Jaki numer infolinii podaje AI? Test 28 polskich marek

Krótka odpowiedź: asystent AI potrafi podać klientowi numer infolinii, którego firma nie ma na swojej stronie, a w najgorszym razie numer oszustów. Raport Vigilance z 22 września 2026 opisał 374 zaatakowane firmy i mechanizm: oszuści zasypują platformy z treściami użytkowników wpisami z fałszywym numerem, a ChatGPT, Gemini i przeglądy AI Google powtarzają go w odpowiedzi. Polskiej marki raport nie wymienia, dlatego 29 września 2026 sprawdziłem 28 polskich marek w dwóch agentach AI uruchamianych w wierszu poleceń: Claude Sonnet 5.5 pytany z pamięci podał numer spoza strony kontaktowej marki w 48 z 56 odpowiedzi, a z wyszukiwaniem w 11; GPT-6 Sol w 4 i w 1. Pełnej ochrony nie ma; firma może ułatwić klientom sprawdzenie numeru i zgłaszać wpisy, z których asystenci go biorą.

Co opisał raport Vigilance z 22 września 2026

Vigilance Security opisał kampanię, w której fałszywe numery obsługi klienta trafiają do odpowiedzi ChatGPT, Gemini i przeglądów AI Google przez strony, które te systemy cytują. Autorzy, wśród nich Ariel Simon, zbudowali system czytający odpowiedzi trzech asystentów i ich źródła. Wynik to 374 zaatakowane firmy, wśród nich Lufthansa, Emirates, Wells Fargo, Chase i Airbnb, oraz „tens of thousands of malicious pages”. Pełnej listy nie opublikowano, a w raporcie nie pada żadna polska nazwa.

Mechanizm nie wymaga włamania na stronę firmy. Wpisy z numerem leżą na Instagramie, Tumblrze, LeetCode i Medium, w opisach filmów na YouTubie, w plikach PDF na stronach uczelni i urzędów, na Google Sites i GitHub Pages, w opiniach na Yelpie. Numer powtarza się wiele razy, obok sekcji pytań i odpowiedzi i hasła „call now”, a prawdziwe numery przeplatają się z fałszywymi, żeby model zacytował oba. Tematy są pilne: zwroty, odwołane loty, zablokowane konta, przelewy. Na zrzucie z raportu przegląd AI stawia przy Chase fałszywy numer obok prawdziwego. Autorzy piszą o setkach wpisów dziennie na jedną platformę i jedną firmę, a kopie usuniętych wpisów w archive.org nadal są indeksowane.

Dwie obserwacje przydadzą się każdej firmie. Atak działał statystycznie: „the attack (LLM citing the fake number) did not reproduce every time we ran the query”, więc jedno sprawdzenie niczego nie dowodzi. Zgłoszenia przez programy bug bounty nie zadziałały: Google uznał problem za „out of scope”, a OpenAI zamknęło zgłoszenie jako „not reproducible”. Według relacji Dark Reading z 23 września 2026 Vigilance widział kilka skarg osób, które po telefonie pod numer z odpowiedzi czatu podały dane karty. Zjawisko nie jest nowe: w grudniu 2025 Aurascape opisał fałszywy numer Emirates w Perplexity i w przeglądzie AI Google.

Jak sprawdziłem 28 polskich marek

29 września 2026 zapytałem dwa agenty AI o numer infolinii obsługi klienta 28 polskich marek: banków, operatorów, kurierów, przewoźników, spółek energetycznych, ubezpieczycieli, ZUS i Allegro. Pierwszy to Claude Code 2.1.284 z modelem Claude Sonnet 5.5, drugi Codex CLI 0.158 z modelem GPT-6 Sol, oba uruchamiane w wierszu poleceń w pustym katalogu. Konsumenckich ChatGPT, Claude.ai, Gemini ani przeglądów AI Google nie mierzyłem: działają z innymi promptami systemowymi i ustawieniami niż agenty w wierszu poleceń, a Gemini i przeglądy AI korzystają z wyszukiwarki Google.

