Metody wyłudzeń z konta: jak rozpoznać i się chronić

Ważne: Materiał informacyjny i edukacyjny, nie porada prawna. Zasady bezpieczeństwa i sposoby zgłaszania sprawdzaj u źródeł: CERT Polska, KNF, Ministerstwo Cyfryzacji oraz na stronie swojego banku.

Banki inwestują w zabezpieczenia, więc oszuści atakują najsłabsze ogniwo — człowieka. Z danych BIK wynika, że z próbą wyłudzenia zetknęła się już blisko połowa klientów instytucji finansowych. Poniżej najczęstsze metody, sygnały ostrzegawcze i to, jak się bronić. Ogólne zasady ochrony konta opisujemy w poradniku bezpieczeństwo konta bankowego — tu skupiamy się na rozpoznawaniu konkretnych oszustw.

Najczęstsze metody oszustów

Spoofing telefoniczny — „dzwonię z banku”

Oszust dzwoni, a na ekranie wyświetla się prawdziwy numer infolinii banku (numer da się podszyć). Podaje się za pracownika i straszy: „wykryliśmy podejrzaną transakcję”. Sygnał ostrzegawczy: prośba o hasło, kod z SMS lub o „zabezpieczenie środków”.

Vishing — „przenieś pieniądze na konto techniczne”

Rozwinięcie spoofingu: rzekomy konsultant (czasem „z działu bezpieczeństwa” albo „policji”) namawia, by przelać środki na konto techniczne/depozytowe „na czas blokady”. Takie konto nie istnieje — to rachunek oszusta.

Phishing SMS (smishing)

Krótki SMS z linkiem: dopłata do paczki, niedopłata za prąd, „zwrot podatku”, fałszywe powiadomienie KSeF. Link prowadzi do fałszywej bramki płatności lub strony logowania. Sygnał: pilność + link + prośba o dane karty/logowania.

Phishing e-mail i fałszywe strony logowania

E-mail „z banku” z linkiem do strony łudząco podobnej do prawdziwej. Wpisane tam login i hasło trafiają do oszusta. Sygnał: adres nadawcy i URL tylko z pozoru poprawne (literówki, inna domena).

Oszustwo na BLIK

Przejęte konto na komunikatorze i wiadomość „pożycz szybko przez BLIK”. Kod BLIK to narzędzie do Twoich płatności — podany komuś pozwala wypłacić Twoje pieniądze.

Aplikacja zdalnego dostępu

„Aby zabezpieczyć konto, zainstaluj aplikację” — w rzeczywistości to AnyDesk/TeamViewer, które dają oszustowi podgląd i kontrolę nad telefonem. Bank nigdy nie prosi o instalację takich programów.

Fałszywe inwestycje i „okazje”

Reklamy z wizerunkiem znanych osób (często deepfake), obietnice „gwarantowanych” wysokich zysków, kontakt „opiekuna inwestycji”. Cel: skłonić do wpłat i instalacji aplikacji. Więcej o czerwonych flagach — w sekcji antyoszustwowej poradnika bezpieczne oszczędzanie dla seniora.

Złota zasada — czego bank NIGDY nie robi

Bank nie prosi (telefonicznie, SMS-em ani mailem) o:

• pełne hasło do bankowości ani kod BLIK,
• kod autoryzacyjny z SMS,
• dane karty (numer, data, CVV),
• przelew na „konto techniczne / bezpieczne”,
• instalację aplikacji „zabezpieczającej”.

Jeśli ktoś o to prosi — to oszustwo, niezależnie od tego, jaki numer się wyświetla.

Jak sprawdzić, że to naprawdę bank

Najpewniejszy sposób to weryfikacja konsultanta w aplikacji:

• IKO (PKO Bank Polski) — podczas rozmowy dostajesz powiadomienie push z danymi pracownika (imię, nazwisko, stanowisko, oddział); jeśli zgadzają się z tym, co mówi dzwoniący, zatwierdzasz je PIN-em (masz na to ok. 2 minuty).
• mBank — konsultant przysyła powiadomienie w aplikacji, a rozmowa o produktach czy danych jest kontynuowana dopiero po Twoim potwierdzeniu.

Inne banki wprowadzają podobne rozwiązania. Jeśli weryfikacja się nie udaje, dzwoniący odmawia lub podaje błędne dane — rozłącz się i oddzwoń na oficjalną infolinię (numer z karty lub ze strony banku, nigdy z wiadomości).

Jak się chronić — checklist

1. Nie klikaj linków z SMS/e-maili; adres banku wpisuj ręcznie lub wchodź przez aplikację.
2. Włącz dwuskładnikowe logowanie, biometrię i alerty o transakcjach; ustaw rozsądne limity.
3. Nie instaluj aplikacji zdalnego dostępu na prośbę „konsultanta”.
4. Nie podawaj nikomu kodu BLIK ani kodów z SMS.
5. Zastrzeż PESEL w aplikacji mObywatel — chroni przed kredytem na Twoje dane (zob. zastrzeżenie PESEL).
6. Aktualizuj system i aplikację banku; uważaj na publiczne Wi-Fi.

Padłeś ofiarą? Działaj szybko

1. Rozłącz się i zadzwoń na oficjalną infolinię banku; zablokuj kartę i dostęp.
2. Zgłoś sprawę bankowi (reklamacja) i na policję.
3. Zgłoś oszustwo do CERT Polska: podejrzany SMS przekaż na bezpłatny numer 8080, stronę/e-mail na incydent.cert.pl, a incydent zgłosisz też w aplikacji mObywatel (Bezpiecznie w sieci).
4. Zastrzeż PESEL, jeśli wyciekły Twoje dane.

Zwrot pieniędzy: zgodnie z ustawą o usługach płatniczych bank powinien zwrócić kwotę nieautoryzowanej transakcji najpóźniej następnego dnia roboczego po zgłoszeniu (zasada D+1) — chyba że doszło do rażącego niedbalstwa lub Twojego udziału w oszustwie. Dlatego liczy się czas zgłoszenia.

Podsumowanie

Oszuści grają na emocjach i pośpiechu. Zapamiętaj jedną zasadę: bank nigdy nie prosi o hasło, kod BLIK, kod z SMS ani o przelew na „konto techniczne”. Tożsamość konsultanta zweryfikuj w aplikacji, podejrzane wiadomości zgłaszaj na 8080, a w razie straty reaguj natychmiast. To materiał informacyjny — szczegóły sprawdzaj u źródeł i w swoim banku.