- Phishing wyłudza dane przez link, formularz lub fałszywą stronę logowania, a spoofing podszywa się pod numer telefonu, nadawcę SMS albo adres e-mail. Najbezpieczniejsza procedura to: rozłącz, sprawdź, oddzwoń na numer z oficjalnej strony banku lub z aplikacji.
- W 2024 r. CSIRT KNF zgłosił do zablokowania 51 241 domen phishingowych.
- W 2024 r. CERT Polska przeanalizował 600 990 zgłoszeń, a phishing należał do najczęściej zgłaszanych incydentów.
- Bank nie prosi o hasło, kod BLIK, kod autoryzacyjny z SMS, pełne dane karty ani instalację programu do zdalnego pulpitu. Taka prośba oznacza próbę oszustwa.
- Jeżeli dostaniesz podejrzany SMS, przekaż go na 8080. Jeżeli kliknąłeś link lub podałeś dane, od razu blokuj narzędzia płatnicze, zmień hasło i skontaktuj się z bankiem.
Phishing i spoofing bankowy to dwie najczęstsze metody wyłudzania pieniędzy i danych, oparte na podszyciu się pod zaufany kanał kontaktu. Najbezpieczniejszy schemat postępowania jest prosty: przerwij kontakt, nie wykonuj żadnych działań pod presją, a następnie samodzielnie zweryfikuj sprawę w aplikacji banku albo na numerze z oficjalnej strony. Ten nawyk odcina oszusta od Twoich pieniędzy szybciej niż jakakolwiek analiza rozmowy.
Sercem wielu ataków jest inżynieria społeczna, czyli świadome sterowanie emocjami ofiary. Oszust wywołuje strach, pośpiech albo poczucie nagłej okazji, aby wyłączyć chłodną ocenę ryzyka. Jeżeli pojawia się presja czasu, traktuj ją jak sygnał alarmowy i przejdź na tryb weryfikacji niezależnym kanałem.
Jak odróżnić phishing od spoofingu telefonicznego w bankowości i po czym rozpoznać próbę ataku?
Phishing prowadzi do oddania danych, a spoofing ma uwiarygodnić oszusta. Phishing najczęściej przychodzi e-mailem, SMS-em, komunikatorem albo przez fałszywą stronę banku. Celem jest pozyskanie loginu, hasła, kodu autoryzacyjnego, kodu BLIK albo danych karty. Spoofing polega na podszyciu się pod zaufany kanał: numer infolinii, nazwę banku w SMS-ie, znany adres nadawcy lub rozmowę „z działu bezpieczeństwa”. Użytkownik widzi znany identyfikator i zakłada, że kontakt jest prawdziwy, choć w rzeczywistości komunikuje się z oszustem.
- „Blokada konta”, „podejrzana transakcja”, „konieczność zabezpieczenia środków”.
- Prośba o kod BLIK, kod z SMS, zatwierdzenie operacji „testowej” albo przelew na „bezpieczne konto”.
- Nacisk na działanie w tej chwili, bez czasu na spokojne sprawdzenie sprawy.
- Próba przeniesienia rozmowy poza oficjalne kanały banku.
Jak bezpiecznie zweryfikować tożsamość konsultanta banku podczas telefonu, SMS lub czatu?
Nie sprawdzasz wiarygodności rozmówcy w tej samej rozmowie, tylko poza nią. To najważniejsza zasada. Jeżeli ktoś dzwoni, pisze SMS albo kontaktuje się na czacie i twierdzi, że jest z banku, nie prowadzisz dalszej weryfikacji w tym samym kanale. Kończysz kontakt i przechodzisz do własnej, niezależnej ścieżki sprawdzenia. Tak działa procedura odporna na spoofing i na emocjonalną presję.
- Telefon: rozłączasz się i dzwonisz na numer z oficjalnej strony banku albo z wcześniej zapisanego kontaktu.
- Czat: korzystasz wyłącznie z czatu dostępnego po samodzielnym zalogowaniu do bankowości lub aplikacji.
- SMS i e-mail: nie logujesz się z linku, tylko otwierasz aplikację banku albo wpisujesz adres ręcznie.
Jakie pytania kontrolne zadać konsultantowi i jakich danych nie przekazywać?
Kontakt przychodzący nie jest miejscem do podawania danych wrażliwych. Jeżeli sam dzwonisz do banku na oficjalny numer, możesz przejść standardową identyfikację zgodnie z procedurą banku. Jeżeli jednak rozmowa przyszła do Ciebie, nie przekazujesz niczego, co pozwala wykonać operację albo przejąć dostęp do rachunku. W razie wątpliwości wracasz do zasady: rozłącz, sprawdź, oddzwoń.
- Czy może Pan/Pani potwierdzić sprawę w aplikacji lub bankowości internetowej?