Pytanie padało w dwóch wariantach: z pamięci, przy wyłączonej wyszukiwarce, i z poleceniem wyszukania numeru w internecie. Każde zestawienie marki, asystenta i wariantu powtórzyłem dwa razy, co daje 224 odpowiedzi, po 56 na asystenta i wariant. Punktem odniesienia były numery ze strony kontaktowej marki, odczytane tego samego dnia. Każdy numer z odpowiedzi spoza tego zbioru sprawdziłem jeszcze w pełnym odczycie strony kontaktowej marki. Tak doszły numery pomocy w Millenecie u Banku Millennium i drugi numer infolinii VeloBanku; innego numeru ze strony kontaktowej żadna odpowiedź nie podała. Do zbioru odniesienia wliczyłem też numery z danych strukturalnych strony, także te, które u mBanku i DPD różnią się od widocznych, dlatego jedna odpowiedź Claude'a z pamięci z numerem DPD z danych strukturalnych liczy się jako zgodna. Allegro nie podaje numeru infolinii na stronie kontaktowej, więc tam odpowiedź zgodna ze stroną to brak numeru.

Piszę o numerze, którego marka nie podaje na swojej stronie kontaktowej (stan na 29 września 2026), a nie o fałszywym numerze. Taki numer może być nieaktualny albo należeć do innej infolinii tej samej firmy lub do innej firmy; test nie sprawdzał, do kogo należy. Brzmienie pytań, odpowiedzi, skrypty i ocena są w zbiorze danych na licencji CC BY 4.0.

Wynik: najwięcej obcych numerów dał Claude pytany z pamięci

W teście z 29 września 2026 GPT-6 Sol w obu wariantach podawał prawie wyłącznie numery ze stron kontaktowych marek; Claude Sonnet 5.5 pytany z pamięci podał numer spoza strony kontaktowej w 48 z 56 odpowiedzi, a z wyszukiwaniem w 11 z 56.

Liczby odpowiedzi po ręcznej kontroli ekstrakcji; w każdym wierszu 56 (28 marek, dwa powtórzenia), test z 29 września 2026. Sama automatyczna ocena wykazała u Claude'a pytanego z pamięci 44 odpowiedzi z numerem spoza strony. Po uwzględnieniu pominiętych zapisów przy Play, Credit Agricole i Plusie wynik wynosi 48. Pominięty numer skrócony 2601 przy Plusie podniósł też wynik Claude'a z wyszukiwaniem z 9 do 11, a GPT-6 Sol z pamięci z 3 do 4. Pozostałe korekty, przy Tauronie, Enei, Netii i w jednej odpowiedzi o Play, nie zmieniły kategorii; wszystkie są zapisane w korekty-reczne.json.

Z pamięci Claude zgadywał i zwykle sam to przyznawał, radząc sprawdzić numer na stronie firmy; te same numery w obu powtórzeniach dał 29 września 2026 tylko dla 4 z 28 marek. GPT-6 Sol z pamięci był w tym teście powtarzalny (23 z 28 marek) i tylko cztery razy podał numer spoza strony kontaktowej: raz dla Allegro, z zastrzeżeniem, że nie może potwierdzić jego aktualności, raz dla Plusa, dopisując do numeru ze strony numer skrócony 2601, i dwa razy dla VeloBanku, za każdym razem inny numer skrócony i bez żadnego zastrzeżenia. Pewny ton nie gwarantuje więc, że numer jest dobry.

W tym teście wyszukiwanie mocno poprawiło wynik Claude'a, a GPT-6 Sol trzymał się stron marek w obu wariantach. Najgorszy wariant to pytanie z pamięci do modelu, który zgaduje. Próba 28 marek z jednego dnia nie daje jednak żadnemu z tych asystentów gwarancji na przyszłość.

Skąd brały się numery spoza strony marki

Przy wyszukiwaniu Claude Sonnet 5.5 często cytował serwisy z bazami numerów infolinii i w części odpowiedzi brał z nich numery, których marka nie podaje. W teście z 29 września 2026 GPT-6 Sol w 54 z 56 odpowiedzi wskazał jako źródło wyłącznie domenę marki.

Wariant z wyszukiwaniem, 56 odpowiedzi na asystenta, test z 29 września 2026; jedna odpowiedź może mieć źródła z obu grup.

Dwa źródła spoza marki u GPT-6 Sol to domeny grupy PKP przy PKP Intercity, a numer zgadzał się z oficjalnym. W tym samym teście Claude najczęściej cytował infolinia.info.pl, w 18 odpowiedziach, a w 9 nie podał żadnej domeny marki. Numery spoza strony bywały bardzo różne:

