- Do bankowości internetowej wchodź przez aplikację banku, zapisaną zakładkę albo samodzielnie wpisany i sprawdzony adres. Nie loguj się przez link otrzymany w SMS-ie, e-mailu lub komunikatorze.
- Numer telefonu wyświetlony na ekranie nie potwierdza, że dzwoni bank. Przestępcy mogą podszyć się pod numer lub nazwę nadawcy. Przy podejrzanej rozmowie rozłącz się i samodzielnie zadzwoń na oficjalny numer banku.
- Ustaw możliwie niskie limity transakcji i włącz dostępne alerty bezpieczeństwa. Zakres limitów, blokad i powiadomień zależy od banku oraz rodzaju rachunku.
- Nie instaluj programu do zdalnego dostępu na polecenie osoby dzwoniącej. Bank nie potrzebuje przejęcia ekranu telefonu lub komputera, aby zabezpieczyć rachunek.
- Po podejrzeniu przejęcia urządzenia nie zmieniaj haseł na tym samym komputerze lub telefonie. Odłącz podejrzane urządzenie od sieci, a konta zabezpieczaj z zaufanego urządzenia.
- Nie każda strata pieniędzy oznacza prawnie transakcję nieautoryzowaną. Zgłoś bankowi rzeczywisty przebieg zdarzenia i nie przesądzaj samodzielnie kwalifikacji prawnej operacji.
Ochrona bankowości internetowej opiera się na czterech elementach: bezpiecznym logowaniu, zabezpieczonym urządzeniu, świadomym zatwierdzaniu operacji oraz limitach i alertach ograniczających skutki oszustwa.
Najczęstsze ataki na klientów banków nie wymagają przełamania zabezpieczeń samego banku. Przestępca próbuje skłonić użytkownika do ujawnienia danych, zatwierdzenia operacji, wykonania przelewu, podania kodu BLIK albo instalacji aplikacji umożliwiającej przejęcie urządzenia.
Skala zagrożenia pozostaje wysoka. CERT Polska podał, że w lipcu 2026 r. otrzymał 56,2 tys. zgłoszeń i zarejestrował 31,2 tys. incydentów cyberbezpieczeństwa. Od 1 stycznia do 31 lipca 2026 r. na Listę Ostrzeżeń przed niebezpiecznymi stronami wpisano 158,3 tys. szkodliwych domen. Dane te pokazują, dlaczego bezpieczeństwo bankowości powinno opierać się na kilku niezależnych warstwach ochrony.
Które zabezpieczenia warto włączyć najpierw?
| Priorytet | Co zrobić | Przed czym pomaga chronić |
|---|---|---|
| 1. Logowanie i autoryzacja | Korzystaj z aplikacji lub sprawdzonego adresu banku i mechanizmów uwierzytelniania udostępnionych przez bank. | Przejęciem samego hasła i częścią scenariuszy phishingowych. |
| 2. Limity i alerty | Ustaw niski limit przelewów i włącz dostępne powiadomienia o transakcjach, logowaniu oraz zmianach bezpieczeństwa. | Wysoką stratą i późnym zauważeniem nieoczekiwanej operacji. |
| 3. Telefon i komputer | Aktualizuj system, kontroluj aplikacje i rozszerzenia, nie instaluj oprogramowania z linków ani na polecenie rozmówcy. | Malware, zdalnym dostępem i przejęciem urządzenia. |
| 4. Poczta e-mail | Ustaw unikalne hasło, MFA dostępne u dostawcy poczty oraz sprawdzaj aktywne sesje i metody odzyskiwania konta. | Przejęciem skrzynki używanej do komunikacji i odzyskiwania dostępu. |
Jak oszuści przejmują dostęp do bankowości internetowej?
Najważniejsze scenariusze różnią się sposobem kontaktu, ale ich cel jest podobny – uzyskanie dostępu do pieniędzy, danych uwierzytelniających albo urządzenia.