- Na jaki oficjalny numer mam oddzwonić, aby kontynuować?
- Czy bank wysłał mi komunikat w aplikacji, który mogę sam zobaczyć po zalogowaniu?
Nigdy nie podawaj: hasła, kodu z SMS, kodu BLIK, pełnego numeru karty, daty ważności i CVC/CVV. Nie instaluj też żadnego programu do zdalnego pulpitu ani narzędzia „pomocy technicznej”.
Jak przerwać rozmowę i bezpiecznie potwierdzić kontakt, oddzwaniając na oficjalny numer banku?
Historia połączeń nie jest wiarygodnym narzędziem weryfikacji przy spoofingu. Dlatego nie korzystasz z przycisku „oddzwoń”, nawet jeśli na ekranie wyświetla się nazwa banku. Wybierasz numer samodzielnie, ze strony banku, z aplikacji albo z kontaktu zapisanego wcześniej.
- Zakończ rozmowę przy pierwszej prośbie o kody, dane karty, przelew „zabezpieczający” albo instalację aplikacji.
- Wejdź na stronę banku z zapisanej zakładki albo wpisz adres ręcznie.
- Wybierz numer infolinii z oficjalnej strony i opisz sytuację.
- Poproś o sprawdzenie, czy bank rzeczywiście próbował się z Tobą kontaktować.
- Jeżeli podałeś dane lub kliknąłeś link, od razu przejdź do blokad i zmiany hasła.
Dziękuję. Rozłączam się i oddzwonię na numer z oficjalnej strony banku, aby potwierdzić sprawę.
Jak sprawdzić autentyczność numeru, domeny i wiadomości przy użyciu aplikacji bankowej i bezpiecznego logowania?
Najpewniejsza metoda to samodzielne wejście do banku, nie analiza wiadomości od oszusta. Sprawdzenie domeny jest potrzebne, ale samo spojrzenie na kłódkę w przeglądarce nie wystarcza. Fałszywe strony także mogą mieć certyfikat. Dlatego podstawą jest wejście do aplikacji bankowej lub na stronę wpisaną ręcznie, a nie logowanie z linku przesłanego SMS-em, e-mailem albo komunikatorem.
- Numer telefonu: porównuj z listą na stronie banku i zapisz oficjalną infolinię w kontaktach.
- Domena: zwracaj uwagę na literówki, dodatkowe człony, zamiany znaków i nietypowe końcówki.
- Wiadomość: nie klikaj linku, nawet jeśli wygląda wiarygodnie i odwołuje się do rachunku, karty albo BLIK.
- Aplikacja bankowa: włącz powiadomienia push, szybkie blokady kart i BLIK oraz logowanie biometryczne.
- Zgłoszenie incydentu: podejrzany SMS możesz przekazać na numer 8080.
| Phishing | Spoofing |
|---|---|
| E-mail, SMS, komunikator, fałszywy formularz lub strona logowania | Telefon, SMS albo e-mail z podszytym numerem, nazwą nadawcy lub adresem |
| Wyłudzenie danych, link do logowania, żądanie kodu | Podszycie pod zaufany kanał, numer lub nazwa nadawcy |
| Presja czasu, blokada konta, nagroda, pilna dopłata | Dział bezpieczeństwa, pilny telefon z banku, rzekoma ochrona środków |
Jakie są czerwone flagi, czyli 7 sygnałów, że kontakt jest próbą oszustwa?
Nie analizujesz intencji rozmówcy, tylko sygnały ostrzegawcze. Taki sposób myślenia zmniejsza ryzyko pomyłki. Oszust może mówić spokojnie, profesjonalnie i używać poprawnego języka, ale nie zmienia to faktu, że żąda zachowania sprzecznego z zasadami bezpieczeństwa.
- Presja czasu i straszenie blokadą konta albo utratą środków.
- Prośba o kod BLIK lub kod z SMS.
- Polecenie instalacji AnyDesk, TeamViewer albo podobnej aplikacji.
- Żądanie przelewu na bezpieczne konto lub konto techniczne.
- Link do logowania w SMS-ie lub e-mailu.
- Informacja o kurierze, który ma odebrać kartę, telefon albo dokument.
- Brak możliwości potwierdzenia sprawy w oficjalnej aplikacji lub na oficjalnej infolinii.
Jakie ustawienia bezpieczeństwa w aplikacji bankowej realnie ograniczają ryzyko strat?
