Jak rozpoznać fałszywy telefon „z banku” i co powiedzieć, żeby przerwać oszustwo (vishing)?

Na czym polega vishing „na bank”?

Vishing, czyli voice phishing, polega na wykorzystaniu rozmowy telefonicznej do wyłudzenia danych, przejęcia dostępu albo nakłonienia ofiary do wykonania operacji finansowej.

Przestępca może przedstawiać się jako pracownik banku, dział bezpieczeństwa, konsultant techniczny, policjant albo przedstawiciel innej instytucji. Celem jest zbudowanie wiarygodnej historii i doprowadzenie rozmówcy do działania pod presją.

Atak nie wymaga poznania wszystkich danych klienta. Czasami wystarczy jedno działanie ofiary – wpisanie kodu BLIK, zatwierdzenie dyspozycji w aplikacji, dodanie odbiorcy zaufanego, podniesienie limitu albo zainstalowanie narzędzia umożliwiającego zdalny dostęp do urządzenia.

Vishing bywa połączony z phishingiem, fałszywym SMS-em lub stroną internetową. Telefon jest wtedy jednym z etapów bardziej rozbudowanego ataku.

Powrót na górę

Jakie są najczęstsze scenariusze fałszywych telefonów z banku?

Scenariusze różnią się szczegółami, ale cel jest podobny – przekonać Cię, że wykonujesz czynność chroniącą pieniądze, podczas gdy w rzeczywistości pomagasz oszustowi.

• „Podejrzana transakcja” – rozmówca twierdzi, że ktoś próbuje wykonać przelew lub płatność i prosi o „anulowanie” operacji kodem albo potwierdzeniem w aplikacji.
• „Blokada konta” – oszust straszy utratą dostępu do rachunku i przedstawia rzekomą procedurę bezpieczeństwa.
• „Bezpieczny rachunek” – rozmówca nakazuje przesłać pieniądze na „konto techniczne”, „rachunek awaryjny” albo „rachunek bezpieczeństwa”.
• „Weryfikacja klienta” – rozmowa służy zebraniu danych potrzebnych do kolejnego etapu ataku.
• „Pomoc techniczna” – przestępca nakłania do instalacji programu umożliwiającego zdalne sterowanie telefonem lub komputerem.
• „Kredyt na Twoje dane” – rozmówca twierdzi, że ktoś złożył wniosek kredytowy i trzeba natychmiast zabezpieczyć rachunek albo wykonać wskazane czynności.
• „Współpraca banku z Policją” – oszust twierdzi, że trwa tajna akcja przeciwko nieuczciwemu pracownikowi banku i zabrania kontaktowania się z innymi osobami.

Powrót na górę

Po czym rozpoznać fałszywy telefon „z banku” w pierwszej minucie?

Najbardziej niebezpieczne połączenie sygnałów to presja czasu oraz żądanie wykonania czynności, która wpływa na pieniądze, dostęp do rachunku albo bezpieczeństwo urządzenia.

Zwróć uwagę na zwroty: „to pilne”, „proszę zostać na linii”, „nie wolno się rozłączać”, „nie może pan kontaktować się z oddziałem”, „proszę zatwierdzić anulowanie”, „dla bezpieczeństwa trzeba wykonać przelew”, „proszę podać kod z SMS” albo „proszę zainstalować aplikację zabezpieczającą”.

Oszust może znać Twoje imię, bank, fragment numeru rachunku, numer telefonu albo inne dane pochodzące z wcześniejszego wycieku. Znajomość danych nie potwierdza, że rozmówca jest pracownikiem banku.

Jeśli rozmówca twierdzi, że w bankowości znajduje się podejrzana operacja, samodzielnie sprawdź rachunek po zakończeniu rozmowy. Nie wykonuj poleceń rozmówcy w celu jej „anulowania”.

Powrót na górę

Dlaczego numer telefonu na ekranie nie jest dowodem?