- Phishing – fałszywy e-mail, wiadomość albo strona imitująca bank lub inną zaufaną usługę.
- Smishing – phishing prowadzony przez SMS, często z linkiem do fałszywej strony płatności lub logowania.
- Vishing – rozmowa telefoniczna, podczas której przestępca podszywa się np. pod pracownika banku, policjanta lub konsultanta bezpieczeństwa.
- Fałszywa pomoc techniczna – nakłanianie do instalacji programu umożliwiającego zdalny dostęp do urządzenia.
- Malware – złośliwe oprogramowanie próbujące przechwycić dane, SMS-y, ekran, powiadomienia albo kontrolę nad urządzeniem.
- Oszustwo z kodem BLIK – nakłanianie do przekazania kodu lub zatwierdzenia transakcji, której użytkownik sam nie rozpoczął.
| Scenariusz | Czego chce oszust | Najważniejsza reakcja |
|---|---|---|
| Phishing / smishing | Loginu, hasła, danych karty albo zatwierdzenia operacji. | Nie loguj się z linku. Otwórz bank samodzielnie. |
| Vishing | Kodów, autoryzacji, przelewu albo instalacji aplikacji. | Rozłącz się i samodzielnie zadzwoń do banku. |
| Zdalny dostęp | Kontroli nad ekranem i urządzeniem. | Nie instaluj narzędzia. Po podejrzanej instalacji odłącz urządzenie od sieci. |
| BLIK | Kodu i zatwierdzenia wypłaty lub płatności. | Nie podawaj kodu i nie zatwierdzaj transakcji, której sam nie rozpocząłeś. |
| Malware | Danych, uprawnień, SMS-ów, powiadomień lub kontroli urządzenia. | Odłącz urządzenie i użyj innego, zaufanego sprzętu do kontaktu z bankiem i zabezpieczenia kont. |
Jak zabezpieczyć logowanie do banku i autoryzację operacji?
Hasło do bankowości powinno być unikalne i nieużywane w innych serwisach. Jeżeli trudno Ci utrzymywać różne hasła do wielu usług, rozważ korzystanie z renomowanego menedżera haseł zamiast powtarzania tego samego hasła w banku, poczcie i innych serwisach.
W przypadkach wymaganych przepisami dostawcy usług płatniczych stosują silne uwierzytelnianie klienta (SCA). Opiera się ono na co najmniej dwóch niezależnych elementach należących do różnych kategorii, takich jak wiedza użytkownika, posiadane urządzenie lub jego cecha indywidualna. Konkretna metoda zależy od rozwiązania stosowanego przez bank, a przepisy przewidują także określone wyjątki od stosowania SCA.
Biometria, PIN aplikacji, hasło, kod SMS i potwierdzenie w aplikacji nie są pojęciami równoważnymi. Są elementami różnych mechanizmów uwierzytelniania i autoryzacji.
Przed każdym zatwierdzeniem sprawdź:
- rodzaj operacji – czy zatwierdzasz działanie, które sam rozpocząłeś;
- kwotę – czy odpowiada Twojemu zleceniu;
- odbiorcę i numer rachunku – czy dane są zgodne z planowaną transakcją;
- treść komunikatu – nie zatwierdzaj operacji dlatego, że ktoś przez telefon nazywa ją „anulowaniem”, „testem” albo „zabezpieczeniem pieniędzy”.
Ta sama zasada dotyczy BLIK. Nie podawaj kodu BLIK ani nie zatwierdzaj transakcji BLIK, której sam nie rozpocząłeś. Przed zatwierdzeniem sprawdź kwotę i rodzaj operacji widoczny w aplikacji.
Jak rozpoznać fałszywą stronę banku, phishing i fałszywy SMS?
Fałszywa strona może bardzo dokładnie odwzorowywać serwis transakcyjny. Może również korzystać z szyfrowanego połączenia HTTPS i prawidłowego certyfikatu TLS. Kłódka oznacza, że połączenie z daną stroną jest szyfrowane – nie oznacza, że właścicielem strony jest bank.
