Plan awaryjny po incydencie – co zrobić w pierwszych 30 minutach, 24 godzinach i 7 dniach po podejrzeniu oszustwa?

Jak rozpoznać oszustwo finansowe?

Jeżeli rozmówca wywiera presję, prosi o kod BLIK, PIN, hasło, kod SMS, dane karty, instalację programu albo przelew na „bezpieczny” lub „techniczny” rachunek, przerwij kontakt i samodzielnie skontaktuj się z bankiem.

Oszust może podszywać się pod bank, Policję, urząd, operatora telekomunikacyjnego, firmę kurierską lub inną znaną instytucję. Sam numer wyświetlany podczas rozmowy nie potwierdza tożsamości rozmówcy, ponieważ przestępcy wykorzystują spoofing.

Sygnałem ostrzegawczym jest również nieznane logowanie, dodanie nowego urządzenia, zmiana numeru telefonu lub adresu e-mail w bankowości, dodanie nieznanego odbiorcy, transakcja bez Twojej zgody albo wiadomość z linkiem prowadzącym do strony przypominającej serwis banku.

Po podejrzanym telefonie rozłącz się i samodzielnie wybierz numer banku z oficjalnej strony, aplikacji, umowy albo karty. Nie oddzwaniaj na numer podany przez rozmówcę.

Co zrobić w pierwszych 30 minutach po incydencie?

Pierwsze działania mają zatrzymać dalsze straty. Podany przedział 30 minut jest praktycznym celem reakcji, a nie terminem wynikającym z prawa.

1. Przerwij kontakt – zakończ rozmowę, zamknij czat i nie odpowiadaj na kolejne polecenia sprawcy.
2. Zabezpiecz kanał wykorzystany w ataku – zastrzeż kartę, jeżeli została skradziona lub ujawniono jej dane. Jeżeli bank udostępnia taką funkcję, wyłącz BLIK lub obniż jego limity. Zablokuj także dostęp do aplikacji lub bankowości internetowej, jeśli istnieje ryzyko ich przejęcia.
3. Skontaktuj się z bankiem – poproś o zabezpieczenie dostępu, sprawdzenie ostatnich operacji, wyrejestrowanie nieznanych urządzeń i odnotowanie incydentu.
4. Spróbuj zatrzymać przelew – jeżeli wysłałeś pieniądze oszustowi, natychmiast zapytaj bank, czy dyspozycję można jeszcze wstrzymać albo czy można uruchomić procedurę odzyskania środków.
5. Zabezpiecz podstawowe dowody – wykonaj zrzuty ekranu, zapisz wiadomości, numery telefonów, adresy stron, identyfikatory i godziny transakcji.
6. Użyj zaufanego urządzenia – jeżeli podejrzewasz przejęcie telefonu lub komputera, nie zmieniaj z niego haseł do banku i poczty.

Jak zablokować kartę, BLIK, przelew, aplikację i dostęp do konta?

Reakcja powinna odpowiadać kanałowi ataku. Inne działania są właściwe przy utracie karty, inne przy przejęciu aplikacji, a jeszcze inne po wysłaniu przelewu oszustowi.

• Karta – jeżeli karta tylko się zawieruszyła i nie ma oznak przejęcia jej danych, możesz skorzystać z czasowej blokady dostępnej w części banków. Jeżeli została skradziona, ujawniono jej dane albo pojawiła się nieznana transakcja, zastrzeż ją i poproś bank o wydanie nowej karty.
• System Zastrzegania Kart – gdy nie masz szybkiego dostępu do aplikacji lub numeru swojego banku, możesz zadzwonić pod +48 828 828 828. System działa całodobowo i przekierowuje połączenie do infolinii wskazanego banku uczestniczącego w systemie.
• BLIK – jeżeli bank udostępnia taką funkcję, wyłącz BLIK lub obniż jego limity. Przy podejrzeniu przejęcia aplikacji poproś bank o zabezpieczenie dostępu mobilnego i usunięcie nieznanych urządzeń. Reklamację transakcji BLIK składa się do banku obsługującego Twoją aplikację bankową.
• Przelew – natychmiast skontaktuj się z bankiem. Jeżeli dyspozycja nie została jeszcze wykonana, zapytaj o możliwość jej zatrzymania. Po wykonaniu przelewu bank może podjąć próbę odzyskania środków, ale jej wynik zależy od okoliczności i czasu reakcji.
• Aplikacja mobilna i bankowość internetowa – poproś o zablokowanie dostępu, który mógł zostać przejęty, wyrejestrowanie obcych urządzeń oraz ustalenie bezpiecznej procedury ponownej aktywacji.
• Dane osobowe – jeżeli mogły posłużyć do wyłudzenia kredytu, pożyczki lub zawarcia innej umowy, zastrzeż PESEL niezwłocznie.

Jak zabezpieczyć dowody po oszustwie finansowym?

