Telefon dzwoni w środku dnia. Na ekranie wyświetla się numer infolinii twojego banku, czasem nawet z nazwą banku zapisaną w kontaktach. Spokojny głos przedstawia się jako pracownik działu bezpieczeństwa i informuje, że ktoś właśnie próbuje wziąć kredyt na twoje dane albo wysłać przelew z twojego konta. Trzeba działać szybko.

Tak zaczyna się oszustwo na pracownika banku. Przestępcy nie włamują się do systemów banku. Wykorzystują zaufanie do instytucji i presję czasu, żeby klient sam przelał pieniądze, podał kody albo zainstalował aplikację, która daje im dostęp do telefonu. Z punktu widzenia banku takie transakcje wyglądają jak zwykłe dyspozycje właściciela konta.

W tym poradniku opisujemy, jak wygląda typowy scenariusz, po czym poznać manipulację, jak zareagować w trakcie rozmowy i co zrobić, jeśli pieniądze już zniknęły. Zasady są proste, ale działają tylko wtedy, gdy zna się je wcześniej, a nie w chwili, gdy rozmówca mówi o „zagrożonych oszczędnościach”.

Jak wygląda typowy scenariusz

Szczegóły się zmieniają, ale kolejne etapy powtarzają się w większości zgłaszanych przypadków:

  1. Alarm. Rozmówca informuje o podejrzanej transakcji, wniosku kredytowym albo „wycieku danych”. Celem jest wywołanie strachu.
  2. Uwiarygodnienie. Podaje twoje imię, nazwisko, czasem fragment numeru konta lub adres. Te dane mogą pochodzić z wcześniejszych wycieków lub mediów społecznościowych.
  3. Rozwiązanie. Proponuje „zabezpieczenie” pieniędzy: przelew na „konto techniczne”, wypłatę gotówki i wpłatę we wskazanym miejscu, wygenerowanie kodu BLIK albo instalację aplikacji „do weryfikacji”.
  4. Izolacja. Prosi, żeby nikomu o tym nie mówić, nie rozłączać się i nie rozmawiać z pracownikami oddziału, bo „oni mogą być zamieszani”.
  5. Eskalacja. Czasem w rozmowę włącza się rzekomy policjant lub prokurator, który potwierdza wersję „pracownika banku”.

Częstym wariantem jest też telefon o kredycie, który trzeba „anulować”. Ofiara na polecenie oszusta sama składa wniosek o kredyt w aplikacji, a potem przelewa środki na wskazany rachunek. Zostaje z długiem i bez pieniędzy.

Trzeci wariant dotyczy gotówki. Rzekomy pracownik banku lub policjant przekonuje, że pieniądze w oddziale są zagrożone, bo „pracownicy współpracują z przestępcami”. Prosi o wypłatę oszczędności i przekazanie ich kurierowi albo wpłatę we wpłatomacie kryptowalut. Jeśli pracownik oddziału dopytuje o cel wypłaty, oszust wcześniej instruuje ofiarę, co powiedzieć. Pytania kasjera nie są w takiej sytuacji przeszkodą, tylko szansą na przerwanie scenariusza.

Prawo dodało tu jeden bezpiecznik. Jeśli numer PESEL klienta jest zastrzeżony, a wypłata gotówki w oddziale przekracza w danym dniu trzykrotność minimalnego wynagrodzenia, bank wstrzymuje ją na 12 godzin. Przez ten czas można ochłonąć i porozmawiać z kimś zaufanym.

Sygnały ostrzegawcze w rozmowie

Nawet dobrze przygotowany oszust zdradza się sposobem prowadzenia rozmowy. Uważaj, gdy rozmówca:

  • nie pozwala się rozłączyć i naciska, że „każda minuta się liczy”,
  • zmienia ton na urzędowy lub groźny, gdy zadajesz pytania,
  • przekazuje rozmowę kolejnym „przełożonym” lub „funkcjonariuszom”,
  • prosi, żeby czytać mu treść SMS-ów lub powiadomień z aplikacji,
  • każe mówić w oddziale banku lub rodzinie nieprawdę o celu wypłaty.

Każdy z tych sygnałów jest wystarczającym powodem, by zakończyć połączenie.

Dlaczego numer na ekranie niczego nie dowodzi

Technika podszywania się pod cudzy numer telefonu nazywa się spoofingiem. Oszust może sprawić, że na ekranie wyświetli się numer infolinii banku, komendy policji albo dowolny inny. Podobnie można podszyć się pod nadawcę SMS-a.