Do bankowości wchodź przez aplikację banku, własną zakładkę lub samodzielnie wpisany adres. Nie wystarczy sprawdzić, czy nazwa banku pojawia się gdzieś w URL-u. Liczy się rzeczywista domena, pod którą działa oficjalny serwis.
Jak zgłosić podejrzany SMS, stronę lub wiadomość?
Podejrzany SMS można przekazać do CERT Polska na numer 8080. Wiadomość najlepiej przekazać w oryginalnej formie, bez usuwania linku lub fragmentów treści. Z jednego numeru można zgłosić maksymalnie 3 wiadomości w ciągu 4 godzin.
Podejrzane strony, e-maile i inne incydenty można zgłaszać przez formularz incydent.cert.pl. Dostępna jest również usługa „Bezpiecznie w sieci” w aplikacji mObywatel, umożliwiająca zgłaszanie podejrzanych treści i incydentów.
Jak rozpoznać fałszywy telefon z banku i spoofing numeru?
Typowy vishing rozpoczyna się od informacji o „podejrzanym przelewie”, „wniosku kredytowym”, „blokadzie konta” lub „zagrożonych oszczędnościach”. Rozmówca próbuje następnie wywołać presję i skłonić ofiarę do natychmiastowego działania.
Sygnałem ostrzegawczym jest polecenie:
- podania kodu lub hasła;
- zatwierdzenia operacji w aplikacji;
- podania kodu BLIK;
- wykonania przelewu na „bezpieczne”, „techniczne” albo „rezerwowe” konto;
- instalacji programu do zdalnego pulpitu;
- pozostania na linii i niekontaktowania się z inną osobą;
- wypłaty gotówki lub dalszego przekazania środków.
Jak chronić konto przed zdalnym pulpitem i fałszywą pomocą techniczną?
Narzędzia do zdalnego dostępu są legalnym oprogramowaniem, ale mogą zostać wykorzystane w oszustwie. Po uzyskaniu dostępu przestępca może obserwować ekran, sterować urządzeniem, nakłaniać do logowania do banku albo próbować przejąć wykonywane operacje.
Na telefonie szczególną ostrożność powinny wzbudzić żądania nadania aplikacji szerokich uprawnień, np. dostępu do ułatwień dostępu, zarządzania urządzeniem, odczytu ekranu, SMS-ów lub powiadomień, jeśli nie rozumiesz, dlaczego konkretna aplikacja tego potrzebuje.
Samo odinstalowanie programu nie zawsze wystarcza, jeżeli nie wiadomo, jakie dodatkowe aplikacje, konfiguracje lub uprawnienia zostały wcześniej wprowadzone. Podejrzane urządzenie powinno zostać przywrócone do bezpiecznego stanu przed ponownym wykorzystaniem do bankowości.
Jak zabezpieczyć komputer używany do bankowości internetowej?
Największe znaczenie mają aktualny system, aktualna przeglądarka, ograniczona liczba zaufanych rozszerzeń oraz brak przypadkowego oprogramowania. Oddzielny profil lub konto użytkownika może być dodatkową warstwą ochrony, ale nie zastępuje podstawowych zabezpieczeń.
- Aktualizuj system i przeglądarkę – poprawki bezpieczeństwa usuwają znane podatności.
- Usuń nieużywane rozszerzenia – szczególnie dodatki instalowane z nieznanych źródeł.
- Nie instaluj programów z linku otrzymanego w wiadomości lub podczas rozmowy telefonicznej.
- Używaj blokady ekranu i osobnego konta użytkownika, jeżeli komputer jest współdzielony.
- Nie zapisuj danych logowania w niezabezpieczonych plikach i notatkach.
Czy warto mieć oddzielny profil przeglądarki do banku?
