PrepGear

Jak sprawdzić, czy alert jest prawdziwy, skoro stara zasada przestała działać

Ekran telefonu z krótką wiadomością tekstową, widziany z góry na ciemnym tle, bez czytelnej treści

Przez lata zasada była jedna i łatwa do zapamiętania. Rządowe Centrum Bezpieczeństwa powtarzało ją w komunikatach o fałszywych SMS-ach:

„Przypominamy, że prawdziwe Alerty RCB nie zawierają linków ani prośby o kliknięcie w odnośnik.”

— RCB, komunikat z 16 września 2024 r.

Jeden znak, zero wątpliwości: jest link — to nie jest RCB.

31 lipca 2026 roku RCB wysłało ogólnopolski alert o treści:

„MSWiA: bądź przygotowany. Pobierz: poradnikbezpieczenstwa.gov.pl”

— RCB, Alert RCB — Poradnik Bezpieczeństwa, 31.07.2026

Czyli z linkiem. Prawdziwy alert wyglądał dokładnie tak, jak wcześniej opisywano podróbkę.

Drobiazg, który przyda się przy rozpoznawaniu podróbek: na ekranie telefonu alert przychodzi bez polskich znaków — „MSWIA: badz przygotowany”. Tak każe § 3 ust. 1 rozporządzenia (Dz.U. 2020 poz. 1527): treść ma być „bez znaków diakrytycznych”. RCB na własnej stronie publikuje wersję z diakrytykami.

Ten tekst nie jest o tym, czy była to dobra decyzja. Jest o czymś praktyczniejszym: skoro jeden prosty znak przestał wystarczać, czym go zastąpić. Poniżej jest algorytm, który działa niezależnie od tego, jak wyglądał ostatni alert.

Co to jest Alert RCB i co oznacza ten skrót

RCB to Rządowe Centrum Bezpieczeństwa — instytucja, która analizuje zagrożenia i rozsyła ostrzeżenia. Alert RCB to jej komunikat wysyłany SMS-em na telefony w zagrożonym rejonie. Poniżej kilka faktów o tym, jak on działa — bo zmieniają sposób patrzenia na taką wiadomość.

Kilka faktów, które zmieniają sposób patrzenia na taką wiadomość.

To zwykły SMS, nie żaden specjalny kanał. System wysyła osobną wiadomość na każde urządzenie z kartą SIM lub eSIM na wskazanym obszarze. Dyrektor RCB przygotowuje tekst o długości nie większej niż 306 znaków — tak stanowi rozporządzenie Rady Ministrów z 31 sierpnia 2020 r. (Dz.U. 2020 poz. 1527) — i wyznacza obszar geograficzny. Operatorzy mają obowiązek: „Operatorzy mają obowiązek niezwłocznego wysłania komunikatu do wszystkich użytkowników na określonym przez dyrektora RCB obszarze” — tak opisuje to FAQ RCB; sam obowiązek wynika z art. 21a ust. 3 ustawy o zarządzaniu kryzysowym. Twoja zgoda nie jest potrzebna.

Nie trzeba się zapisywać ani nic instalować. RCB pisze wprost: „Na alert RCB nie trzeba się zapisywać. Osoby, które znajdą się na obszarze potencjalnego zagrożenia, otrzymają na swój telefon komórkowy SMS z ostrzeżeniem” (FAQ RCB).

Najmniejszy obszar to powiat. „Najmniejszym obszarem, na który może być wysyłany Alert RCB, jest powiat.” Alert nigdy nie jest kierowany do twojej ulicy, osiedla ani konkretnego bloku.

Polska nie używa nadawania komórkowego. Cell broadcast — technologia, w której komunikat nadawany jest jednocześnie do wszystkich urządzeń w zasięgu stacji bazowej — w Polsce nie działa; według CERT Orange Polska „trwają analizy tego rozwiązania”. To analiza zespołu bezpieczeństwa operatora, a nie stanowisko urzędu — podajemy ją jako takie. Praktyczna różnica: alert dociera jako zwykły SMS, więc może przyjść z opóźnieniem i może się zgubić tak, jak każdy inny SMS.

Algorytm na miejsce starej zasady

Zamiast jednego znaku — pięć, które trudno podrobić naraz.

1. Nie klikaj. Wpisz adres ręcznie

To jedyna zmiana nawyku, jakiej wymaga nowa sytuacja. Jeśli w wiadomości jest adres strony, nie dotykaj go. Przepisz do przeglądarki samodzielnie.

Skopiowanie linku daje oszustowi całą przewagę: podobny adres, przekierowanie, strona łudząco podobna do rządowej. Przepisanie ręcznie tej przewagi go pozbawia — bo wtedy liczy się to, co wpiszesz ty, a nie to, co on przysłał.

Adresy rządowe kończą się na gov.pl. Sprawdź końcówkę, nie początek: poradnikbezpieczenstwa.gov.pl to domena rządowa, a gov-pl-poradnik.com — nie, mimo że zaczyna się podobnie.

