Oszustwo może zacząć się od SMS-a o dopłacie do paczki, telefonu z „banku”, wiadomości od znajomego albo oferty na portalu sprzedażowym. Nie zawsze zdradzają je błędy językowe czy podejrzane logo. Ważniejsze jest to, do jakiego działania ktoś Cię nakłania: wpisania danych, podania kodu, zainstalowania programu albo szybkiego wysłania pieniędzy.
Przykład hipotetyczny: Anna otrzymuje SMS z informacją, że przesyłka jest wstrzymana i trzeba w ciągu pół godziny dopłacić kilka złotych przez podany link. To wyłącznie modelowa sytuacja, a nie relacja z prawdziwego zdarzenia. Pokazuje, jak zastosować kilka prostych zasad, zanim kliknie się w link lub zatwierdzi płatność.
Jak rozpoznać próbę wyłudzenia?
Pojedynczy sygnał nie zawsze dowodzi oszustwa, ale powinien skłonić do zatrzymania się i niezależnego sprawdzenia sprawy. CERT Polska wskazuje m.in. presję czasu, silne emocje, niewielką „dopłatę”, nietypowy kanał kontaktu oraz prośby o dane lub kody. Brak literówek nie potwierdza autentyczności wiadomości, a fałszywa strona może wyglądać niemal identycznie jak prawdziwa.
- Ktoś wymusza pośpiech. Grozi blokadą konta, zwrotem paczki albo utratą okazji, jeśli nie zareagujesz natychmiast. W przykładzie Anny termin pół godziny ma ograniczyć czas na sprawdzenie wiadomości.
- Prosi o poufne dane lub autoryzację. Login, hasło, numer karty, kod CVV/CVC, kod SMS, potwierdzenie w aplikacji bankowej czy kod BLIK mogą dać dostęp do pieniędzy lub konta. Kod BLIK służy do zainicjowania płatności lub wypłaty, a nie do odebrania przelewu.
- Każe przelać środki na „bezpieczne konto” albo zainstalować program. Rzekomy konsultant banku nie powinien prosić o dane logowania, kod autoryzacyjny, przelew na wskazany rachunek ani instalację nieznanego narzędzia do zdalnej obsługi.
- Adres strony lub sposób kontaktu się nie zgadza. Sprawdź pełną nazwę domeny. Sama nazwa nadawcy, numer telefonu, logo czy wygląd strony nie wystarczają do potwierdzenia, że kontakt jest prawdziwy. Oszuści mogą podszywać się pod numer banku.
- Prośba przychodzi nietypowym kanałem. Sprzedający ma odebrać zapłatę przez link z komunikatora, członek rodziny pisze z nowego numeru albo „pracownik” chce przenieść rozmowę poza oficjalną aplikację.
W przypadku SMS-a Anny mała kwota i presja czasu nie dowodzą same w sobie, że wiadomość jest fałszywa. Bezpieczniej jednak nie otwierać linku: status przesyłki można sprawdzić, samodzielnie otwierając oficjalną aplikację lub wpisując znany adres firmy kurierskiej.
Co zrobić, gdy wiadomość tylko wzbudza podejrzenia?
- Wstrzymaj działanie. Nie klikaj, nie odpowiadaj, nie podawaj kodu i nie zatwierdzaj operacji w aplikacji. Jeśli dzwoni rzekomy pracownik banku, zakończ rozmowę.
- Sprawdź sprawę inną drogą. Otwórz aplikację lub stronę, z której korzystasz na co dzień, zamiast używać linku z wiadomości. Zadzwoń pod numer z karty, aplikacji lub oficjalnej strony. Jeśli prosi bliska osoba, oddzwoń na zapisany wcześniej numer.
- Przeczytaj szczegóły autoryzacji. Zanim potwierdzisz operację, sprawdź jej opis, odbiorcę i kwotę. Jeśli aplikacja pokazuje coś innego niż to, co obiecuje rozmówca, anuluj potwierdzenie i skontaktuj się z bankiem samodzielnie.