Może to być dodatkowe zabezpieczenie, szczególnie gdy na co dzień korzystasz z dużej liczby rozszerzeń i usług internetowych. Profil przeznaczony wyłącznie do bankowości powinien mieć minimum dodatków i być używany tylko do zaufanych stron. Nie chroni jednak przed wpisaniem danych na fałszywej stronie ani przed zatwierdzeniem operacji pod wpływem oszusta.
Jak zabezpieczyć telefon, kartę SIM i aplikację bankową?
Ustaw silną blokadę ekranu i dostępne zabezpieczenia biometryczne. Włącz automatyczne aktualizacje systemu oraz aplikacji. Instaluj aplikacje z oficjalnego sklepu i sprawdzaj ich wydawcę, nazwę oraz żądane uprawnienia.
Warto ograniczyć wyświetlanie pełnej treści wrażliwych powiadomień na zablokowanym ekranie, szczególnie jeśli zawierają informacje bankowe lub kody.
Co zrobić po zgubieniu lub kradzieży telefonu?
Jeżeli telefon z aplikacją bankową został zgubiony lub skradziony, skontaktuj się z bankiem i operatorem komórkowym. Jeżeli system urządzenia udostępnia funkcję zdalnego zablokowania lub usunięcia danych, skorzystaj z niej zgodnie z instrukcją producenta. Jeżeli jest to możliwe, wyloguj utracone urządzenie z ważnych kont i zakończ jego aktywne sesje. Zabezpiecz również pocztę e-mail oraz inne usługi dostępne z telefonu.
Co to jest SIM swap?
SIM swap to nieuprawnione przejęcie obsługi numeru telefonu, np. przez wydanie nowej karty SIM lub eSIM albo inną zmianę pozwalającą przestępcy odbierać komunikację przeznaczoną dla właściciela numeru.
Nagła utrata zasięgu bez oczywistej przyczyny nie jest dowodem SIM swap, ale może być sygnałem wymagającym szybkiego sprawdzenia. Jeżeli telefon niespodziewanie przestaje łączyć się z siecią:
- skontaktuj się z operatorem innym kanałem i sprawdź status numeru;
- zweryfikuj, czy nie wydano nowej karty SIM/eSIM lub nie zmieniono danych;
- jeżeli numer jest używany do bankowości, równolegle skontaktuj się z bankiem;
- sprawdź historię operacji, logowań i urządzeń, jeśli bank udostępnia takie informacje.
Jak ustawić limity, powiadomienia i blokady przelewów?
Ustaw stały limit przelewów na poziomie odpowiadającym codziennym potrzebom. Jeżeli potrzebujesz jednorazowo wysłać większą kwotę, zmień limit dopiero przed operacją i po jej wykonaniu przywróć niższą wartość.
Zakres zabezpieczeń jest różny w poszczególnych bankach. Włącz te funkcje, które są dostępne dla Twojego rachunku, zwłaszcza powiadomienia dotyczące:
- logowania lub aktywacji nowego urządzenia;
- wykonania przelewu;
- zmiany limitów;
- zmiany danych kontaktowych i ustawień bezpieczeństwa;
- dodania nowego odbiorcy, jeśli bank oferuje taki alert.
| Ustawienie | Dlaczego jest przydatne | Na co uważać |
|---|---|---|
| Limit dzienny / jednorazowy | Ogranicza kwotę możliwą do wysłania bez zmiany limitu. | Nie podnoś limitu na polecenie osoby dzwoniącej. |
| Alert o przelewie | Pozwala szybciej zauważyć nieoczekiwaną operację. | Sprawdź, czy powiadomienia są faktycznie aktywne. |
| Alert o zmianie ustawień | Może ostrzec o zmianie limitu, danych lub konfiguracji konta. | Dostępność zależy od banku. |
| Blokada wybranych operacji | Może wyłączyć nieużywany typ przelewu lub płatności. | Nie wszystkie banki udostępniają takie blokady. |
Czy warto korzystać z listy zaufanych odbiorców?