W Polsce od września 2023 roku obowiązuje ustawa o zwalczaniu nadużyć w komunikacji elektronicznej. Nakłada ona na operatorów telekomunikacyjnych obowiązek blokowania lub ukrywania sfałszowanego numeru, gdy rozpoznają spoofing, oraz blokowania SMS-ów pasujących do wzorców oszustw wskazanych przez CSIRT NASK. To ogranicza skalę zjawiska, ale nie usuwa go całkowicie. Połączenie może przyjść na przykład przez komunikator albo z numeru zagranicznego.

Zasada praktyczna brzmi więc tak: numer na ekranie nie jest dowodem tożsamości. Prawdziwość rozmówcy sprawdzasz, rozłączając się i dzwoniąc samodzielnie.

Uśmiechnięta córka i starszy ojciec przy stole w kuchni oglądają razem telefon i rozmawiają o zasadach bezpieczeństwa

Czego prawdziwy bank od ciebie nie zażąda

Banki od lat publikują te same zasady. Ich pracownik nie poprosi cię o:

  • podanie hasła do bankowości, kodu z SMS-a lub z aplikacji,
  • podanie pełnych danych karty wraz z kodem CVV,
  • wygenerowanie kodu BLIK i przekazanie go przez telefon,
  • przelew na „konto techniczne”, „bezpieczne konto” lub „konto zastępcze”,
  • instalację aplikacji do zdalnego pulpitu lub innej aplikacji spoza oficjalnego sklepu,
  • wypłatę gotówki i przekazanie jej kurierowi albo wpłatę we wpłatomacie kryptowalut,
  • zatajenie rozmowy przed rodziną lub pracownikami oddziału.

„Bezpieczne konto” nie istnieje w żadnym banku. Jeśli bank podejrzewa atak, blokuje dostęp lub transakcje po swojej stronie. Nie potrzebuje, żeby klient przenosił pieniądze.

Aplikacje zdalnego pulpitu to osobny problem. Po ich zainstalowaniu oszust widzi ekran telefonu lub komputera, a czasem może nim sterować. Widzi też kody przychodzące SMS-em i powiadomienia z aplikacji banku.

Jak zareagować w trakcie rozmowy

Najskuteczniejsza reakcja jest też najprostsza: zakończ rozmowę. Nie musisz niczego wyjaśniać ani sprawdzać, czy rozmówca „na pewno” jest oszustem.

Potem:

  1. Odczekaj chwilę. Oszuści potrafią utrzymywać połączenie po twojej stronie lub zadzwonić ponownie. Upewnij się, że rozmowa jest zakończona.
  2. Zadzwoń sam do banku. Numer weź z oficjalnej strony banku, z aplikacji mobilnej albo z odwrotu karty. Nie oddzwaniaj na numer, z którego dzwoniono, i nie wybieraj numeru podanego przez rozmówcę.
  3. Sprawdź konto w aplikacji. Jeśli nie ma podejrzanych operacji, najpewniej nic się nie stało.
  4. Opowiedz o rozmowie komuś bliskiemu. Oszust chciał cię odizolować. Rozmowa z drugą osobą przywraca dystans.

Jeśli w trakcie rozmowy podałeś dane logowania, kod albo zainstalowałeś aplikację, działaj od razu według listy z następnej sekcji.

Co zrobić, jeśli pieniądze już zniknęły

Liczy się czas. Im szybciej bank dostanie zgłoszenie, tym większa szansa na zablokowanie środków po drodze.

  1. Zadzwoń na infolinię banku i zgłoś oszustwo. Poproś o zablokowanie dostępu do bankowości, kart i BLIK-a.
  2. Odinstaluj aplikację zdalnego dostępu, jeśli ją instalowałeś, i zmień hasło do bankowości z innego, bezpiecznego urządzenia.
  3. Złóż reklamację w banku na piśmie lub w aplikacji. Opisz przebieg zdarzeń, daty i godziny.
  4. Zawiadom policję. Zachowaj numer, z którego dzwoniono, historię połączeń i wiadomości.
  5. Sprawdź raport BIK. Jeśli oszust mógł złożyć wniosek o kredyt na twoje dane, raport pokaże zapytania i nowe zobowiązania. Jak go pobrać, opisujemy w artykule BIK - jakie dane widzi bank i jak sprawdzić raport?.
  6. Zastrzeż numer PESEL w aplikacji mObywatel lub w urzędzie gminy, żeby utrudnić kolejne wyłudzenia.
  7. Zgłoś incydent do CERT Polska przez stronę incydent.cert.pl.

Czy bank zwróci pieniądze

To zależy od tego, jak doszło do transakcji. Ustawa o usługach płatniczych rozróżnia transakcje autoryzowane i nieautoryzowane.

