Podszywanie się pod bank przez spoofing numeru telefonu – jak działa oszustwo i jak nie dać się okraść?

Czym jest spoofing numeru telefonu i jak oszuści podszywają się pod bank?

W praktyce oszust może wykorzystać rozwiązania telekomunikacyjne, w tym telefonię internetową, aby wyświetlany identyfikator wzbudzał zaufanie. Możesz zobaczyć numer banku, Policji albo urzędu, mimo że połączenie nie pochodzi z tej instytucji. Samo sfałszowanie identyfikatora połączenia nie powoduje jeszcze utraty pieniędzy – spoofing służy przede wszystkim uwiarygodnieniu dalszej manipulacji.

Drugi etap to socjotechnika. Rozmówca wywołuje lęk i poczucie, że tylko natychmiastowe wykonanie jego instrukcji zatrzyma stratę pieniędzy. Najpierw buduje wiarygodność, potem tworzy fałszywy alarm, następnie wymusza określone działanie. Dlatego najważniejsze jest nie to, jaki numer widzisz, tylko to, czego rozmówca od Ciebie żąda.

• Etap 1 – fałszywa wiarygodność – numer banku lub jego nazwa na ekranie.
• Etap 2 – alarm – rzekomy atak, kredyt na Twoje dane albo podejrzany przelew.
• Etap 3 – wymuszenie działania – kod BLIK, przelew, instalacja aplikacji, logowanie.
• Etap 4 – szkoda – utrata pieniędzy, danych albo kontroli nad urządzeniem.

Spoofing, vishing, phishing i smishing – czym się różnią?

Pojęcia opisują różne elementy lub kanały oszustwa i nie są synonimami. W jednym ataku mogą występować jednocześnie, np. vishing może wykorzystywać CLI spoofing.

Czy numer infolinii banku na ekranie może być fałszywy i jak to działa?

CERT Polska, KNF i instytucje publiczne ostrzegają, że przestępcy mogą doprowadzić do wyświetlenia numeru kojarzonego z bankiem albo inną zaufaną instytucją. Odbiorca widzi identyfikator połączenia, ale nie otrzymuje w ten sposób gwarancji, że rozmowa rzeczywiście pochodzi od właściciela tego numeru.

Od 26/09/2024 r. przedsiębiorcy telekomunikacyjni mają obowiązek aktywnie przeciwdziałać CLI spoofingowi. Stosowane rozwiązania obejmują analizę ruchu oraz mechanizmy blokowania połączeń lub ukrywania identyfikacji numeru w określonych przypadkach. Ochrona techniczna ogranicza ryzyko, ale go nie eliminuje.

Nie oddzwaniaj automatycznie na numer z historii połączeń. Bezpieczny kontakt powinien wychodzić od Ciebie i opierać się na numerze znalezionym samodzielnie na oficjalnej stronie banku lub w jego aplikacji.

Po czym rozpoznać, że telefon z banku jest próbą oszustwa?

Typowy schemat brzmi wiarygodnie: ktoś chce wziąć kredyt na Twoje dane, z Twojego konta wychodzi przelew, urządzenie zostało zainfekowane albo trzeba natychmiast „zabezpieczyć środki”. Celem takiej narracji jest ograniczenie czasu na samodzielną weryfikację sytuacji.

• Prośba o login, hasło, PIN, kod BLIK, kod SMS lub przepisanie treści autoryzacji – sygnał alarmowy.
• Żądanie pełnych danych karty lub danych logowania – sygnał alarmowy.
• Polecenie instalacji programu do zdalnego dostępu – sygnał alarmowy.
• Namawianie do przelewu na „rachunek techniczny” albo „konto bezpieczeństwa” – sygnał alarmowy.
• Zakaz rozłączenia się i samodzielnego oddzwonienia – sygnał alarmowy.