Lista zaufanych odbiorców nie powinna być traktowana jako samodzielne zabezpieczenie. W niektórych bankach przelewy do odbiorcy zapisanego jako zaufany mogą korzystać z uproszczonej autoryzacji. Nie dodawaj odbiorcy jako zaufanego na polecenie osoby dzwoniącej i okresowo usuwaj wpisy, których już nie potrzebujesz.
Co zrobić po podejrzeniu oszustwa lub utracie pieniędzy?
Nie istnieje ustawowy „limit 15 minut” na reakcję. Podział na pierwsze minuty i kolejne godziny jest praktyczną kolejnością działań – przy aktywnym oszustwie szybka reakcja może ograniczyć dalsze skutki.
Co zrobić natychmiast?
- Przerwij kontakt z oszustem – rozłącz połączenie i przestań wykonywać jego polecenia.
- Skontaktuj się z bankiem oficjalnym kanałem – poproś o zabezpieczenie dostępu, rachunku i instrumentów płatniczych odpowiednio do sytuacji.
- Jeżeli podejrzewasz przejęcie komputera lub telefonu, odłącz to urządzenie od internetu.
- Do dalszego kontaktu i zmiany haseł użyj innego, zaufanego urządzenia.
- Sprawdź historię operacji i zmian – przelewy, odbiorców, limity, dane kontaktowe oraz aktywne urządzenia lub sesje, jeżeli bank udostępnia takie informacje.
- Zabezpiecz dowody – treść SMS-ów i e-maili, numer telefonu, adres strony, potwierdzenia operacji, godziny zdarzeń i zrzuty ekranu.
- Nie zmieniaj hasła na urządzeniu, które może być przejęte – nowe dane również mogą zostać przechwycone.
- Nie oddzwaniaj na numer wskazany przez rozmówcę ani nie korzystaj z linku z wiadomości – użyj oficjalnego kanału banku.
- Nie usuwaj od razu wiadomości, potwierdzeń i innych śladów zdarzenia – najpierw zabezpiecz informacje, które mogą być potrzebne bankowi lub organom ścigania.
Kiedy transakcja jest nieautoryzowana?
Transakcja nieautoryzowana to transakcja, na którą użytkownik nie wyraził zgody. Sam fakt użycia prawidłowego loginu, hasła, kodu albo mechanizmu uwierzytelnienia nie rozstrzyga jeszcze, że dana transakcja została przez użytkownika autoryzowana.
Samo wykazanie przez bank zarejestrowanego użycia instrumentu płatniczego nie wystarcza do udowodnienia, że użytkownik autoryzował transakcję albo dopuścił się umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia swoich obowiązków.
Jeżeli sam wykonałeś przelew pod wpływem manipulacji oszusta, zgłoś bankowi oszustwo i dokładnie opisz przebieg zdarzenia. Nie przesądzaj samodzielnie kwalifikacji prawnej transakcji. Znaczenie ma m.in. to, na jaką operację faktycznie wyraziłeś zgodę i jakie informacje przedstawiono Ci podczas jej zatwierdzania.
Kiedy bank zwraca środki po transakcji nieautoryzowanej?
Wyrok TSUE z 15 października 2026 r., C-70/25: zarzut rażącego niedbalstwa płatnika nie pozwala bankowi odmówić bezzwłocznego zwrotu nieautoryzowanej płatności. Późniejsze roszczenie banku wobec klienta jest odrębną kwestią i wymaga wykazania ustawowych przesłanek. Pełny wyrok TSUE.
W przypadku nieautoryzowanej transakcji płatniczej ustawa o usługach płatniczych przewiduje co do zasady zwrot kwoty niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia nieautoryzowanej transakcji przez dostawcę albo otrzymania zgłoszenia. Wyjątek dotyczy uzasadnionego i należycie udokumentowanego podejrzenia oszustwa samego płatnika, o którym dostawca pisemnie zawiadamia organy ścigania. Zgłoszenia trzeba dokonać bez zbędnej zwłoki; co do zasady po 13 miesiącach od obciążenia rachunku lub dnia, w którym transakcja miała być wykonana, roszczenia wygasają. Tego terminu nie stosuje się, jeżeli dostawca nie udostępnił wymaganych informacji o transakcji.
