Zdjęcie z hotelu, oznaczona restauracja i karta pokładowa na stoliku. Tyle wystarczy, żeby obcy człowiek ustalił, gdzie jesteś, do kiedy Cię nie ma, z kim podróżujesz i jakim bankiem płacisz. Kilka dni później dzwoni telefon: dział bezpieczeństwa banku widzi podejrzaną transakcję w Twoim hotelu w Rzymie. Nazwa hotelu się zgadza, miasto też, data też. I właśnie dlatego ten numer działa.
W skrócie
- Publiczne posty z wakacji to gotowy materiał na wiadomość „z banku”, która brzmi wiarygodnie, bo zawiera prawdziwe szczegóły.
- Numer na ekranie telefonu można podrobić. Rozłącz się i zadzwoń sam, z numeru z karty, aplikacji albo wyciągu.
- Kodu z SMS-a, hasła, PIN-u ani CVV nie podaje się nikomu. Bank nie przenosi pieniędzy na „bezpieczne konto”.
- Zdjęcia publikuj po powrocie, a przed wysłaniem wyłącz lokalizację w pliku i obejrzyj cały kadr.
- Jeśli coś już podałeś, działaj od razu: bank, zmiana haseł, a w Polsce zastrzeżenie PESEL, w USA zgłoszenie na IdentityTheft.gov.
Co oszust wyczyta ze zdjęcia z wakacji
Z jednego posta da się zwykle ustalić kraj i miasto, nazwę hotelu lub restauracji, przybliżoną datę powrotu, osoby towarzyszące i linię lotniczą. Jeśli w kadrze leży karta płatnicza albo paragon, widać też bank i rodzaj karty. Resztę uzupełniają starsze publikacje: numer telefonu podany kiedyś w ogłoszeniu, adres e-mail, imiona dzieci, nazwisko panieńskie matki.
Miejsce zdradza nie tylko oznaczenie lokalizacji. Wystarczy charakterystyczny budynek, tablica rejestracyjna, język na szyldach, widok z okna, logo przewoźnika, nazwa sieci Wi-Fi, menu albo opaska hotelowa.
OSINT, spear phishing i pretexting
OSINT (Open Source Intelligence) to zbieranie informacji dostępnych publicznie: z mediów społecznościowych, wyszukiwarek, rejestrów, starych ogłoszeń i zdjęć. Samo przeglądanie publicznych treści przestępstwem nie jest. Kłopot zaczyna się wtedy, gdy ktoś użyje ich do podszycia się pod bank, kradzieży tożsamości albo przejęcia konta.
Spear phishing to phishing szyty na miarę jednej osoby. Masowa wiadomość pisze ogólnie o zablokowanym koncie. Spear phishing zna Twoje imię, hotel, miasto i datę podróży.
Pretexting to wymyślony scenariusz, który ma Cię skłonić do działania: błędne obciążenie karty w hotelu, wstrzymana transakcja, weryfikacja rezerwacji, rysa na wypożyczonym aucie, paczka zatrzymana na cle.
To nie jest teoria. W styczniu 2026 r. CERT Polska ostrzegał przed oszustwem „na rezerwację noclegu”: przestępcy korzystali z przejętych kont hoteli i z wycieków danych, pisali do gości przez popularne komunikatory i wysyłali link do strony udającej pośrednika rezerwacji. Strona wyłudzała dane osobowe i dane karty. CERT podkreślał, że treść wiadomości i fałszywej strony była mocno spersonalizowana.
Karta pokładowa zdradza więcej niż nazwisko
To najczęściej lekceważony element wakacyjnych zdjęć. Serwis Krebs on Security opisał w latach 2015 i 2017 konkretne przypadki:
- Sześcioznakowy kod rezerwacji (PNR) i nazwisko, oba widoczne z przodu karty, pozwalały zalogować się na stronę rezerwacji jednej z linii. Dało się tam anulować przyszłe loty oraz zobaczyć i zmienić numer paszportu, obywatelstwo, datę ważności paszportu i datę urodzenia.