Część banków udostępnia funkcje pozwalające potwierdzić tożsamość konsultanta w aplikacji mobilnej. Nie jest to jednolity mechanizm stosowany przez wszystkie banki. Jeżeli Twój bank oferuje takie rozwiązanie, korzystaj z procedury opisanej przez ten bank.

Jak wygląda najczęstszy scenariusz oszustwa na pracownika banku krok po kroku?

1. Telefon „z banku” – na ekranie widzisz numer lub nazwę instytucji, a rozmówca przedstawia się jako pracownik działu bezpieczeństwa.
2. Budowa zaufania – oszust może podać fragment Twoich danych albo informacje, które mają uwiarygodnić rozmowę.
3. Wzbudzenie paniki – słyszysz o podejrzanym kredycie, przelewie, logowaniu albo zagrożeniu środków.
4. Przejęcie sterowania – rozmówca każe Ci się zalogować, odczytać kod, zainstalować aplikację albo wykonać przelew.
5. Finalizacja – może dojść do przekazania pieniędzy, wykonania niechcianej operacji albo przejęcia danych lub urządzenia.

Przykładowy wariant wygląda tak: słyszysz, że ktoś uruchomił wniosek o kredyt na 30 000 zł na Twoje dane. Żeby „zatrzymać procedurę”, masz wykonać przelew na wskazany rachunek albo potwierdzić czynność w aplikacji. Kwota jest wyłącznie przykładem mechanizmu manipulacji. Bank nie zabezpiecza pieniędzy klienta przez polecenie przelewu na rzekome „bezpieczne konto”.

Największe ryzyko pojawia się wtedy, gdy zaczynasz wykonywać instrukcje rozmówcy: podajesz kod, akceptujesz powiadomienie, dodajesz urządzenie, instalujesz program zdalnego dostępu albo wykonujesz przelew.

Jakich danych, kodów i działań nie podawać ani nie potwierdzać przez telefon?

Nie przekazuj informacji służących do logowania lub potwierdzania operacji. Nie instaluj aplikacji do „skanowania bezpieczeństwa”, „ochrony rachunku” albo „weryfikacji urządzenia” na polecenie osoby, która niespodziewanie do Ciebie zadzwoniła.

Bank może stosować własną procedurę weryfikacji klienta, dlatego nie należy utożsamiać każdego pytania identyfikacyjnego z próbą oszustwa. Sygnałem alarmowym jest natomiast żądanie danych lub czynności umożliwiających zalogowanie, zatwierdzenie transakcji albo przejęcie kontroli nad urządzeniem.

Jeśli czynność służy do zatwierdzenia operacji, nie wykonuj jej pod dyktando nieoczekiwanego rozmówcy. Samodzielnie przeczytaj komunikat banku i sprawdź, czego rzeczywiście dotyczy.

Co zrobić od razu po podejrzanym telefonie z banku albo po ujawnieniu danych?

Co zrobiłeś podczas rozmowy i co powinieneś zrobić teraz?

1. Przerwij rozmowę i nie klikaj w żadne linki przesłane przez rozmówcę.
2. Samodzielnie skontaktuj się z bankiem przez oficjalny numer lub aplikację.
3. Zablokuj zagrożony dostęp do bankowości, kart, BLIK-a lub płatności mobilnych, jeśli sytuacja tego wymaga.
4. Zmień dane dostępowe z bezpiecznego urządzenia, jeśli mogły zostać ujawnione.
5. Zabezpiecz dowody przed usuwaniem wiadomości, aplikacji czy historii połączeń.
6. Zastrzeż PESEL, jeśli istnieje ryzyko wykorzystania numeru PESEL do dalszych nadużyć.

Zastrzeżenie numeru PESEL ogranicza możliwość wykorzystania go w określonych procesach wymagających weryfikacji zastrzeżenia, ale nie cofa operacji, które zostały już wykonane.

Czy bank odda pieniądze po spoofingu i od czego zależy reklamacja?