Ustawowy mechanizm zwrotu dotyczy transakcji nieautoryzowanych, dlatego w reklamacji należy zgodnie z prawdą opisać przebieg zdarzenia i zakres udzielonej zgody.
Gdzie zgłosić rzeczywiste przestępstwo?
Jeżeli doszło do kradzieży pieniędzy, przejęcia danych lub innego przestępstwa, poza kontaktem z bankiem i CERT Polska można złożyć zawiadomienie Policji lub prokuraturze. Zachowaj potwierdzenie złożenia zawiadomienia oraz numer sprawy. CERT Polska przyjmuje zgłoszenia incydentów cyberbezpieczeństwa, ale nie zastępuje banku, reklamacji ani organów ścigania.
Co zrobić w zależności od rodzaju incydentu?
Reakcja powinna odpowiadać temu, co faktycznie się wydarzyło. Samo otrzymanie podejrzanego SMS-a wymaga innych działań niż przekazanie danych, zatwierdzenie operacji albo przejęcie telefonu.
| Co się wydarzyło? | Pierwsze działanie | Co zabezpieczyć dalej | Gdzie zgłosić |
|---|---|---|---|
| Tylko otrzymałeś podejrzany SMS | Nie klikaj linku i nie odpowiadaj. | Jeżeli niczego nie podałeś ani nie instalowałeś, sama wiadomość nie wymaga zmiany hasła. | 8080 / CERT Polska. |
| Podałeś login lub hasło na fałszywej stronie | Skontaktuj się z bankiem i zabezpiecz dostęp. | Zmień zagrożone hasło z zaufanego urządzenia. Jeśli było używane również w innym serwisie, zmień je także tam. Sprawdź sesje, urządzenia i e-mail powiązany z bankiem. | Bank + CERT Polska. |
| Zatwierdziłeś podejrzaną operację | Natychmiast skontaktuj się z bankiem. | Rachunek, limity, odbiorcy i aktywne urządzenia. | Bank; przy podejrzeniu przestępstwa także Policja lub prokuratura. |
| Podałeś kod BLIK lub zatwierdziłeś cudzą transakcję | Niezwłocznie skontaktuj się z bankiem. | Historia operacji i bezpieczeństwo aplikacji. | Bank; przy oszustwie także Policja lub prokuratura. |
| Zainstalowałeś zdalny pulpit lub podejrzaną aplikację | Odłącz urządzenie od sieci. | Bank i e-mail zabezpiecz z innego, zaufanego urządzenia; następnie przywróć bezpieczeństwo urządzenia. | Bank + CERT Polska; przy stracie także Policja lub prokuratura. |
| Podałeś dane karty | Skontaktuj się z bankiem i zabezpiecz kartę zgodnie z jego procedurą. | Historia transakcji i inne dane przekazane oszustowi. | Bank; przy oszustwie także organy ścigania. |
| Telefon został zgubiony lub skradziony | Bank + operator; jeśli to możliwe, zdalnie zablokuj urządzenie. | Aplikacja bankowa, numer telefonu, poczta, ważne konta i aktywne sesje. | Bank + operator; w przypadku kradzieży Policja. |
| Podejrzewasz SIM swap | Skontaktuj się z operatorem i bankiem. | Numer, bankowość, e-mail i metody odzyskiwania dostępu. | Operator + bank; przy przestępstwie Policja lub prokuratura. |
Co daje konkretne zabezpieczenie, a czego nie daje?