- Kod kreskowy zawierał pełny numer w programie lojalnościowym, choć na samej karcie część cyfr była zakryta. W jednej z linii numer razem z nazwiskiem wystarczał, żeby zresetować hasło, zgadując odpowiedzi na pytania bezpieczeństwa z listy wyboru. Linia dodała później dodatkowy krok z linkiem wysyłanym e-mailem.
- Wyszukanie hasła „boarding pass” na Instagramie zwracało wtedy ponad 91 tysięcy zdjęć. Nie na wszystkich był czytelny kod, ale na wielu tak.
To opisy sprzed kilku lat i zabezpieczenia linii mogły się od tego czasu zmienić. Sama zasada się nie zmienia: kod kreskowy i kod QR da się odczytać ze zdjęcia aplikacją, a zakrycie części numeru nie ukrywa danych zapisanych w kodzie. Karty pokładowej nie publikuj w ogóle, a papierową po podróży zniszcz.
Jak wygląda taki atak krok po kroku
- Ofiara wrzuca zdjęcie z hotelu w Rzymie, oznacza obiekt i dodaje lokalizację. W kadrze widać kartę pokładową i kopertę z numerem pokoju.
- Oszust przegląda starsze posty: numer telefonu z ogłoszenia sprzed lat, adres e-mail, imiona członków rodziny, bank widoczny na zdjęciu karty.
- Przychodzi wiadomość: „Dział bezpieczeństwa wykrył próbę obciążenia karty na 780 euro w hotelu Roma Palace. Prosimy o pilną weryfikację.” Nazwa hotelu jest prawdziwa.
- Dalej pada prośba: kliknij link, zaloguj się, podaj kod z SMS-a, zainstaluj aplikację „do bezpiecznej obsługi” albo przelej pieniądze na „konto techniczne”.
Przykład jest zmyślony, ale schemat pochodzi z ostrzeżeń policji, CERT Polska i amerykańskiej FTC, które cytujemy niżej.
Numer na ekranie telefonu nie dowodzi niczego
Amerykańska Federalna Komisja Łączności (FCC) opisuje spoofing jako celowe fałszowanie informacji, która trafia na wyświetlacz telefonu. Oszuści podszywają się w ten sposób pod numery lokalne, firm i urzędów, którym ufasz. Po samym numerze nie poznasz, czy połączenie jest prawdziwe, nawet jeśli widzisz numer swojego banku. FTC pisze wprost: nie polegaj na identyfikacji numeru.
Zalecenie FCC: jeśli ktoś przedstawia się jako firma albo urząd, rozłącz się i zadzwoń pod numer z wyciągu albo z oficjalnej strony tej instytucji. Nie pod ten, z którego dzwoniono.
Kodu z SMS-a nie podaje się nikomu
FTC formułuje to bez wyjątków: nigdy nie podawaj nikomu swojego kodu weryfikacyjnego, a każdy, kto o niego prosi, jest oszustem. W ostrzeżeniu o telefonach „z działu bezpieczeństwa banku” FTC dodaje, że dotyczy to także kogoś, kto przedstawia się jako pracownik działu do spraw oszustw.
Kod autoryzuje logowanie, przelew, dodanie urządzenia, zmianę numeru telefonu albo dodanie karty do portfela w telefonie. Kto go dostanie, wykona tę operację w Twoim imieniu.
Konto techniczne i bezpieczne konto nie istnieją
Polska policja opisuje ten schemat dokładnie. Fałszywy konsultant mówi o podejrzanej aktywności na koncie i proponuje „zabezpieczenie” pieniędzy. Najczęściej prosi o login do bankowości, wpisanie kodów z SMS-ów, zatwierdzenie przelewu „na bezpieczne konto” albo instalację aplikacji do zdalnego pulpitu. Bywa, że dzwonią dwie osoby: najpierw ktoś zapowiada telefon z banku, potem „pracownik banku” każe przelać oszczędności na „konto techniczne”.