Dokumentacja powinna pozwolić odtworzyć kolejność zdarzeń: sposób kontaktu sprawcy, przekazane informacje, wykonane operacje, moment wykrycia problemu oraz czas podjętych blokad i zgłoszeń.

Zapisz identyfikatory transakcji, daty, godziny, kwoty i odbiorców. Wykonaj zrzuty ekranu historii operacji, logowań, listy urządzeń oraz zmian danych kontaktowych. Zachowaj SMS-y, e-maile, wiadomości z komunikatorów i adresy stron, do których prowadziły linki.

Przy oszustwie telefonicznym zapisz numer telefonu, godzinę połączenia, deklarowaną tożsamość rozmówcy i polecenia, które otrzymałeś. Jeżeli podałeś kod, zatwierdziłeś operację albo zainstalowałeś program na polecenie sprawcy, uwzględnij to w opisie zdarzenia.

Co zgłosić po wykryciu oszustwa?

Nie czekaj z podstawowymi zgłoszeniami do końca pierwszej doby. Jeżeli możesz poinformować bank, zastrzec PESEL albo zabezpieczyć inne konto wcześniej, zrób to od razu.

• Bank – zgłoś nieautoryzowaną transakcję, przejęcie dostępu lub oszustwo i poproś o numer sprawy. Przy transakcji, której nie autoryzowałeś, wskaż jednoznacznie brak zgody na jej wykonanie.
• CERT Polska – podejrzane strony i incydenty zgłaszaj przez incydent.cert.pl. Podejrzany SMS przekaż na bezpłatny numer 8080, najlepiej używając funkcji „Przekaż” lub „Udostępnij”. Numer 8080 służy do odbierania SMS-ów, a nie do telefonicznych zgłoszeń.
• Policja – zawiadom ją przy kradzieży pieniędzy, danych lub dokumentów oraz w innych sytuacjach, gdy podejrzewasz popełnienie przestępstwa.
• Poczta elektroniczna – jeżeli mogła zostać przejęta, zmień hasło z bezpiecznego urządzenia, wyloguj obce sesje, włącz uwierzytelnianie wieloskładnikowe i sprawdź reguły automatycznego przekazywania wiadomości.
• Operator telekomunikacyjny – jeżeli istnieje ryzyko przejęcia numeru telefonu, skontaktuj się z operatorem i sprawdź, czy nie wystawiono duplikatu karty SIM lub eSIM. Warto również zabezpieczyć obsługę konta dodatkowym hasłem lub PIN-em, jeżeli operator oferuje taką funkcję.
• PESEL – przy ryzyku wykorzystania danych do zawarcia umowy zastrzeż numer przez mObywatel, usługę internetową administracji albo urząd gminy.

Zawiadomienie Policji przez klienta nie jest warunkiem samego zgłoszenia bankowi nieautoryzowanej transakcji ani ustawowego mechanizmu zwrotu D+1. Ustawa osobno reguluje sytuację, w której bank ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony płatnika.

Kiedy stosuje się chargeback, a kiedy reklamację transakcji nieautoryzowanej?

Wyrok TSUE z 15 października 2026 r., C-70/25: zarzut rażącego niedbalstwa płatnika nie pozwala bankowi wstrzymać niezwłocznego zwrotu nieautoryzowanej transakcji. Późniejsze dochodzenie przez bank odpowiedzialności klienta wymaga wykazania odpowiednich przesłanek. Pełna treść wyroku TSUE.

Chargeback i ustawowy zwrot nieautoryzowanej transakcji to różne procedury. Nie należy używać tych pojęć zamiennie.

Chargeback dotyczy płatności kartowych i jest prowadzony przez bank według zasad organizacji płatniczych. Może mieć zastosowanie m.in. w sporze dotyczącym niedostarczonego towaru lub usługi, błędnego rozliczenia albo innych sytuacji przewidzianych przez reguły właściwej organizacji kartowej.

Jeżeli natomiast zaprzeczasz, że wyraziłeś zgodę na wykonanie transakcji płatniczej, zgłaszasz ją bankowi jako transakcję nieautoryzowaną.

Samo prawidłowe techniczne uwierzytelnienie operacji nie oznacza jeszcze, że bank automatycznie wykazał jej autoryzację. Ocena odpowiedzialności klienta, w tym ewentualnego umyślnego działania lub rażącego niedbalstwa, jest odrębną kwestią od ustawowego mechanizmu zwrotu.

Jeżeli sam wykonałeś przelew na rachunek oszusta, sytuacja może wymagać innej oceny niż klasyczna nieautoryzowana transakcja. Opisz bankowi dokładny przebieg zdarzenia i sposób działania sprawcy, zamiast automatycznie kwalifikować każdą utratę pieniędzy jako nieautoryzowaną operację.

Jak zabezpieczyć PESEL i dokumenty po wycieku danych?