Żadne pojedyncze zabezpieczenie nie chroni przed wszystkimi scenariuszami. Najlepszy efekt daje łączenie kilku niezależnych warstw ochrony.
| Zabezpieczenie | Pomaga ograniczyć | Nie chroni samo w sobie przed |
|---|---|---|
| Niski limit przelewów | Wysoką kwotą możliwą do wysłania bez wcześniejszej zmiany limitu. | Phishingiem i wyłudzeniem danych. |
| Potwierdzenie operacji w aplikacji | Skutkami przejęcia samego loginu i hasła. | Świadomym zatwierdzeniem operacji pod wpływem oszusta. |
| Biometria | Użyciem aplikacji przez osobę, która nie może przejść kontroli biometrycznej. | Socjotechniką skierowaną do właściciela urządzenia. |
| HTTPS | Podsłuchem treści przesyłanej między przeglądarką a daną stroną. | Fałszywą stroną korzystającą z własnego certyfikatu. |
| Oddzielny profil przeglądarki | Częścią ryzyk związanych z dodatkami i codziennym profilem przeglądarki. | Phishingiem, vishingiem i błędnym zatwierdzeniem operacji. |
| Alert transakcyjny | Opóźnionym zauważeniem nieoczekiwanej operacji. | Samym wykonaniem transakcji. |
| Unikalne hasło | Skutkami wycieku tego samego hasła z innego serwisu. | Podaniem hasła na fałszywej stronie banku. |
Checklista działań po podejrzeniu oszustwa
Pierwsze minuty
- Przerwij kontakt – rozłącz telefon, nie klikaj kolejnych linków i niczego nie zatwierdzaj.
- Zadzwoń do banku oficjalnym kanałem i zgłoś podejrzenie oszustwa.
- Zablokuj zagrożone usługi lub instrumenty zgodnie z instrukcją banku.
- Odłącz podejrzane urządzenie od sieci, jeśli instalowano zdalny pulpit lub podejrzewasz malware.
- Nie wpisuj nowych haseł na podejrzanym urządzeniu.
- Sprawdź operacje, limity, odbiorców i aktywne urządzenia, jeśli bank udostępnia takie dane.
- Zabezpiecz dowody – wiadomości, numery, adresy stron, potwierdzenia i godziny zdarzeń.
Kolejne godziny
- Z zaufanego urządzenia zmień zagrożone hasła. Jeśli przejęte hasło było używane również w innych serwisach, zmień je także tam.
- Sprawdź sesje i urządzenia zalogowane do poczty oraz innych ważnych kont i wyloguj te, których nie rozpoznajesz.
- Zgłoś podejrzany SMS na 8080 lub incydent przez incydent.cert.pl albo usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
- Złóż reklamację dotyczącą nieautoryzowanych transakcji, jeżeli okoliczności wskazują, że nie wyraziłeś zgody na dane operacje.
- Jeżeli sam wykonałeś przelew pod wpływem oszustwa, dokładnie opisz bankowi przebieg zdarzenia i nie przesądzaj samodzielnie kwalifikacji prawnej transakcji.
- Zawiadom Policję lub prokuraturę, jeżeli doszło do kradzieży pieniędzy, przejęcia danych lub innego przestępstwa.
- Jeżeli podejrzewasz SIM swap – skontaktuj się z operatorem i zweryfikuj status numeru, karty SIM/eSIM oraz ostatnie zmiany.
- Przywróć podejrzane urządzenie do bezpiecznego stanu przed ponownym użyciem do bankowości.
- Po opanowaniu incydentu obniż limity i włącz dostępne alerty, jeśli wcześniej były wyłączone.
Słowniczek pojęć
FAQ – najczęściej zadawane pytania
Czy kłódka i HTTPS oznaczają, że strona banku jest prawdziwa?
Nie. HTTPS oznacza szyfrowane połączenie z daną stroną, ale fałszywa strona również może mieć prawidłowy certyfikat. Sprawdź rzeczywistą domenę banku.
Czy numer banku wyświetlony podczas połączenia potwierdza, że dzwoni bank?