Przy nieautoryzowanej transakcji płatniczej dostawca płatnika co do zasady zwraca płatnikowi jej kwotę niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu stosownego zgłoszenia, z uwzględnieniem warunków i wyjątków przewidzianych w ustawie.

Termin 13 miesięcy wynika z art. 44 ustawy i należy odróżnić go od reguły zwrotu z art. 46. Użytkownik powinien niezwłocznie powiadomić dostawcę o stwierdzonej nieautoryzowanej, niewykonanej lub nienależycie wykonanej transakcji. Jeżeli nie zrobi tego w terminie 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana, jego roszczenia względem dostawcy co do zasady wygasają, z zastrzeżeniami przewidzianymi w ustawie.

Odrębnie art. 46 reguluje odpowiedzialność za nieautoryzowane transakcje. W zakresie niezwłocznego zwrotu ustawa przewiduje wyjątek, gdy dostawca ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa po stronie płatnika i pisemnie informuje o tym organy powołane do ścigania przestępstw.

Największe spory dotyczą sytuacji, w których klient pod wpływem oszustwa sam wykonywał określone czynności. Bank może twierdzić, że transakcja została autoryzowana, ale samo zarejestrowane użycie instrumentu płatniczego nie jest wystarczające do udowodnienia, że użytkownik autoryzował transakcję ani że dopuścił się rażącego niedbalstwa. Znaczenie mają m.in. sposób uwierzytelnienia, treść komunikatów, przebieg manipulacji oraz konkretne zachowanie użytkownika.

W reklamacji nie ograniczaj się do stwierdzenia, że doszło do spoofingu. Opisz datę i godzinę rozmowy, numer widoczny na ekranie, polecenia rozmówcy, wykonane czynności, komunikaty banku, rodzaj transakcji oraz moment zgłoszenia sprawy.

Dla reklamacji dotyczących usług płatniczych odpowiedź powinna zostać udzielona co do zasady w terminie 15 dni roboczych, a w szczególnie skomplikowanych przypadkach – nie później niż w terminie 35 dni roboczych. Ogólny tryb reklamacyjny na rynku finansowym przewiduje zasadniczo terminy 30 i 60 dni.

Gdzie zgłosić spoofing numeru telefonu, oszustwo bankowe i nieautoryzowaną transakcję?

Jeżeli pieniądze zniknęły z konta albo istnieje ryzyko dalszych operacji, priorytetem jest zabezpieczenie rachunku i zgłoszenie sprawy bankowi. Poproś o numer sprawy, datę przyjęcia zgłoszenia i potwierdzenie zastosowanych blokad.

• Bank – blokada zagrożonych kanałów, reklamacja, ustalenie zakresu szkody i zabezpieczenie rachunku.
• Policja lub prokuratura – zawiadomienie o podejrzeniu popełnienia przestępstwa.
• CERT Polska – zgłoszenie elementów cyberincydentu, np. podejrzanych wiadomości, stron, numerów lub innych technicznych elementów ataku.
• Rzecznik Finansowy – możliwość uzyskania pomocy po wyczerpaniu postępowania reklamacyjnego lub w sporze z podmiotem rynku finansowego.

Zachowaj numer telefonu, datę i godzinę połączenia, screeny z aplikacji, treść SMS-ów i powiadomień push, historię rachunku, potwierdzenia operacji, informacje o programach instalowanych podczas rozmowy oraz korespondencję z bankiem.

Jak skutecznie zabezpieczyć konto, telefon i bankowość mobilną przed spoofingiem?

Ryzyka nie da się wyeliminować całkowicie, ale można je ograniczyć przez ustawienia bezpieczeństwa i właściwe zachowanie. Aktualny system operacyjny, blokada ekranu, kontrola uprawnień aplikacji, alerty z banku i uważne czytanie komunikatów autoryzacyjnych zmniejszają prawdopodobieństwo skutecznego ataku.