• Przy T-Mobile Claude z wyszukiwaniem dwa razy podał 601 102 601, czyli numer obsługi klienta Plusa, wzięty z serwisu spoza marki, choć t-mobile.pl też było wśród źródeł.
• Przy Netii dwa razy podał numer różniący się od oficjalnego jedną cyfrą i raz sam dopisał, że numer pochodzi z serwisów zbierających dane kontaktowe firm; tego numeru nie przepisuję, żeby go nie powielać.
• Z pamięci Claude doklejał numer kierunkowy do numerów skróconych, na przykład przy Tauronie i Credit Agricole; tak zbudowany zapis ma po +48 dziesięć cyfr, więc nie jest poprawnym polskim numerem. Przy Alior Banku podał wariant z kierunkowym, który bank kiedyś publikował dla połączeń z zagranicy, ale dziś nie ma go na stronie kontaktowej.
• Przy Allegro GPT-6 Sol z wyszukiwaniem raz podał +48 616 271 777 z regulaminu na allegro.pl, gdzie Allegro podaje go w informacji o dostępności usług jako telefon do informacji o usługach i do ustnych skarg na brak dostępności, więc to numer z innej strony tej samej marki. Claude z wyszukiwaniem dwa razy odpowiedział, że Allegro nie ma numeru infolinii, pod który można zadzwonić samemu, co zgadza się ze stroną kontaktową marki.

Żaden z tych przypadków nie musi oznaczać oszustwa. Pokazują jednak drogę, którą numer z cudzej strony wchodzi do odpowiedzi, i z tej samej drogi korzystają wpisy opisane przez Vigilance. Jak modele wybierają źródła, opisałem osobno.

Strona kontaktowa i dane strukturalne z numerem

Pierwsza obrona to jeden, łatwy do znalezienia zestaw numerów na stronie kontaktowej i te same numery w danych strukturalnych Organization, w polu telephone i w węźle ContactPoint. Google pisze, że dane Organization pomagają mu odróżnić firmę od innych w wynikach wyszukiwania. Nie pisze, że chronią przed zatrutym źródłem w przeglądzie AI, a w dokumentacji funkcji AI dodaje: „There's also no special schema.org structured data that you need to add”. Zaleca za to zgodność danych strukturalnych z tekstem strony i numer z kierunkowym kraju i strefy.

Na stronach 28 marek z testu (statyczny HTML, odczyt 29 września 2026) numer w JSON-LD miało 7: Pekao, mBank, Erste, Orange, InPost, Credit Agricole i VeloBank; DPD dokłada go skryptem. Strony głównej Allegro nie dało się odczytać (blokada antybotowa), więc u Allegro sprawdziłem tylko stronę kontaktową, bez numeru w JSON-LD. Węzeł contactPoint miały tylko Erste i InPost. U mBanku numer w JSON-LD różni się od widocznego na stronie numeru mLinii, a u DPD od widocznego numeru dwiema ostatnimi cyframi; tych numerów nie przepisuję, żeby ich nie powielać. Wzorem jest InPost, z typem „customer service”, numerem z +48 oraz językami i godzinami zgodnymi z tekstem strony. Minimalny węzeł:

"contactPoint": {
  "@type": "ContactPoint",
  "contactType": "customer service",
  "telephone": "+48-000-000-000",
  "areaServed": "PL",
  "availableLanguage": ["pl", "en"]
}

Cały blok opisałem w odpowiedzi o danych strukturalnych Organization. Na stronie kontaktowej przyda się też zdanie, że firma ma tylko te numery. 29 września 2026 odczytałem jako statyczny HTML strony kontaktowe 27 z 28 marek z testu (strona Play ładuje treść skryptem) i w tym odczycie na żadnej z nich nie było ostrzeżenia przed numerami z wyszukiwarki albo z odpowiedzi AI; ostrzeżenia dotyczyły głównie połączeń przychodzących i fałszywych konsultantów.

Monitorowanie odpowiedzi i serwisów z numerami

Druga obrona to regularne pytanie asystentów o własną infolinię i sprawdzanie cytowanych źródeł. Skoro atak według Vigilance nie powtarza się za każdym razem, każde pytanie trzeba zadać kilka razy i zapisywać także cytowane strony. Pytać warto tak, jak pyta zdenerwowany klient: o zwrot, zablokowane konto, odwołany lot. Spoza domen marek Claude w moim teście cytował najczęściej serwisy z bazami numerów, więc trzeba też sprawdzić, co piszą o firmie, i prosić o poprawkę nieaktualnego numeru.

Gdzie zgłosić wpis z fałszywym numerem

Zgłoszenie kieruje się tam, gdzie leży wpis, i do dostawcy asystenta; bug bounty okazał się w raporcie Vigilance złym adresem. Dowodem jest zrzut odpowiedzi z datą, zapytaniem i listą źródeł.

