszcze raz, bo adresy i nazwy serwisów się zmieniają.
Przesuń tabelę w bok, aby zobaczyć wszystkie kolumny.
| Kraj | Fałszywy SMS | Fałszywa strona lub utrata pieniędzy |
|---|---|---|
| Polska | Przekazanie SMS-a na numer 8080 (CERT Polska), bezpłatnie w kraju | Formularz incydent.cert.pl; przy stracie pieniędzy bank i policja |
| Wielka Brytania | Przekazanie SMS-a na numer 7726, bezpłatnie | Zgłoszenie strony do NCSC; przy stracie pieniędzy Report Fraud lub Police Scotland |
| USA | Przekazanie SMS-a na 7726 (SPAM) | Skarga w ReportFraud.ftc.gov |
| Niemcy | Skarga do Bundesnetzagentur na niechciany SMS | Przy stracie pieniędzy lub podanych danych karty bank i policja |
Numer 8080 i formularz incydent.cert.pl opisuje rządowa baza wiedzy gov.pl, a numer 7726 i zgłaszanie stron w Wielkiej Brytanii NCSC. Źródła mówią, gdzie zgłaszać wiadomości; nie obiecują, że zgłoszona kampania zostanie zatrzymana w określonym czasie.
Alert FTC z 24 lipca 2025 r. o SMS-ach z fałszywym „zwrotem” od Amazona wskazuje 7726 i ReportFraud.ftc.gov. Niemiecki Bundesnetzagentur przyjmuje skargi na niechciane SMS-y. Żadne z tych źródeł nie opisuje obowiązków sklepu, którego nazwę wykorzystano.
Ten tekst nie jest poradą prawną. Jeśli fałszywa wiadomość zawierała prawdziwe dane klientów, oceń z osobą odpowiedzialną za ochronę danych, czy doszło do naruszenia i jakie obowiązki z tego wynikają.
Pytania o fałszywe wiadomości pod nazwą sklepu
Czy powinniśmy wysłać wszystkim klientom ostrzeżenie? Najpierw sprawdź skalę po tagu. Jedno lub dwa zgłoszenia zwykle wystarczy obsłużyć wzorem odpowiedzi i artykułem o kanałach kontaktu. Gdy pytań przybywa szybko, krótki komunikat na stronie i w newsletterze ma sens, pod warunkiem że powtarza te same zasady co artykuł. Nie dołączaj do ostrzeżenia linku, który wymaga podania danych.
Klient już zapłacił na fałszywej stronie. Czy sklep musi oddać pieniądze? Płatność trafiła do oszustów, nie do sklepu, więc to nie jest zwrot za wasze zamówienie. Odpowiedz z empatią, skieruj klienta do banku i na policję oraz potwierdź, czy jego prawdziwe zamówienie jest w porządku. Decyzję o ewentualnym geście dobrej woli podejmuje właściciel sklepu, nie operator na czacie.