Najlepsze zabezpieczenia to te, które pozwalają Ci zareagować natychmiast. Nawet ostrożny użytkownik może znaleźć się pod presją, dlatego aplikacja bankowa powinna być przygotowana na scenariusz awaryjny. Liczy się nie tylko ochrona przed atakiem, ale też możliwość szybkiego zatrzymania skutków pomyłki.
| Funkcja bezpieczeństwa | Po co ją włączyć | Co daje w praktyce |
|---|---|---|
| Powiadomienia push o logowaniu i transakcjach | Szybciej wykrywasz nieznaną aktywność | Możesz od razu zablokować kartę, BLIK albo skontaktować się z bankiem |
| Biometria i silne logowanie | Ograniczasz ryzyko przejęcia dostępu | Trudniej wykonać operację z użyciem samych danych wpisanych pod presją |
| Niskie limity kart i BLIK | Zmniejszasz możliwą jednorazową stratę | Większe płatności robisz po czasowym podniesieniu limitu |
| Szybka blokada karty i BLIK w aplikacji | Skracasz reakcję po incydencie do minut | Nie musisz czekać na połączenie z infolinią |
| Lista zaufanych odbiorców i kontrola nowych danych przelewu | Łatwiej wychwycić nieautoryzowane zmiany | Szybciej zauważysz dodanie obcego odbiorcy lub nietypowy przelew |
Jak rozpoznać najczęstsze scenariusze oszustw, w tym na BLIK, kuriera, zdalny pulpit i fałszywe alerty?
Oszustwo nie zaczyna się od pieniędzy, tylko od wiarygodnej opowieści. Dlatego warto znać najczęściej powtarzające się scenariusze. Gdy rozpoznasz schemat wcześniej, łatwiej przerwać kontakt bez wchodzenia w dyskusję.
- BLIK przez komunikator: nagła prośba od znajomego o kod i zatwierdzenie wypłaty.
- Kurier po kartę lub telefon: rzekoma wymiana sprzętu, odbiór karty albo zabezpieczenie urządzenia.
- Zdalny pulpit: wymuszanie instalacji aplikacji, która daje przestępcy wgląd w ekran i możliwość sterowania urządzeniem.
- Fałszywy alert: SMS lub e-mail o blokadzie rachunku, dopłacie, niedopłacie albo nieautoryzowanej operacji.
| Scenariusz ataku | Twój kontr-krok |
|---|---|
| BLIK przez komunikator | Nie przekazujesz kodu i weryfikujesz prośbę innym kanałem, najlepiej telefonicznie lub wideo |
| Kurier po kartę lub telefon | Kończysz kontakt i dzwonisz na numer z oficjalnej strony banku |
| Zdalny pulpit | Nie instalujesz aplikacji, blokujesz kartę i BLIK, zmieniasz hasło |
| Fałszywy alert SMS albo e-mail | Nie klikasz linku, logujesz się wyłącznie przez aplikację albo wpisany ręcznie adres |
Jak przygotować się na vishing z użyciem AI, czyli ataki głosowe oparte na klonowaniu?
Rozpoznanie głosu nie daje już bezpieczeństwa. Ataki głosowe oparte na AI mogą brzmieć przekonująco, dlatego obrona nie może opierać się na intuicji. Podstawą jest techniczna procedura sprawdzenia, a nie próba oceny, czy rozmówca brzmi jak pracownik banku albo członek rodziny.
- Drugi kanał: weryfikacja w aplikacji banku albo oddzwonienie na oficjalny numer.
- Hasło rodzinne: krótkie, ustalone wcześniej słowo bezpieczeństwa do nagłych sytuacji.
- Wideo bez linków od rozmówcy: przy prośbach o pieniądze lub pilnych przelewach.
- Zasada spokoju: żadnych przelewów ani kodów bez samodzielnego sprawdzenia sprawy.
Jak zareagować po kontakcie z podejrzanym konsultantem: blokady, reklamacja i zgłoszenie do CERT Polska oraz Policji?
Po incydencie liczy się kolejność działań. Nie zaczynasz od długiego opisu sytuacji, tylko od odcięcia oszusta od dalszych operacji. Dopiero potem kompletujesz dowody i składasz zgłoszenia.
- W aplikacji zablokuj BLIK, kartę i inne narzędzia płatnicze, jeśli masz taką opcję.
- Zmień hasło, wyloguj wszystkie urządzenia i sprawdź, czy nie dodano nowego odbiorcy przelewów.
- Skontaktuj się z bankiem i złóż reklamację nieautoryzowanej operacji.
- Zgłoś podejrzany SMS na 8080, a podejrzaną domenę lub wiadomość do CERT Polska.
- Zabezpiecz zrzuty ekranu, treści wiadomości, numer telefonu, godzinę kontaktu i historię operacji.
- W razie straty pieniędzy złóż zawiadomienie na Policji.
- D+1: bank powinien zwrócić kwotę transakcji nieautoryzowanej albo przywrócić rachunek do stanu sprzed operacji, nie później niż do końca następnego dnia roboczego po zgłoszeniu.
- Wyjątki: znaczenie mają m.in. zgłoszenie po upływie 13 miesięcy albo uzasadnione i udokumentowane podejrzenie oszustwa zgłoszone organom ścigania.