Policja przypomina, czego prawdziwy pracownik banku nigdy nie zrobi: nie poprosi o pełne dane logowania, kody SMS ani PIN, nie będzie namawiał do przelewów i nie każe instalować aplikacji do zdalnej obsługi telefonu czy komputera. Zalecenie jest proste: rozłącz się, sam zadzwoń na infolinię banku (numer z oficjalnej strony albo z karty) i zgłoś próbę oszustwa na policję.
FTC ma na to alert o tytule, który dobrze zapamiętać: Never move your money to „protect it.” That's a scam. Pieniądze zostawione tam, gdzie są, nie są zagrożone przez to, że ktoś zadzwonił.
Fałszywe strony wyglądają jak prawdziwe
CERT Polska pisze, że współczesny phishing kopiuje wygląd znanych serwisów tak dokładnie, że po wyglądzie strony nie da się rozpoznać oszustwa. Jedynym wiarygodnym wskazaniem jest adres w pasku przeglądarki, a konkretnie nazwa domeny. W swoim poradniku CERT pokazuje prawdziwy fałszywy adres, który zaczynał się od nazwy znanego serwisu rezerwacyjnego, a w rzeczywistości należał do zupełnie innej domeny.
Jak czytać adres według CERT: znajdź fragment między „://” a pierwszym ukośnikiem, uważaj na znaki udające ukośnik czy kropkę, a domenę czytaj od prawej do lewej. Główna domena to końcówka (np. .com, .pl) i słowo tuż przed nią. Wszystko, co stoi bardziej na lewo, niczego nie dowodzi.
Kłódka przy adresie oznacza tylko szyfrowane połączenie. Fałszywa strona też może ją mieć. Najbezpieczniej w ogóle nie otwierać banku ani rezerwacji z linku w wiadomości, tylko z aplikacji albo wpisanego samodzielnie adresu.
Zdjęcia z wakacji a włamania: co wiadomo
W internecie ta teza krąży w wersji mocniejszej, niż pozwalają dane, więc rozdzielmy fakty od domysłów.
Potwierdzona sprawa: policja hrabstw Devon i Kornwalia w Anglii poinformowała, że w lipcu 2026 r. sąd w Exeter skazał sześciu członków gangu łącznie na 49 lat więzienia. Grupa planowała włamania do domów w południowej Anglii, a ofiary typowała na Instagramie. Na telefonach sprawców śledczy znaleźli wyszukiwania na Instagramie związane z dwoma napadami. Policja uważa też, że gang korzystał z narzędzi do wyszukiwania informacji w otwartych źródłach.
Czego nie wiadomo: w sieci krążą procenty włamywaczy, którzy rzekomo „śledzą media społecznościowe”. Nie znaleźliśmy ich w badaniach policji ani urzędów, więc ich nie podajemy. Pojedyncze sprawy są udokumentowane, skala zjawiska nie jest zbadana.
To i tak wystarczający powód, żeby nie ogłaszać publicznie, że dom stoi pusty przez najbliższe dziesięć dni.
Jak usunąć lokalizację ze zdjęcia
Gdy aparat w telefonie ma dostęp do lokalizacji, zapisuje współrzędne w każdym zdjęciu i filmie (to tzw. metadane EXIF). Osoba, której wyślesz plik, może je odczytać. Najważniejszy jest krok pierwszy, bo działa na przyszłość.
iPhone
- Wyłączenie zapisywania lokalizacji: Ustawienia, dalej Prywatność i ochrona, Usługi lokalizacji, Aparat, i ustaw Nigdy.
- Usunięcie lokalizacji z konkretnego zdjęcia: w aplikacji Zdjęcia otwórz fotografię, dotknij przycisku informacji, wybierz edycję informacji i lokalizacji, a potem Brak lokalizacji.
- Udostępnianie bez lokalizacji: zaznacz zdjęcia, dotknij Udostępnij, potem Opcje i wyłącz Lokalizację. Nad przyciskiem Opcje pojawi się informacja, że lokalizacja nie jest dołączona.