Zastrzeżenie PESEL, unieważnienie dowodu osobistego i wpis dokumentu do Systemu Dokumenty Zastrzeżone służą różnym celom. Przy rzeczywistym ryzyku wykorzystania tożsamości zastosuj odpowiednie zabezpieczenia bez zwłoki.

Od 1 czerwca 2024 r. określone ustawą podmioty, w tym banki, mają obowiązek sprawdzać zastrzeżenie PESEL przed wykonaniem wskazanych czynności, np. zawarciem umowy kredytu lub pożyczki. Zastrzeżony PESEL nie blokuje zwykłego przelewu, wypłaty z bankomatu, wizyty u lekarza, realizacji recepty ani typowych spraw urzędowych.

Jeżeli zgłosisz utratę własnego dowodu osobistego i masz ukończone 18 lat, Twój numer PESEL zostanie zastrzeżony z urzędu. Przy kradzieży dowodu możesz zgłosić zdarzenie Policji; dokument zostanie unieważniony z dniem zgłoszenia kradzieży.

W aplikacji mObywatel można zastrzec w Systemie Dokumenty Zastrzeżone dowód osobisty, paszport i prawo jazdy. Dokument można również zastrzec za pośrednictwem banku. Zgłoszenie w jednym banku uczestniczącym w Systemie DZ wystarczy, aby informacja została przekazana pozostałym uczestnikom systemu.

Jeżeli dokument jedynie się zawieruszył i jest to e-dowód spełniający warunki usługi zawieszenia, można rozważyć jego czasowe zawieszenie. Przy rzeczywistej utracie lub kradzieży należy go unieważnić.

Co sprawdzić w kolejnych dniach po incydencie?

Po zatrzymaniu bezpośredniego zagrożenia sprawdź, czy sprawca nie pozostawił sobie innego sposobu dostępu do Twoich pieniędzy, poczty, numeru telefonu lub danych osobowych.

• Korespondencja – zachowaj numery reklamacji, zgłoszeń oraz potwierdzenia kontaktu z bankiem, CERT Polska i Policją, jeżeli sprawa została zgłoszona.
• Bankowość – sprawdź listę urządzeń, odbiorców przelewów, limity, dane kontaktowe i historię operacji.
• Hasła – zmień przejęte lub powtarzane hasła, zaczynając od poczty elektronicznej i usług pozwalających resetować dostęp do innych kont.
• Poczta – sprawdź aktywne sesje, filtry, reguły przekierowania i adresy odzyskiwania konta.
• Urządzenia – po zabezpieczeniu dowodów usuń oprogramowanie instalowane na polecenie oszusta, zaktualizuj system i aplikacje oraz wykonaj kontrolę bezpieczeństwa urządzenia.
• Numer telefonu – sprawdź u operatora zmiany dotyczące SIM/eSIM i zabezpieczenia konta abonenckiego.
• Tożsamość – zweryfikuj status PESEL i dokumentów oraz reaguj na informacje o zapytaniach kredytowych lub próbach zawarcia umowy.
• Limity – ustaw wartości dostosowane do codziennych potrzeb zamiast utrzymywać maksymalne limity przelewów, kart i BLIK.

Jak ograniczyć ryzyko kolejnego oszustwa?

Największą ochronę daje połączenie niskich limitów, powiadomień o operacjach, unikalnych haseł i zasady, że kodów autoryzacyjnych oraz danych logowania nie przekazuje się innym osobom.

• Limity – dostosuj dzienne limity przelewów, BLIK i kart do rzeczywistych potrzeb. Podwyższaj je tylko wtedy, gdy jest to potrzebne.
• Powiadomienia – włącz dostępne w banku alerty o transakcjach, nowych urządzeniach, zmianach danych i innych istotnych zdarzeniach.
• Kody – nie przekazuj kodów BLIK, PIN-ów, haseł ani kodów SMS podczas rozmowy telefonicznej, przez komunikator ani w formularzu otwartym z otrzymanego linku.
• Komunikaty autoryzacyjne – przed zatwierdzeniem sprawdź kwotę, odbiorcę i rodzaj operacji, zamiast potwierdzać ją automatycznie.
• Poczta elektroniczna – stosuj unikalne hasło i MFA. Konto e-mail jest szczególnie ważne, ponieważ często służy do odzyskiwania dostępu do innych usług.
• Urządzenia – aktualizuj system i aplikacje, korzystaj z blokady ekranu i instaluj programy tylko z zaufanych źródeł.
• Rozmowy z bankiem – jeżeli ktoś wywołuje presję czasu, zakończ rozmowę i samodzielnie skontaktuj się z bankiem.
• PESEL – jeżeli nie potrzebujesz wykonywać czynności wymagających cofnięcia zastrzeżenia, możesz utrzymywać numer PESEL zastrzeżony.

Słowniczek pojęć

FAQ – najczęściej zadawane pytania