CLI spoofing pozwala podszyć się pod cudzy numer telefonu lub identyfikator nadawcy, dlatego sam numer wyświetlany na ekranie nie powinien być traktowany jako dowód, że dzwoni bank.

Od 26 września 2024 r. przedsiębiorcy telekomunikacyjni mają obowiązek aktywnie przeciwdziałać CLI spoofingowi. Stosowane mechanizmy umożliwiają między innymi analizowanie ruchu, blokowanie części podejrzanych połączeń albo ograniczanie prezentacji sfałszowanego numeru.

Nie oznacza to jednak, że każde połączenie wyświetlające numer banku jest autentyczne. Zabezpieczenia operatorów ograniczają skalę nadużyć, ale nie zapewniają pełnej skuteczności.

Telefon może dodatkowo wyświetlić nazwę zapisanego kontaktu, jeśli podmieniony numer odpowiada numerowi znajdującemu się w książce adresowej. Oszuści wykorzystują też rozmowy wieloetapowe, w których kolejne osoby przedstawiają się jako pracownik banku, konsultant techniczny albo funkcjonariusz.

Powrót na górę

Czy prawdziwy bank może zadzwonić do klienta?

Tak. Bank może kontaktować się telefonicznie z klientem, między innymi w sprawach związanych z obsługą rachunku, bezpieczeństwem, potwierdzeniem określonych zdarzeń albo ofertą.

Sam fakt otrzymania telefonu od osoby przedstawiającej się jako pracownik banku nie oznacza więc automatycznie oszustwa. O wiarygodności rozmowy nie powinien jednak przesądzać numer widoczny na ekranie ani znajomość danych klienta.

Bank może stosować własne procedury identyfikacji klienta. Nie oznacza to jednak, że podczas przychodzącego telefonu należy przekazywać sekrety służące do logowania lub autoryzacji operacji, instalować aplikację do zdalnego dostępu albo przelewać pieniądze na rachunek wskazany przez rozmówcę.

Powrót na górę

Czego nie przekazywać i nie zatwierdzać podczas telefonu z banku?

Nie przekazuj podczas rozmowy sekretów służących do logowania lub autoryzacji operacji i nie wykonuj dyspozycji finansowych na polecenie osoby dzwoniącej.

• Kody autoryzacyjne – w tym kody z SMS lub aplikacji, niezależnie od tego, czy rozmówca nazywa je kodem „anulowania”, „bezpieczeństwa” albo „weryfikacji”.
• Kod BLIK – nie generuj go i nie potwierdzaj transakcji na polecenie osoby dzwoniącej.
• Dane logowania – login, hasło, PIN do aplikacji i inne informacje służące do uzyskania dostępu.
• Pełne dane karty – zwłaszcza kod CVV/CVC oraz PIN karty.
• Zatwierdzenie w aplikacji – zawsze czytaj komunikat i sprawdzaj kwotę, odbiorcę oraz rodzaj operacji.
• Instalacja programu – nie instaluj aplikacji do zdalnego pulpitu, „skanowania telefonu” ani „pomocy technicznej” na polecenie osoby dzwoniącej.
• Przelew ratunkowy – nie przelewaj środków na „bezpieczny”, „techniczny” lub „wewnętrzny” rachunek wskazany przez rozmówcę.

Bank może podczas rozmowy stosować własne procedury identyfikacji klienta. Jeżeli masz wątpliwości co do zakresu wymaganych danych, zakończ połączenie i samodzielnie skontaktuj się z bankiem oficjalnym kanałem.

Powrót na górę

Jak bezpiecznie przerwać podejrzaną rozmowę?

Nie musisz sprawdzać rozmówcy w trakcie połączenia ani tłumaczyć, dlaczego chcesz się rozłączyć.