- Zgłoś podejrzaną wiadomość. SMS-y można przekazać w niezmienionej formie na bezpłatny numer CERT Polska 8080. Podejrzaną stronę lub e-mail zgłoś przez formularz na incydent.cert.pl. Zrzut ekranu SMS-a nie zastępuje przekazania oryginalnej wiadomości.
W przykładzie Anna może sprawdzić przesyłkę bez korzystania z odsyłacza i przekazać SMS do CERT Polska. Zgłoszenie pomaga analizować i blokować zagrożenia, ale CERT nie prowadzi dochodzeń w celu ujęcia sprawców ani nie odzyskuje utraconych pieniędzy.
Co zrobić po kliknięciu lub przekazaniu danych?
Otworzyłeś stronę, ale niczego nie wpisałeś
Samo otwarcie linku zwykle nie oznacza, że urządzenie zostało przejęte. Zamknij stronę i nie pobieraj plików ani nie udzielaj uprawnień. Zadbaj o aktualizację systemu, przeglądarki i aplikacji; CERT Polska zaznacza, że aktualizacje ograniczają rzadkie przypadki, w których samo otwarcie strony może być niebezpieczne.
Wpisałeś hasło, dane karty lub kod albo zatwierdziłeś przelew
- Skontaktuj się z bankiem natychmiast przez numer z aplikacji, karty lub oficjalnej strony. Zgłoś, jakie dane przekazałeś i co zatwierdziłeś; poproś o zabezpieczenie dostępu, karty lub rachunku. Zapytaj o możliwość złożenia reklamacji, jeśli pojawiła się nieznana transakcja. Szybka reakcja jest ważna, ale sama w sobie nie gwarantuje cofnięcia płatności.
- Zmień hasło do przejętego konta oraz do innych serwisów, w których użyto tego samego hasła. Zrób to na zaufanym urządzeniu, wyloguj nieznane aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy nie dodano obcego urządzenia lub adresu odzyskiwania.
- Jeśli zainstalowano program do zdalnego dostępu, nie używaj tego urządzenia do bankowości. Skontaktuj się z bankiem z innego, zaufanego telefonu lub komputera i poproś o wskazówki dotyczące zabezpieczenia urządzenia.
- Jeśli ujawniono PESEL lub dane dokumentu, rozważ zastrzeżenie numeru PESEL w mObywatelu, serwisie gov.pl lub urzędzie gminy. Przy podejrzeniu kradzieży tożsamości sprawdź w mObywatelu także usługi dotyczące dokumentów i zgłoś sprawę Policji.
Gdy Anna wpisała już dane karty, jej pierwszym krokiem powinien być kontakt z bankiem, a nie dalsza rozmowa z nadawcą SMS-a. Jeśli jedynie otworzyła stronę, ale nie wpisała danych, niczego nie pobrała i niczego nie zatwierdziła, może zamknąć stronę, zaktualizować urządzenie i sprawdzić wiadomość niezależnym kanałem.
Gdzie zgłosić oszustwo i jakie informacje zachować?
Jeśli doszło do straty pieniędzy, kradzieży danych lub przejęcia konta, zgłoś sprawę Policji. Zachowaj SMS-y, e-maile, adres strony, numery telefonów, potwierdzenia przelewów, nazwy kont oraz daty i kwoty operacji. Nie kasuj korespondencji; przydatne mogą być również potwierdzenia z banku i numer zgłoszenia do banku. Zgłoszenie do CERT Polska służy analizie incydentu, natomiast zawiadomienie o przestępstwie składa się organom ścigania.
Najprostsza reguła brzmi: nie podejmuj decyzji o pieniądzach ani danych pod presją kontaktu, który sam do Ciebie dotarł. Wróć do oficjalnej aplikacji lub numeru, który znasz, i sprawdź, co faktycznie wymaga działania.
Sprawdzone źródła
Informacje o kanałach zgłoszeń i usługach publicznych sprawdzono 4 listopada 2026 r. Wymienione działania pomagają ograniczyć skutki, ale nie gwarantują odzyskania pieniędzy; w konkretnej sprawie stosuj się do zaleceń banku i organów ścigania.