- Przegląd: w aplikacji Zdjęcia w zbiorach znajdziesz mapę z wszystkimi fotografiami, które mają zapisaną lokalizację. Warto tam zajrzeć, żeby zobaczyć skalę u siebie.
Nazwy opcji różnią się nieco między wersjami systemu. Opis według poradnika Apple o bezpieczeństwie osobistym (wersja z września 2026 r.).
Android i Zdjęcia Google
Zapisywanie lokalizacji wyłącza się w ustawieniach aplikacji Aparat. Google zaznacza, że wygląd tego ustawienia zależy od producenta telefonu. Uwaga na jedno ograniczenie: w Zdjęciach Google można usunąć tylko lokalizację orientacyjną albo dodaną ręcznie, a lokalizacji zapisanej automatycznie przez aparat już nie. Google podaje też, że jeśli pobierzesz zdjęcie i wyślesz je e-mailem, trafi do odbiorcy z pierwotną lokalizacją zapisaną przez telefon, bez zmian zrobionych w aplikacji. Dlatego wyłącz lokalizację w aparacie przed wyjazdem.
Serwisy społecznościowe zwykle przetwarzają wrzucane pliki, ale nie zakładaj, że metadane zawsze znikną. Zdjęcie wysłane e-mailem, komunikatorem, przez chmurę albo publiczny link może zachować więcej informacji. A lokalizację i tak często zdradza to, co widać w kadrze.
Co sprawdzić przed opublikowaniem zdjęcia
Najskuteczniejsza zasada jest jedna: publikuj po powrocie. Wspomnienia nie tracą wartości przez tydzień zwłoki, a relacja na żywo mówi wprost, że Cię nie ma.
Przed wrzuceniem powiększ cały kadr. Sprawdź, czy nie widać dokumentu, karty płatniczej, karty pokładowej, paragonu, potwierdzenia rezerwacji, kodu QR lub kreskowego, numeru pokoju, identyfikatora ani ekranu drugiego urządzenia. Zastanów się też, czy publikujesz wizerunek cudzych dzieci.
Ustawienia prywatności w serwisach społecznościowych zmieniają się często, więc nie podajemy tu ścieżek menu, które za pół roku mogą być nieaktualne. W centrum pomocy swojego serwisu sprawdź kilka rzeczy:
- kto widzi nowe posty i czy da się ograniczyć widoczność starszych,
- czy do postów automatycznie dodaje się lokalizacja,
- kto może Cię oznaczać na zdjęciach i czy oznaczenia wymagają Twojej zgody,
- czy numer telefonu i adres e-mail są widoczne w profilu,
- czy relacje i stories widzą wszyscy, czy tylko wybrane osoby.
FBI w ostrzeżeniu o oszustwach z użyciem sztucznej inteligencji radzi ustawić konta jako prywatne i ograniczyć obserwujących do osób, które znasz.
Sygnały ostrzegawcze w wiadomości i rozmowie
- Niespodziewany kontakt połączony z presją czasu.
- Groźba zablokowania konta albo zatrzymania pieniędzy.
- Prośba o hasło, PIN, CVV, pełny numer karty albo kod z SMS-a.
- Link do logowania przysłany w wiadomości.
- Prośba o instalację aplikacji lub udostępnienie ekranu.
- Żądanie przelewu na „bezpieczne konto”, płatności kryptowalutą, kartą podarunkową albo przekazem pieniężnym.
- Namawianie, żeby nie rozmawiać o sprawie z rodziną ani z pracownikiem oddziału.
Ostatni punkt mówi najwięcej. Odcięcie ofiary od ludzi, którzy mogliby rozpoznać oszustwo, należy do scenariusza oszusta, a nie do procedury banku.
Poprawna polszczyzna też nic nie dowodzi. FBI ostrzega, że przestępcy używają generatywnej sztucznej inteligencji do tłumaczeń, żeby unikać błędów językowych, a także do podrabiania głosu i wizerunku osób bliskich.
Rodzinne hasło bezpieczeństwa
W tym samym ostrzeżeniu z grudnia 2024 r. FBI zaleca, żeby ustalić w rodzinie tajne słowo lub frazę do potwierdzania tożsamości. Hasło nie powinno być imieniem psa ani niczym, co kiedykolwiek pojawiło się w postach.