Po rozłączeniu nie oddzwaniaj na numer podany przez rozmówcę ani na numer przesłany w podejrzanym SMS-ie. Jeśli chcesz potwierdzić sytuację, skorzystaj z numeru znajdującego się w aplikacji, na karcie, w umowie lub na oficjalnej stronie internetowej banku.

Nie usuwaj historii połączeń, wiadomości i innych informacji związanych ze zdarzeniem. Jeśli okaże się, że doszło do oszustwa, mogą pomóc w odtworzeniu przebiegu ataku.

Powrót na górę

Jak sprawdzić, czy naprawdę dzwonił bank?

Najbezpieczniejsza weryfikacja polega na przejściu do niezależnego, oficjalnego kanału kontaktu.

1. Zakończ przychodzącą rozmowę.
2. Samodzielnie wybierz oficjalny numer banku z aplikacji, karty, umowy lub strony internetowej.
3. Zapytaj, czy bank kontaktował się z Tobą w sprawie wskazanej przez poprzedniego rozmówcę.
4. Samodzielnie sprawdź rachunek – historię operacji, odbiorców, limity, urządzenia, dane kontaktowe oraz komunikaty bezpieczeństwa.
5. Zweryfikuj wszelkie zmiany – nowe urządzenie, zmianę numeru telefonu, odbiorcę zaufanego, podwyższenie limitu albo nieznaną dyspozycję.

Niektóre banki umożliwiają dodatkowe potwierdzenie tożsamości konsultanta w aplikacji mobilnej lub bankowości elektronicznej. Zakres tych funkcji zależy od banku, dlatego nie należy zakładać, że każdy kontakt można potwierdzić w taki sam sposób.

Jeśli wcześniejsza rozmowa dotyczyła przejęcia telefonu lub instalacji programu, nie używaj podejrzanego urządzenia do weryfikacji rachunku. Skorzystaj z innego, zaufanego urządzenia.

Powrót na górę

Co zrobić po podaniu danych albo zatwierdzeniu operacji?

Najpierw ogranicz możliwość dalszego działania oszusta. Szczegółowe odtwarzanie rozmowy i kompletowanie dokumentacji wykonaj po zabezpieczeniu rachunku oraz dostępu.

Jeśli podałeś hasło lub dane logowania

Poinformuj bank i zmień dane dostępowe z bezpiecznego urządzenia. Jeżeli tego samego lub podobnego hasła używałeś w innych usługach, zmień je również tam. Szczególnie ważna jest poczta e-mail, ponieważ dostęp do niej może ułatwić resetowanie haseł do innych kont.

Jeśli podałeś kod BLIK, kod SMS lub zatwierdziłeś operację

Natychmiast zgłoś zdarzenie bankowi i sprawdź, co dokładnie zostało wykonane. Nie każdą dyspozycję da się zatrzymać lub cofnąć, ale szybka reakcja może ograniczyć kolejne straty.

Jeśli zainstalowałeś aplikację do zdalnego dostępu

Odłącz podejrzane urządzenie od internetu i nie loguj się z niego do banku, poczty ani innych ważnych usług. Skontaktuj się z bankiem z innego urządzenia. Z bezpiecznego telefonu lub komputera zmień hasła, sprawdź aktywne sesje oraz zabezpieczenia najważniejszych kont.

Jeśli ujawniłeś dane osobowe

Oceń, jakie informacje poznał oszust. Jeśli istnieje ryzyko wykorzystania Twojej tożsamości, rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel, serwisie gov.pl albo urzędzie gminy.

Zastrzeżenie PESEL ogranicza możliwość wykorzystania danych przy określonych czynnościach wymagających sprawdzenia rejestru zastrzeżeń, między innymi przy zawieraniu części umów finansowych, wybranych czynnościach notarialnych oraz wydawaniu duplikatu karty SIM. Nie blokuje jednak dostępu do istniejącego rachunku ani transakcji wykonywanych przez przejętą bankowość elektroniczną.

Jakie dowody zachować?