Nie. Identyfikację numeru można sfałszować. Przy podejrzanej rozmowie rozłącz się i samodzielnie zadzwoń na oficjalny numer banku.
Gdzie zgłosić fałszywy SMS z linkiem?
Podejrzany SMS przekaż w oryginalnej formie na numer 8080 obsługiwany przez CERT Polska. Inne incydenty można zgłaszać przez incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
Czy bank może prosić o zainstalowanie programu do zdalnego pulpitu?
Nie instaluj takiego programu na polecenie osoby dzwoniącej w sprawie bezpieczeństwa rachunku. W razie wątpliwości zakończ rozmowę i skontaktuj się z bankiem oficjalnym kanałem.
Czy można podać kod BLIK osobie, która twierdzi, że chce oddać pieniądze?
Nie podawaj kodu BLIK do transakcji, której sam nie rozpocząłeś. Przed zatwierdzeniem sprawdź kwotę i rodzaj transakcji w aplikacji.
Czy każda strata pieniędzy wskutek oszustwa jest transakcją nieautoryzowaną?
Nie należy tego automatycznie zakładać. Znaczenie ma m.in. to, na jaką operację użytkownik faktycznie wyraził zgodę. Bankowi trzeba dokładnie opisać rzeczywisty przebieg zdarzenia.
W jakim terminie bank powinien zwrócić kwotę nieautoryzowanej transakcji?
Co do zasady zwrot powinien nastąpić niezwłocznie, najpóźniej do końca dnia roboczego następującego po stwierdzeniu nieautoryzowanej transakcji lub otrzymaniu zgłoszenia. Ustawa przewiduje wyjątki od tej zasady.
Źródła i podstawa prawna
- CERT Polska – „Raport roczny z działalności CERT Polska w 2025 roku”, 08/04/2026 r.
- CERT Polska – „Podsumowanie Miesiąca CERT Polska nr 7/2026”, lipiec 2026 r.
- Gov.pl – „Dostałeś niepokojący SMS albo email? Zgłoś go do CERT Polska (CSIRT NASK)”
- Ministerstwo Cyfryzacji – informacje o phishingu, zgłaszaniu incydentów i usłudze „Bezpiecznie w sieci”
- CERT Polska – „Fałszywi konsultanci”
- ELI – ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, tekst jednolity: Dz.U. 2026 poz. 623
- Rzecznik Finansowy – informacje o transakcjach nieautoryzowanych
- KNF – informacje o vishingu i spoofingu numeru telefonu
Co możesz zrobić po przeczytaniu tego artykułu?
- Sprawdź limity przelewów i obniż je do poziomu odpowiadającego codziennym potrzebom.
- Włącz dostępne alerty dotyczące transakcji, logowania i zmian bezpieczeństwa.
- Sprawdź zabezpieczenie poczty e-mail powiązanej z bankiem.
- Usuń nieużywane aplikacje i rozszerzenia z urządzeń wykorzystywanych do bankowości.
- Zapisz oficjalny numer banku, aby w sytuacji podejrzanej rozmowy nie szukać go pod presją czasu.
- Zapamiętaj numer 8080 do zgłaszania podejrzanych wiadomości SMS do CERT Polska.
Aktualizacja źródłowa: 17 sierpnia 2026 r. Kontrola i korekta 23 października 2026 r.: statystyki CERT, procedury bezpieczeństwa, zgłoszenia i wyrok TSUE C-70/25.
Autor: Jacek Grudniewski
Ekspert ds. produktów finansowych
Kontakt za pośrednictwem LinkedIn:
https://www.linkedin.com/in/jacekgrudniewski/
Treści przedstawione w artykule mają wyłącznie charakter informacyjny i edukacyjny. Nie stanowią porady prawnej, podatkowej ani finansowej w rozumieniu przepisów prawa. Przed podjęciem decyzji mającej wpływ na Twoje finanse, skonsultuj się z właściwym specjalistą.