FBI radzi też dwie rzeczy, które dobrze pasują do tematu tego poradnika. Po pierwsze, sprawdzaj dzwoniącego tak: rozłącz się, samodzielnie znajdź numer banku albo instytucji i zadzwoń. Po drugie, w miarę możliwości ogranicz publicznie dostępne nagrania swojego głosu i zdjęcia twarzy.
Szybka ścieżka: co już się stało
Wybierz swoją sytuację, a schemat wskaże, od czego zacząć i która część poradnika opisuje dalsze kroki.
Podejrzana wiadomość lub telefon: co robić teraz?
Co już się stało?
Jeśli pasuje kilka odpowiedzi, przejdź każdą ścieżkę. Zacznij od wysłanych pieniędzy, bo tam liczy się każda minuta.
Przerwij kontakt i zadzwoń sam
Nie klikaj linku i nie odpowiadaj. Rozłącz się całkowicie i zadzwoń do banku z numeru z karty, aplikacji albo wyciągu. Sprawdź w aplikacji ostatnie transakcje i listę urządzeń. Wiadomość zgłoś do CERT Polska (SMS na 8080) lub na ReportFraud.ftc.gov. Szczegóły w części „Co zrobić po otrzymaniu podejrzanej wiadomości”.
Zmień hasło i wyloguj inne sesje
Na prawdziwej stronie albo w aplikacji zmień hasło, wyloguj pozostałe sesje i włącz logowanie dwuetapowe. Zmień to samo hasło w innych serwisach i sprawdź, czy nikt nie podmienił adresu e-mail do odzyskiwania konta. Więcej w części „Co zrobić, jeśli dane już zostały podane”.
Zastrzeż kartę od razu
Skontaktuj się z bankiem przez numer z odwrotu karty albo aplikację, zastrzeż kartę i zapytaj o reklamację nieuznanych transakcji. Nie czekaj, aż pojawi się obciążenie. Obserwuj konto przez kolejne tygodnie.
Powiedz bankowi, co zatwierdziłeś
Zadzwoń do banku sam i opisz dokładnie, jaki kod podałeś. Mógł autoryzować przelew, nowe urządzenie, zmianę numeru telefonu albo dodanie karty do portfela w telefonie. Bank może to cofnąć lub zablokować tylko wtedy, gdy wie, czego szukać.
Odłącz urządzenie i dzwoń z innego telefonu
Wyłącz internet na tym urządzeniu i nie loguj się na nim do banku. Zadzwoń do banku z innego telefonu. Usuń aplikację, przeskanuj urządzenie programem zabezpieczającym, zmień hasła z innego sprzętu i rozważ przywrócenie ustawień fabrycznych. Jeśli sam sobie nie poradzisz, poproś o pomoc producenta urządzenia albo zaufany serwis.
Natychmiast poproś bank o zatrzymanie przelewu
Zadzwoń do banku i poproś o próbę zatrzymania albo cofnięcia płatności. Gwarancji odzyskania nie ma, ale czas ma największe znaczenie. Zgłoś sprawę na policję, a w USA także na ReportFraud.ftc.gov i IC3.gov. Potem uważaj na drugą falę: nikt uczciwy nie żąda opłaty z góry za odzyskanie pieniędzy (część „Oszuści wracają po raz drugi”).
Gdzie masz numer, który wyciekł?
Zastrzeż PESEL
Zastrzeżenie jest bezpłatne i działa od razu: przez internet w serwisie mObywatel.gov.pl albo w dowolnym urzędzie gminy. Nie blokuje wizyt u lekarza, recept, bankomatu, przelewów, wyjazdów ani spraw urzędowych. Szczegóły w części „Zastrzeżenie PESEL: co blokuje, a czego nie”.