• historię połączeń i numer, z którego wykonano telefon,
• SMS-y i wiadomości otrzymane przed rozmową, w jej trakcie i po niej,
• screeny komunikatów w aplikacji bankowej,
• treść komunikatów dotyczących autoryzacji i opis operacji widoczny przy zatwierdzaniu,
• potwierdzenia transakcji oraz numery rachunków odbiorców,
• nazwę zainstalowanej aplikacji lub programu,
• godziny poszczególnych zdarzeń i kolejność wykonywanych czynności.

Gdzie zgłosić incydent?

Po zabezpieczeniu rachunku możesz zgłosić incydent do CERT Polska przez incydent.cert.pl. Jeśli otrzymałeś podejrzany SMS zawierający link, możesz przekazać go do CERT Polska na numer 8080. Numer 8080 służy do przekazywania podejrzanych wiadomości SMS zawierających link, a nie do telefonicznego zgłaszania incydentów.

Jeśli doszło do utraty środków albo innego przestępstwa, zawiadom Policję. Zgłoszenie do CERT Polska nie zastępuje kontaktu z bankiem ani zawiadomienia organów ścigania.

Powrót na górę

Czy bank musi oddać pieniądze po vishingu?

Wyrok TSUE z 15 października 2026 r., C-70/25: sam zarzut rażącego niedbalstwa nie pozwala wstrzymać zwrotu nieautoryzowanej płatności. Bank może później dochodzić strat, jeżeli udowodni przesłanki odpowiedzialności klienta. Komunikat TSUE.

Nie każdy przelew wykonany w następstwie manipulacji jest automatycznie nieautoryzowaną transakcją w rozumieniu ustawy. W konkretnej sprawie trzeba ustalić, na co klient rzeczywiście wyraził zgodę i w jaki sposób doszło do wykonania operacji.

Jeżeli zaprzeczasz, że autoryzowałeś daną transakcję, zgłoś ją bankowi jako transakcję nieautoryzowaną i dokładnie opisz przebieg zdarzenia. Znaczenie mają między innymi treść komunikatów, rodzaj operacji, sposób jej potwierdzenia oraz działania wykonane przez klienta i oszusta.

Jeżeli sam wykonałeś konkretny przelew pod wpływem manipulacji oszusta, kwalifikacja prawna może być bardziej złożona i zależy od sposobu wyrażenia zgody na daną transakcję oraz pozostałych okoliczności sprawy.

Na czym polega zasada D+1?

W przypadku nieautoryzowanej transakcji płatniczej dostawca płatnika co do zasady zwraca jej kwotę niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia transakcji albo otrzymania zgłoszenia.

Ustawa przewiduje wyjątek, gdy dostawca ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony płatnika, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.

Bank może odmówić zwrotu w tym trybie również wtedy, gdy zgłoszenie nastąpiło po upływie 13 miesięcy od dnia obciążenia rachunku albo dnia, w którym transakcja miała zostać wykonana. Nie oznacza to, że warto czekać ze zgłoszeniem – przy podejrzeniu oszustwa należy skontaktować się z bankiem bez zbędnej zwłoki.

Jeżeli klient nie korzysta z rachunku płatniczego, początek terminu określa art. 44 ust. 3. Wygaśnięcia roszczeń z art. 44 ust. 2 nie stosuje się, gdy dostawca nie udostępnił wymaganych informacji o transakcji (ust. 4).

Kto musi wykazać, że transakcja była autoryzowana?

Jeżeli użytkownik zaprzecza, że autoryzował wykonaną transakcję płatniczą, na dostawcy spoczywa obowiązek wykazania, że transakcja została autoryzowana, prawidłowo zapisana w systemie oraz że nie miała na nią wpływu awaria techniczna ani innego rodzaju usterka.

Samo zarejestrowane użycie instrumentu płatniczego nie jest wystarczające do udowodnienia, że płatnik autoryzował transakcję albo umyślnie lub wskutek rażącego niedbalstwa naruszył swoje obowiązki.