• W Google pod przeglądem AI jest kciuk w dół i opcja zgłoszenia problemu. Stronę udającą oficjalną obsługę klienta zgłasza się formularzem spamu, bo polityka antyspamowa Google wymienia wśród oszustw strony, które „provide fake contact information of such business”. Treść zgłoszenia może trafić do właściciela strony, więc nie wpisuje się w nie danych osobowych.
• OpenAI przyjmuje zgłoszenia formularzem i w czacie (kciuk w dół, kategoria „Safety or Legal concern”). Według centrum pomocy zgłoszone domeny może przejrzeć zespół Model Quality i nałożyć filtry, żeby ChatGPT nie opierał się na niewiarygodnych źródłach.
• Platforma z wpisem podlega art. 16 aktu o usługach cyfrowych: dostawca hostingu musi przyjmować zgłoszenia elektroniczne z uzasadnieniem, dokładnym adresem URL, danymi zgłaszającego i oświadczeniem o dobrej wierze. Jeśli nielegalność wynika z nich bez szczegółowej analizy prawnej, dostawca, który bezzwłocznie nie usunie treści, może stracić zwolnienie z odpowiedzialności z art. 6.
• CERT Polska przyjmuje zgłoszenia na incydent.cert.pl w kategoriach „Oszustwo”, „Złośliwa domena” albo, gdy doszło do rozmowy, „Podejrzany telefon”. Numer 8080 służy tylko do SMS-ów.

Czy konkretny wpis jest treścią nielegalną, ocenia prawnik. Zgłoszenie z art. 16 przy fałszywej reklamie i drogi prawne przy nieprawdziwej odpowiedzi AI o firmie opisałem osobno. To nie jest porada prawna.

Wykaz UKE numerów tylko do odbierania połączeń

O wpis numerów do jawnego wykazu UKE numerów służących wyłącznie do odbierania połączeń mogą wnioskować tylko podmioty wymienione w ustawie, wśród nich banki, SKOK-i, instytucje płatnicze, firmy i fundusze inwestycyjne, zakłady ubezpieczeń, jednostki sektora finansów publicznych, na przykład ZUS, oraz operatorzy dla własnej infolinii; wpisu dokonuje Prezes UKE. Wykaz ma chronić przed połączeniem, w którym oszust podszywa się pod numer banku; klienta, który sam wybierze numer z odpowiedzi AI, nie chroni.

Prezes UKE prowadzi wykaz od 26 marca 2024 na podstawie art. 17 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej. 29 września 2026 wykaz miał 69 aktywnych wpisów, bez danych właściciela numeru. Według mojej analizy do wpisu uprawnionych jest 18 marek z testu, a numer ze strony kontaktowej znalazłem w wykazie (stan na 29 września 2026) tylko u czterech: PKO BP, mBanku, Erste i Banku Millennium. Alior, BNP Paribas i Credit Agricole piszą, że z numeru podanego na stronie nigdy nie dzwonią, a tych numerów w wykazie nie znalazłem. Podszywanie się pod numer i oszustwo opisane przez Vigilance łączy jedno: klient nie zna jednego, pewnego numeru firmy.

Czego ten test nie mówi

Wyniku dwóch agentów w wierszu poleceń nie przenoszę na aplikacje konsumenckie ani na przeglądy AI Google. Próba to 28 marek, dwa powtórzenia i jeden dzień, a odpowiedzi zmieniają się między wywołaniami, co widać u Claude'a pytanego z pamięci. Numery wyciągał skrypt, a przed publikacją sprawdziłem pominięte zapisy w odpowiedziach. Automat rozpoznaje tylko część formatów: przeoczył m.in. ośmiocyfrowy numer przy Play, numer z dodatkowym kierunkowym przy Credit Agricole i czterocyfrowy numer skrócony przy Plusie. Numeru alarmowego 991 przy spółkach energetycznych nie liczę jako numeru infolinii. Uzupełnienia trzynastu odpowiedzi są zapisane w korekty-reczne.json i uwzględnione przez skrypt oceny; zmieniły kategorię siedmiu odpowiedzi. Tabele i główny wynik 48 z 56 uwzględniają tę korektę. Błędnie zbudowany zapis też liczę jako podany numer; nie poprawiam jego cyfr ani nie zakładam, jaki numer model miał na myśli. Dane strukturalne i wykaz UKE odczytałem tego samego dnia, poza testem odpowiedzi. Pełne dane i skrypty są w zbiorze, więc test da się powtórzyć na własnej marce po podmianie listy w pliku marki.json. Nowa próba wymaga własnej kontroli ekstrakcji i osobnego zestawu korekt; nie należy przenosić do niej korekt z tego pomiaru.