Przy transakcji nieautoryzowanej bank ma obowiązek zwrócić kwotę niezwłocznie, nie później niż do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia. Wyjątek dotyczy sytuacji, gdy bank ma uzasadnione i udokumentowane podstawy, by podejrzewać oszustwo ze strony klienta, i powiadomi o tym na piśmie organy ścigania. Ciężar udowodnienia, że transakcja była autoryzowana, spoczywa na banku. Sam zapis użycia instrumentu płatniczego nie wystarcza.

Klient odpowiada w pełnej wysokości, jeśli doprowadził do nieautoryzowanej transakcji umyślnie albo naruszył swoje obowiązki umyślnie lub wskutek rażącego niedbalstwa. Do tych obowiązków należy między innymi ochrona danych uwierzytelniających i nieudostępnianie ich osobom nieuprawnionym.

Przy oszustwie na pracownika banku spór dotyczy zwykle właśnie tego, czy klient autoryzował przelew i czy działał z rażącym niedbalstwem. Jeśli klient sam zlecił przelew, bank często uznaje transakcję za autoryzowaną. Jeśli dostęp przejął oszust, na przykład przez aplikację zdalnego pulpitu, ocena może być inna. Każda sprawa jest rozpatrywana indywidualnie.

Na złożenie reklamacji masz ustawowy termin 13 miesięcy od dnia obciążenia rachunku, ale czekanie nie ma sensu. Jeśli bank odrzuci reklamację, możesz zwrócić się do Rzecznika Finansowego. Rzecznik prowadzi postępowania pozasądowe i publikuje materiały dotyczące sporów o nieautoryzowane transakcje.

Jak przygotować się zawczasu

Najlepiej działa ochrona ustawiona, zanim zadzwoni telefon:

  • Limity transakcji. Ustaw w aplikacji dzienne limity przelewów, BLIK-a i płatności kartą na poziomie odpowiadającym twoim potrzebom. Jeśli oszust nakłoni cię do przelewu, limit ograniczy stratę.
  • Powiadomienia. Włącz powiadomienia push o każdej transakcji i logowaniu.
  • Oszczędności na osobnym rachunku. Pieniądze na koncie oszczędnościowym lub na lokacie są trudniej dostępne niż środki na koncie osobistym.
  • Zastrzeżenie PESEL. Utrudnia zaciągnięcie kredytu na twoje dane. Jeśli ktoś podszywa się pod bank, by skłonić cię do „anulowania kredytu” we własnej aplikacji, pamiętaj, że zastrzeżenie działa też wobec takiego wniosku.
  • Hasło rodzinne. Umów się z bliskimi na słowo, które pozwala potwierdzić tożsamość przy nietypowych prośbach o pieniądze.

Szczególną uwagę warto poświęcić starszym członkom rodziny. Przestępcy często wybierają osoby, które korzystają z bankowości telefonicznej i mają oszczędności. Spokojna rozmowa o zasadach, bez straszenia, działa lepiej niż lista zakazów. Pomaga też ustalenie, że przy każdym telefonie „z banku” lub „z policji” najpierw dzwonią do ciebie.

Najczęstsze pytania

Czy bank może zadzwonić do mnie w sprawie bezpieczeństwa?

Tak, banki kontaktują się z klientami, na przykład gdy wykryją podejrzaną transakcję. Prawdziwy pracownik nie poprosi jednak o kody, hasła, instalację aplikacji ani przelew na inne konto. W razie wątpliwości rozłącz się i zadzwoń na oficjalną infolinię.

Co to jest spoofing?

To podszywanie się pod cudzy numer telefonu lub nadawcę wiadomości. Na ekranie wyświetla się numer banku lub policji, choć dzwoni ktoś inny. Operatorzy mają obowiązek blokować rozpoznany spoofing, ale żadna blokada nie jest pełna.

Czy bank zwróci pieniądze wyłudzone przez fałszywego konsultanta?

Zależy od okoliczności. Przy transakcji nieautoryzowanej bank co do zasady zwraca kwotę do końca następnego dnia roboczego. Jeśli jednak klient sam zlecił przelew lub przekazał dane z rażącym niedbalstwem, bank może odmówić. Warto złożyć reklamację, a przy odmowie zwrócić się do Rzecznika Finansowego.

Gdzie zgłosić podejrzany telefon?

Do swojego banku przez oficjalną infolinię oraz na policję, jeśli doszło do straty. Podejrzane SMS-y możesz bezpłatnie przekazać na numer 8080, a strony i wiadomości zgłosić do CERT Polska przez incydent.cert.pl.

Czy rozmówca, który zna moje dane, może być oszustem?

Tak. Imię, nazwisko, adres czy numer PESEL mogą pochodzić z wycieków danych lub zdjęć dokumentów. Znajomość danych nie potwierdza, że rozmówca pracuje w banku.

Źródła

Materiał ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej rekomendacji finansowej ani obietnicy uzyskania kredytu.