- Ważne doprecyzowanie: samo stwierdzenie, że operacja była uwierzytelniona, nie zamyka automatycznie sporu o to, czy była rzeczywiście autoryzowana przez klienta.
Jeżeli zgłaszasz transakcję nieautoryzowaną w poniedziałek, zwrot powinien nastąpić najpóźniej do końca wtorku, czyli do końca następnego dnia roboczego po zgłoszeniu. Przy dniach wolnych liczy się następny dzień roboczy.
Jak przygotować własny protokół bezpieczeństwa na co dzień, z checklistą krok po kroku dla całej rodziny?
Najskuteczniejszy system bezpieczeństwa to ten, który działa także wtedy, gdy ktoś się stresuje. Ustal w domu prosty protokół: nikt nie podaje kodów, nikt nie instaluje narzędzi zdalnych, nikt nie loguje się z linków w wiadomościach. Bank sprawdzasz wyłącznie w aplikacji albo przez numer z oficjalnej strony. To szczególnie ważne w przypadku seniorów, nastolatków i osób, które rzadziej korzystają z bankowości elektronicznej.
Checklista krok po kroku
- T+0: kończysz kontakt przy pierwszej prośbie o kod, dane karty, przelew zabezpieczający albo instalację aplikacji.
- T+5 min: wchodzisz do aplikacji, blokujesz kartę i BLIK, zmieniasz hasło, wylogowujesz urządzenia.
- T+15 min: dzwonisz na oficjalny numer banku i prosisz o odnotowanie incydentu.
- T+30 min: przekazujesz podejrzany SMS na 8080 i zabezpieczasz zrzuty ekranu oraz treści wiadomości.
- T+60 min: składasz reklamację w banku, a przy stracie pieniędzy zgłaszasz sprawę na Policji.
FAQ, najczęściej zadawane pytania
Nie. Bank nie żąda haseł, kodów BLIK, kodów z SMS ani pełnych danych karty. Taka prośba oznacza próbę oszustwa i wymaga natychmiastowego przerwania kontaktu.
Kończysz rozmowę i sam wybierasz numer z oficjalnej strony banku albo korzystasz z oficjalnych kanałów dostępnych po samodzielnym zalogowaniu. Nie oddzwaniasz z historii połączeń.
Natychmiast blokujesz karty i BLIK, zmieniasz hasło, wylogowujesz urządzenia, kontaktujesz się z bankiem, zabezpieczasz dowody i zgłaszasz incydent do właściwych instytucji.
Tak. Podszywanie się pod numery i nadawców wiadomości jest jednym z typowych elementów kampanii oszustw. Obrona polega na zakończeniu kontaktu i samodzielnej weryfikacji sprawy.
Zasadą jest D+1, czyli zwrot kwoty transakcji nieautoryzowanej do końca następnego dnia roboczego po zgłoszeniu, z wyjątkami przewidzianymi w ustawie o usługach płatniczych.
Nie. Przy spoofingu historia połączeń może wprowadzać w błąd. Numer wybierasz sam z oficjalnej strony banku lub z wcześniej zapisanego kontaktu.
Najwięcej dają powiadomienia push, biometria, niskie limity kart i BLIK oraz szybkie blokady dostępne w aplikacji. Dzięki nim szybciej zauważasz problem i szybciej reagujesz.
Źródła
- KNF, Raport roczny CSIRT KNF 2024, publikacja 01/04/2025 r.
- CERT Polska, Raport roczny 2024, publikacja 04/2025 r.
- Gov.pl, zgłaszanie podejrzanych SMS-ów do CERT Polska na numer 8080, aktualizacja 21/03/2023 r.
- UOKiK, nieautoryzowane transakcje i obowiązek zwrotu do końca następnego dnia roboczego, 18/07/2022 r.
- ISAP, ustawa o usługach płatniczych, tekst jednolity, Dz.U. 2025 poz. 611.
Zapisz oficjalną infolinię banku, włącz powiadomienia push i biometrię, ustaw niższe limity BLIK i kart oraz przećwicz w domu prosty scenariusz: rozłączam się, sprawdzam, oddzwaniam na oficjalny numer.
Aktualizacja artykułu: 13 marca 2026 r.
Autor: Jacek Grudniewski
Ekspert ds. produktów finansowych i pasjonat rynku nieruchomości
Kontakt za pośrednictwem LinkedIn:
https://www.linkedin.com/in/jacekgrudniewski/
Artykuł ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej porady finansowej, kredytowej, podatkowej, inwestycyjnej ani prawnej. Treść nie uwzględnia Twojej sytuacji, dlatego przed podjęciem decyzji sprawdź aktualne przepisy, warunki oferty i w razie potrzeby skonsultuj się z właściwym specjalistą.