Skorzystaj z IdentityTheft.gov
Według FTC: jeśli ktoś już użył Twojego numeru SSN, zgłoś to na IdentityTheft.gov i postępuj według planu, który dostaniesz. Jeśli numer wyciekł, ale nie wiesz, czy został użyty, skorzystaj z kroków na IdentityTheft.gov/databreach.
Co zrobić po otrzymaniu podejrzanej wiadomości
- Nie klikaj linku i nie odpowiadaj. Odpowiedź potwierdza, że numer jest aktywny.
- Nie podawaj kodu z SMS-a, kodu z aplikacji, kodu BLIK, hasła, PIN-u ani CVV.
- Rozłącz się całkowicie. Nie daj się przełączyć do rzekomego działu bezpieczeństwa.
- Zadzwoń sam, z numeru z odwrotu karty, z oficjalnej aplikacji albo z wyciągu.
- W oficjalnej aplikacji sprawdź ostatnie transakcje, listę urządzeń, zapisanych odbiorców i karty dodane do portfeli w telefonie.
- Zrób zrzuty ekranu, ale nie przeciągaj rozmowy tylko po to, żeby zebrać dowody.
Co zrobić, jeśli dane już zostały podane
Działaj od razu. Nie czekaj, aż na koncie pojawi się obca transakcja.
Login lub hasło: wejdź na prawdziwą stronę albo do aplikacji, zmień hasło, wyloguj pozostałe sesje i włącz logowanie dwuetapowe. To samo hasło zmień wszędzie, gdzie go używasz, i sprawdź, czy nikt nie podmienił adresu e-mail do odzyskiwania konta.
Dane karty: od razu skontaktuj się z bankiem, zastrzeż kartę, zapytaj o reklamację i obserwuj konto przez kolejne tygodnie. W USA FTC przypomina, że przy karcie kredytowej prawo federalne ogranicza Twoją odpowiedzialność za nieautoryzowane transakcje, ale trzeba je szybko zgłosić wystawcy karty.
Kod z SMS-a lub zatwierdzona operacja: powiedz bankowi dokładnie, co zatwierdziłeś. Kod mógł autoryzować przelew, dodanie urządzenia, zmianę numeru telefonu albo dodanie karty do portfela.
Aplikacja do zdalnego dostępu: odłącz urządzenie od internetu, nie loguj się na nim do banku i zadzwoń do banku z innego telefonu. Usuń aplikację, sprawdź, które aplikacje mają dostęp do ułatwień dostępu i nagrywania ekranu, zaktualizuj i uruchom program zabezpieczający, zmień hasła z innego urządzenia. Rozważ przywrócenie ustawień fabrycznych.
Wysłane pieniądze: natychmiast poproś bank o próbę zatrzymania lub cofnięcia przelewu. Przy karcie podarunkowej FTC radzi od razu zadzwonić do firmy, która ją wydała, a przy kryptowalucie do giełdy lub operatora bankomatu. Gwarancji nie ma, a przy kryptowalutach odzyskanie bywa szczególnie trudne.
PESEL, SSN lub zdjęcie dokumentu: w Polsce zastrzeż PESEL (opis niżej). W USA FTC kieruje na IdentityTheft.gov, jeśli numer SSN został już użyty, albo na IdentityTheft.gov/databreach, jeśli tylko wyciekł.
Oszuści wracają po raz drugi
Kto już stracił pieniądze, często jest atakowany ponownie. FTC opisuje mechanizm: oszuści kupują, sprzedają i wymieniają listy osób, które już raz zapłaciły (tzw. „sucker lists”). Na takiej liście jest imię, adres, telefon, rodzaj oszustwa i kwota. Potem dzwonią jako urząd, organizacja konsumencka, kancelaria albo nawet jako ta sama firma, która Cię oszukała, i obiecują zwrot.
FTC pisze jasno: urzędy i legalne organizacje nigdy nie proszą o pieniądze za pomoc w odzyskaniu zwrotu. FBI dodaje na stronie IC3, że centrum nie współpracuje z kancelariami ani „usługami kryptowalutowymi” przy odzyskiwaniu pieniędzy i nigdy samo nie kontaktuje się z ofiarami po dane czy pieniądze. Przestępcy podszywają się także pod IC3.