Co z rażącym niedbalstwem?

Odpowiedzialność klienta może zależeć od tego, czy działał umyślnie albo umyślnie lub wskutek rażącego niedbalstwa naruszył obowiązki związane z korzystaniem z instrumentu płatniczego i ochroną danych uwierzytelniających. Rażącego niedbalstwa nie należy automatycznie utożsamiać z samym faktem, że klient padł ofiarą manipulacji. Ocena zależy od konkretnych okoliczności.

Zarzut rażącego niedbalstwa i ocena odpowiedzialności klienta są odrębnymi zagadnieniami od ustawowej zasady zwrotu nieautoryzowanej transakcji. Dlatego odmowa banku powinna być analizowana na podstawie konkretnych przepisów, przebiegu zdarzenia i materiału dowodowego.

Co powinno znaleźć się w reklamacji?

• data i dokładna godzina rozmowy,
• numer telefonu rozmówcy,
• opis historii przedstawionej przez oszusta,
• kolejność wykonanych czynności,
• kwoty, rachunki odbiorców i nazwy transakcji,
• treść komunikatów widocznych podczas zatwierdzania operacji,
• informacja, czego świadomie chciałeś dokonać, a czego nie zamierzałeś wykonywać,
• screeny, SMS-y, potwierdzenia i inne dowody.

Jeżeli bank odrzuci reklamację, dalsze możliwości zależą od okoliczności sprawy. Konsument może między innymi zwrócić się o pomoc do Rzecznika Finansowego oraz dochodzić roszczeń na drodze sądowej.

Powrót na górę

Jak ograniczyć ryzyko vishingu w przyszłości?

Ryzyko ograniczysz przede wszystkim przez odpowiednie limity i powiadomienia oraz prostą zasadę – nie wykonuj ważnych dyspozycji finansowych pod presją podczas przychodzącego telefonu.

• Limity transakcyjne – ustaw rozsądne limity dla przelewów, przelewów natychmiastowych, BLIK-a i kart.
• Powiadomienia – włącz alerty o transakcjach oraz, jeśli bank je oferuje, o nowych urządzeniach, odbiorcach, zmianie limitów i zmianie danych kontaktowych.
• Silne uwierzytelnienie – korzystaj z zabezpieczeń oferowanych przez bank, a na poczcie i innych ważnych kontach włącz 2FA, najlepiej z aplikacją uwierzytelniającą lub kluczem sprzętowym, jeśli usługa je obsługuje.
• Aktualizacje urządzeń – instaluj aktualizacje systemu i aplikacji oraz korzystaj z blokady ekranu.
• Bezpieczna poczta – nie używaj tego samego hasła do poczty i innych usług. Przejęta skrzynka może ułatwiać przejmowanie kolejnych kont.
• Zastrzeżenie PESEL – może ograniczyć skutki kradzieży tożsamości, ale nie zastępuje zabezpieczeń bankowości elektronicznej.
• Zasada rodzinna – ustal z bliskimi, że nie wykonujecie przelewów, nie podajecie kodów i nie instalujecie aplikacji na polecenie osoby dzwoniącej.

Taka zasada nie wymaga rozpoznawania nowych technik cyberprzestępców. Pomaga także seniorom i nastolatkom, ponieważ przenosi decyzję na moment po zakończeniu rozmowy, bez presji wywieranej przez rozmówcę.

Powrót na górę

Co uzyskał oszust i jakie jest ryzyko?

Zakres reakcji zależy od tego, jakie dane lub uprawnienia uzyskał rozmówca. Sama znajomość danych osobowych oznacza inny poziom ryzyka niż dostęp do urządzenia albo kod pozwalający wykonać konkretną operację.

Powrót na górę

Słowniczek pojęć

Powrót na górę

FAQ – najczęściej zadawane pytania

Powrót na górę