• Czytaj treść komunikatu przed zatwierdzeniem operacji.
• Nie działaj pod presją czasu – przerwij rozmowę i samodzielnie sprawdź sytuację.
• Nie instaluj aplikacji na polecenie nieoczekiwanego rozmówcy i nie udostępniaj mu zdalnego dostępu do urządzenia.
• Włącz alerty bezpieczeństwa oraz funkcję weryfikacji konsultanta, jeśli Twój bank ją udostępnia.
• Zastrzeż PESEL, jeśli istnieje ryzyko wykorzystania numeru PESEL do dalszych nadużyć.

Najbezpieczniejszą procedurą po alarmującym telefonie jest zakończenie rozmowy i samodzielne zainicjowanie kontaktu z bankiem. Nie oceniaj wiarygodności rozmówcy na podstawie samego numeru, głosu ani znajomości fragmentu Twoich danych.

Słowniczek pojęć

FAQ, najczęściej zadawane pytania

Źródła

• CERT Polska, „Fałszywi konsultanci”, CERT Polska – Fałszywi konsultanci
• CERT Polska, „Scam AnyDesk”, CERT Polska – Scam AnyDesk
• KNF, „Vishing”, KNF – Vishing
• KNF, „Phishing”, KNF – Phishing
• KNF, Encyklopedia cyberbezpieczeństwa, „Oszustwa telefoniczne”, KNF – Oszustwa telefoniczne
• Ministerstwo Cyfryzacji, „Uwaga Smishing!”, 24/04/2023 r., gov.pl – Smishing
• Ministerstwo Cyfryzacji, „Komunikat w sprawie zwalczania CLI spoofing”, 24/09/2024 r., gov.pl – CLI spoofing
• Ministerstwo Cyfryzacji, „Nowe przepisy zwalczające fałszywe połączenia już obowiązują”, 26/09/2024 r., gov.pl – nowe przepisy o fałszywych połączeniach
• Urząd Komunikacji Elektronicznej, „Rekomendacje dotyczące informacji o CLI spoofing”, 23/07/2024 r., UKE – rekomendacje dotyczące CLI spoofing
• ELI, „Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych”, tekst ujednolicony opracowany na podstawie t.j. Dz.U. z 2026 r. poz. 623 i 875, ELI – ustawa o usługach płatniczych
• UOKiK, „Nieautoryzowane transakcje – kolejne wszczęcia”, 14/02/2024 r., UOKiK – nieautoryzowane transakcje
• UOKiK, „Nieautoryzowane transakcje – FAQ”, UOKiK – FAQ o nieautoryzowanych transakcjach
• Rzecznik Finansowy, „Spór z bankiem lub ubezpieczycielem – kiedy po pomoc do Rzecznika Finansowego?”, 06/02/2026 r., Rzecznik Finansowy – kiedy szukać pomocy
• Rzecznik Finansowy, „Jak złożyć reklamację do banku lub ubezpieczyciela – ważne zmiany od 13 lutego 2026 r.”, 13/02/2026 r., Rzecznik Finansowy – reklamacje
• gov.pl, „Zastrzeż PESEL i zabezpiecz się przed oszustami”, 27/05/2024 r., gov.pl – zastrzeżenie PESEL
• CERT Polska, „Zgłoś incydent”, CERT Polska – zgłoś incydent
• PKO Bank Polski, „Jak sprawdzić, czy dzwoni pracownik banku”, PKO BP – weryfikacja pracownika banku

Dane i stan prawny aktualne na dzień: 21/08/2026 r.

Jak czytać przykłady: kwoty i scenariusze pokazują mechanikę oszustwa oraz możliwe działania po incydencie. O wyniku reklamacji i odpowiedzialności stron decydują okoliczności konkretnej sprawy, w tym sposób uwierzytelnienia i autoryzacji, komunikaty banku, przebieg zdarzenia oraz materiał dowodowy.