Zastrzeżenie PESEL: co blokuje, a czego nie
Jeśli oszust zdobył Twój PESEL, zdjęcie dowodu albo szerszy zestaw danych, zastrzeż numer. Może to zrobić każda pełnoletnia osoba z numerem PESEL. Usługa jest bezpłatna i działa od razu.
- Przez internet: w serwisie mObywatel.gov.pl. Do logowania potrzebny jest profil zaufany, podpis kwalifikowany, e-dowód albo dane do bankowości elektronicznej.
- W urzędzie: w dowolnym urzędzie gminy, z dowodem osobistym (także w aplikacji mObywatel) lub paszportem. Urzędnik wprowadza wniosek do systemu i od razu wydaje potwierdzenie.
Od 1 czerwca 2024 r. banki i inne instytucje finansowe muszą sprawdzać, czy PESEL jest zastrzeżony, gdy zawierają z Tobą na przykład umowę kredytu albo pożyczki. Gdy sam będziesz potrzebować kredytu, zastrzeżenie możesz cofnąć na stałe albo do wybranej daty i godziny, po której system zastrzeże numer ponownie.
Najczęstsza obawa jest nieuzasadniona. Z zastrzeżonym numerem nadal zarejestrujesz się do lekarza, zrealizujesz receptę, wypłacisz pieniądze z bankomatu, zlecisz przelew, wyjedziesz za granicę i załatwisz sprawę w urzędzie.
Pomoc przy zastrzeganiu: e-mail zastrzeganie-pomoc@cyfra.gov.pl lub telefon +48 422 535 460 (dane z gov.pl).
Gdzie zgłosić oszustwo w Polsce
Najpierw bank, jeśli podałeś dane finansowe, wysłałeś pieniądze albo zatwierdziłeś operację.
CERT Polska przyjmuje zgłoszenia kilkoma kanałami:
- SMS na numer 8080, działa od 22 listopada 2023 r. Użyj polecenia „Przekaż” (lub „Prześlij dalej”), a jeśli się nie da, skopiuj treść. Przekaż całą wiadomość w oryginale, nie wycinaj linku. Można zgłaszać także SMS-y bez linków. Z jednego numeru zgłosisz najwyżej 3 wiadomości w ciągu 4 godzin. W Polsce to nic nie kosztuje, za granicą obowiązuje taryfa operatora.
- incydent.cert.pl: formularz dla podejrzanych stron, wiadomości i reklam.
- E-mail cert@cert.pl, zwłaszcza dla podejrzanych e-maili.
- Aplikacja mObywatel, usługa „Bezpiecznie w sieci”.
Policja: zgłoś sprawę, jeśli straciłeś pieniądze, ktoś ukradł Twoją tożsamość, przejął konto albo Cię szantażuje. Policja prosi też o zgłaszanie każdej próby oszustwa „na pracownika banku”. Zabierz zrzuty ekranu, numery telefonów, adresy stron, potwierdzenia przelewów i numer rachunku odbiorcy.
Serwis społecznościowy: zgłoś fałszywy profil, przejęte konto i reklamę prowadzącą do fałszywej strony. Jeśli przejęto Twoje konto, ostrzeż znajomych innym kanałem.
Gdzie zgłosić oszustwo w USA
- Bank lub wystawca karty, w pierwszej kolejności.
- ReportFraud.ftc.gov: Federalna Komisja Handlu (FTC), oszustwa i podszywanie się pod firmy lub urzędy.
- IC3.gov: centrum FBI do zgłaszania przestępstw w internecie. FBI zachęca do zgłoszenia nawet wtedy, gdy nie masz pewności, czy sprawa się kwalifikuje. Nie odpowiada na każde zgłoszenie, ale w niektórych sprawach udaje się zamrozić skradzione środki.
- IdentityTheft.gov: kradzież tożsamości i plan naprawczy.
- Lokalna policja, a przy bezpośrednim zagrożeniu 911.