2. Sprawdź u źródła, a nie w wiadomości

RCB samo wskazuje, gdzie weryfikować — w tym samym komunikacie z 16 września 2024 r., w którym przypomina o zasadzie z linkami: autentyczność otrzymanego alertu sprawdza się na oficjalnej stronie internetowej RCB oraz w jego profilach w mediach społecznościowych.

Prawdziwy alert zawsze ma odpowiednik na stronie RCB lub w jego profilach. Jeśli SMS jest, a na stronie RCB cisza — to nie RCB. Trzydzieści sekund.

3. Sprawdź zasięg wiadomości

Alert nie może być adresowany węziej niż powiat. Wiadomość, która zwraca się do mieszkańców konkretnej ulicy, osiedla albo „twojego budynku”, nie pochodzi z tego systemu. Ta sama zasada w drugą stronę: alert dotyczący całego kraju jest technicznie możliwy — 31 lipca taki właśnie był.

4. Sprawdź, o co cię proszą

Alert RCB informuje i instruuje. Nigdy nie prosi o:

  • podanie danych — PESEL, numeru dowodu, danych karty, hasła;
  • zalogowanie się gdziekolwiek;
  • opłatę, choćby symboliczną „za weryfikację”;
  • zainstalowanie aplikacji;
  • pilny kontakt pod podany numer.

Każde z tych żądań przesądza sprawę bez dalszej analizy. Nie ma sytuacji kryzysowej, w której państwo prosi cię SMS-em o numer karty.

5. Zwróć uwagę na presję czasu

Podróbki żyją z pośpiechu: „w ciągu 15 minut”, „natychmiast potwierdź”, „ostatnie ostrzeżenie”. Komunikaty służb mówią, co się dzieje i co robić, ale nie odliczają ci czasu na kliknięcie.

Co się stało 31 lipca i czego to uczy

Alert wysłano po tym, jak w nocy z 29 na 30 lipca 2026 doszło do naruszenia polskiej przestrzeni powietrznej, a mieszkańcy nie otrzymali wtedy dalszych instrukcji.

Reakcja na sam alert była ogromna. Rządowy serwis spowolnił pod obciążeniem — 150 tysięcy pobrań w ciągu jednej minuty, jak podała rzeczniczka MSWiA Karolina Gałecka. Ona też zaprzeczyła awarii: „Nie nastąpiła żadna awaria techniczna, żaden atak” — w rozmowie z TVN24, cytowanej przez Rzeczpospolitą. Wicepremier i minister cyfryzacji Krzysztof Gawkowski tłumaczył problemy bardzo dużą liczbą jednoczesnych wejść (CyberDefence24).

Dla czytelnika płyną z tego dwa wnioski praktyczne, niezależne od oceny decyzji.

Pierwszy: pobierz materiały wcześniej, nie w trakcie. Serwis, na który wszyscy wchodzą jednocześnie, zwalnia — nawet bez awarii i bez ataku. Poradnik warto mieć zapisany w telefonie, zanim będzie potrzebny.

Drugi: nie opieraj bezpieczeństwa na jednym znaku rozpoznawczym. Zasada „prawdziwy alert nie ma linku” była wygodna właśnie dlatego, że była jedna — i dlatego przestała działać w jednej chwili. Pięć kroków wyżej trzeba podrobić jednocześnie, a to znacznie trudniejsze.

Jedna rzecz do zrobienia teraz

Zapisz w telefonie zakładkę do oficjalnej strony RCB — rcb.gov.pl. Nie po to, żeby ją czytać codziennie — po to, żeby po następnym alercie nie szukać jej w wyszukiwarce, gdzie pierwsze wyniki mogą być reklamami.

Drugi adres wart zapisania to gov.pl/web/poradnikbezpieczenstwa — rządowy poradnik, o który chodziło w alercie z 31 lipca.

To zajmuje minutę i jest jedyną rzeczą z tego tekstu, której nie da się zrobić później.

Jeśli alert każe rozważyć wyjazd, pomocny będzie tekst zostać czy wyjechać — o tym, kiedy „uciekaj” jest złą odpowiedzią.

Ta strona liczy zapasy domowe i nie zastępuje komunikatów służb. Jeśli otrzymasz alert, pierwszeństwo mają polecenia w nim zawarte. Ile wody, żywności i prądu potrzebuje twoje gospodarstwo, policzysz w planerze.

Źródła

Wypowiedzi rzeczniczki MSWiA i ministra cyfryzacji pochodzą z relacji prasowych, a nie z komunikatów urzędowych — oznaczamy to wprost, bo różnica bywa istotna. Reszta twierdzeń opiera się na stronach rządowych i aktach prawnych.

Niektóre linki na tej stronie są linkami partnerskimi. Jeśli kupisz przez nie produkt, otrzymamy prowizję od sprzedawcy — cena dla ciebie się nie zmienia. Kolejność produktów nie zależy od wysokości prowizji; zasady opisujemy w Metodyce.