Najczęstsze błędy przy ocenie wiadomości
| Przekonanie | Jak jest naprawdę |
|---|---|
| „Profil mam prywatny, więc jestem bezpieczny.” | Prywatność pomaga, ale konto znajomego może zostać przejęte, znajomy może przesłać zdjęcie dalej, a starsze posty bywają nadal publiczne. |
| „Zna moje ostatnie transakcje, więc to bank.” | Miejsce pobytu mógł wyczytać z Twoich postów, a płatność w tym miejscu po prostu zgadnąć. |
| „Numer zgadza się z numerem banku.” | Numer na wyświetlaczu można podrobić. Rozłącz się i zadzwoń sam. |
| „Strona ma kłódkę.” | Kłódka oznacza tylko szyfrowane połączenie. Sprawdzaj domenę, a banku nie otwieraj z linku. |
| „Zna moje dane, więc pracuje w banku.” | Dane mogły pochodzić z mediów społecznościowych, wycieku, starego ogłoszenia albo przejętego konta znajomego. |
| „Pisze bezbłędnie, więc to nie oszust.” | FBI ostrzega, że przestępcy używają AI do tłumaczeń i usuwania błędów językowych. |
Zasada, którą wystarczy zapamiętać
Prawdziwy szczegół w wiadomości nie oznacza, że cała wiadomość jest prawdziwa. Oszust może znać nazwę Twojego hotelu, bo sam ją opublikowałeś.
Gdy ktoś niespodziewanie odzywa się w sprawie pieniędzy, karty, rezerwacji albo konta, przerwij kontakt. Nie klikaj linku, nie podawaj kodu, nie instaluj aplikacji. Z instytucją skontaktuj się sam, przez numer, który znasz.
Najczęściej zadawane pytania
Czy usunięcie posta z lokalizacją coś jeszcze daje?
Tak, ogranicza dalsze szkody, choć nie cofa tego, co ktoś już zdążył zapisać. Usuń post albo zmień jego widoczność, sprawdź starsze publikacje z tego samego wyjazdu i wyłącz lokalizację w aparacie. Jeśli w kadrze była karta pokładowa, zmień hasło do konta w programie lojalnościowym linii i sprawdź swoją rezerwację.
Czy bank może zadzwonić do mnie w sprawie podejrzanej transakcji?
Może, ale prawdziwy pracownik nie poprosi o kod z SMS-a, PIN, pełne dane logowania, przelew ani instalację aplikacji. Jeśli masz choć cień wątpliwości, rozłącz się i zadzwoń sam na numer z karty lub z oficjalnej strony banku. Tak radzi i polska policja, i amerykańska FTC.
Czy zastrzeżenie PESEL utrudni mi życie w Polsce lub za granicą?
Według gov.pl nie blokuje wizyt u lekarza, recept, bankomatu, przelewów, wyjazdów za granicę ani spraw urzędowych. Utrudni za to zawarcie umowy kredytu czy pożyczki na Twoje dane. Gdy sam potrzebujesz kredytu, cofasz zastrzeżenie przez internet albo w urzędzie, także czasowo.
Mieszkam w USA, a oszust ma mój SSN. Od czego zacząć?
FTC kieruje na IdentityTheft.gov: jeśli numer został już użyty, zgłoś kradzież tożsamości i postępuj według planu naprawczego. Jeśli tylko wyciekł, skorzystaj z kroków na IdentityTheft.gov/databreach. Samo oszustwo zgłoś też na ReportFraud.ftc.gov.
Czy mogę zgłosić polski SMS do CERT, będąc za granicą?
Tak. Przekaż wiadomość na numer 8080. Według gov.pl poza granicami Polski zapłacisz według taryfy swojego operatora.
Źródła
Stan na 23 października 2026 r. Poradnik ma charakter informacyjny i nie stanowi porady prawnej. Procedury banków, ustawienia aplikacji i serwisów społecznościowych zmieniają się często, dlatego w konkretnej sprawie kieruj się informacjami swojego banku i oficjalnych instytucji.
Komentarze (0)
Brak komentarzy. Bądź pierwszy!