⚠️ Jeśli właśnie odebrałeś taki telefon – trzy zdania
- Rozłącz się. Nie musisz być uprzejmy. Nie musisz nic tłumaczyć.
- Oddzwoń na numer z odwrotu swojej karty płatniczej albo z oficjalnej strony banku – nigdy na numer, który podał rozmówca, i nigdy przez „oddzwonienie" na połączenie przychodzące.
- Numer na wyświetlaczu nic nie znaczy. Bank Pekao pisze to wprost: „przestępcy mają możliwość podszycia się pod dowolny numer telefonu".
I jedna rzecz, której nie wolno zrobić nigdy: nie przelewaj pieniędzy na „rachunek techniczny" ani „bezpieczne konto". Policja i Związek Banków Polskich ujmują to jednym zdaniem: „prawdziwy doradca nigdy o to nie poprosi".
Ten schemat nie jest plotką ani miejską legendą. 12 grudnia 2025 roku Komenda Główna Policji wspólnie z FinCERT.pl – Bankowym Centrum Cyberbezpieczeństwa Związku Banków Polskich wydały komunikat opisujący go krok po kroku. Poniżej rozkładamy go na części i pokazujemy, gdzie dokładnie da się go przerwać.
Materiał ma charakter informacyjny i nie stanowi porady prawnej ani finansowej.
Anatomia ataku
Rdzeń schematu jest zawsze ten sam: dwóch rozmówców. Pierwszy buduje zaufanie i wywołuje strach, drugi zbiera żniwo.
Tak opisuje pierwszy telefon komunikat Policji i ZBP:
„Do klienta banku telefonuje oszust, który informuje, że dzwoni z firmy pożyczkowej i urzędowym tonem przekonuje, że na dane klienta banku została zaciągnięta pożyczka przez osobę trzecią. Przekonuje klienta, że działa dla jego bezpieczeństwa i że jest to oszustwo, które zgłoszono już do Banku oraz na Policję.”
Zwróć uwagę na konstrukcję. Rozmówca nie prosi jeszcze o nic. Przeciwnie – oferuje pomoc i informuje, że sprawa jest już zgłoszona. To jest cała funkcja pierwszego telefonu: wzbudzić strach i ustawić się po Twojej stronie.
Potem wchodzi drugi:
„Po chwili dzwoni drugi oszust, który podaje się za pracownika Bezpieczeństwa Banku, który poprzez rzeczową i formalną rozmowę przekonuje klienta banku że jego środki finansowe są zagrożone i potrzebne jest zabezpieczenie środków poprzez przelew na rachunek techniczny. Dla uwiarygodnienia swoich słów oszuści wysyłają na adres mailowy klienta sfałszowaną legitymację pracownika banku, sfałszowany rzekomy »Protokół zabezpieczenia środków« oraz sfałszowane rzekome »Zawiadomienie o wszczęciu postępowania karnego przez Policję«. Jednocześnie podają numer rachunku, na który mają zostać wpłacone pieniądze z konta osobistego. Przez cały czas oszuści utrzymują z pokrzywdzonym kontakt telefoniczny, manipulując nim, aby dokonywał kolejnych transakcji.”
Element, którego większość ludzi się nie spodziewa: fałszywe dokumenty
Na maila przychodzi legitymacja służbowa, protokół zabezpieczenia środków i zawiadomienie o wszczęciu postępowania karnego. Wszystkie sfałszowane, wszystkie wyglądające urzędowo.
To jest moment, w którym najwięcej osób przestaje wątpić – bo „przecież przysłali dokumenty". Papier z pieczątką w PDF-ie kosztuje oszusta pięć minut w edytorze graficznym i nie dowodzi niczego.
Dlaczego to działa
| Mechanizm | Jak wygląda w rozmowie |
|---|---|
| Strach i pilność | „Na Pani dane ktoś zaciągnął pożyczkę" – uruchamia tryb natychmiastowego działania i wyłącza sprawdzanie |
| Pozorny autorytet | „Dział bezpieczeństwa", „sprawa zgłoszona na Policję" – oddajesz decyzje „ekspertom" |
| Sojusz przeciw wspólnemu wrogowi | Rozmówca jest po Twojej stronie, wróg jest gdzieś na zewnątrz. Nie podejrzewasz osoby, która Ci pomaga |
| Małe ustępstwo przed dużym | Najpierw potwierdzasz drobiazg, potem robisz przelew. Każde „tak" ułatwia kolejne |
| Nakaz milczenia | „To procedura, obowiązuje poufność" – odcina Cię od jedynej osoby, która mogłaby powiedzieć: to oszustwo |
| Ciągłość połączenia | Oszuści nie rozłączają się. Nie masz chwili, żeby pomyśleć albo zadzwonić do kogoś |
Nakaz milczenia jest udokumentowany. W sprawie z Sosnowca policja opisała to tak: „oszust polecił kobiecie, aby nikogo nie informowała o całej sytuacji, tłumacząc to rzekomą procedurą bezpieczeństwa i poufnością prowadzonych działań”.
Obserwacja z relacji, której nie potwierdziliśmy w źródłach
W opisach tego schematu pojawia się szczegół: pierwszy rozmówca pyta ofiarę, w którym banku ma konto, a kilka minut później dzwoni „dział bezpieczeństwa" właśnie tego banku.
Jeżeli tak się dzieje, jest to sygnał ostrzegawczy pierwszej klasy – bank, który do Ciebie dzwoni, z definicji wie, że jesteś jego klientem. Uczciwie zaznaczamy jednak: nie znaleźliśmy tego elementu w żadnym oficjalnym ostrzeżeniu, do którego dotarliśmy. Traktuj to jako obserwację z relacji poszkodowanych, nie jako udokumentowaną regułę schematu.
Czego oszuści chcą naprawdę
Przelew na „rachunek techniczny" to tylko jedna z dróg. Udokumentowane wektory:
- Przelew na „konto techniczne" albo „bezpieczne konto" – rdzeń schematu wg komunikatu Policji i ZBP.
- Kody autoryzacyjne z SMS-ów i dane wrażliwe – tamże.
- Instalacja aplikacji zdalnego pulpitu. Centralne Biuro Zwalczania Cyberprzestępczości opisało to tak: sprawcy „zachęcali też do instalowania programu umożliwiającego zdalny dostęp do urządzenia mobilnego (…) W następstwie tego zaciągali kredyty oraz dokonywali przelewy na swoje rachunki”.
- Nakłonienie ofiary, żeby sama wzięła kolejne pożyczki – rzekomo po to, by „zablokować" działania przestępców. Tak stracono ponad 240 tysięcy złotych w Sosnowcu.
- Wypłata gotówki i wpłata kodami BLIK we wpłatomacie – wariant odnotowany przez policję w 2025 roku.
Udokumentowane sprawy
| Data | Sprawa | Strata |
|---|---|---|
| 19.03.2025 | CBZC rozbija grupę podszywającą się pod pracowników banku – 9 zatrzymanych w kolejnej fali, łącznie w sprawie 23 zatrzymanych | ok. 3,87 mln zł strat 97 pokrzywdzonych |
| 27.06.2025 | Powiat ciechanowski – 32-latce wmówiono, że na jej dane próbowano zaciągnąć pożyczkę i że musi „zabezpieczyć środki" | 29 870 zł |
| lipiec 2025 | Powiat działdowski – wypłata gotówki i wpłata kodami BLIK; zatrzymano dwie osoby | kwoty nie podano |
| 30.03.2026 | Sosnowiec – „pracownik banku", potem „policjant"; ofiara brała kolejne pożyczki, żeby „zablokować" oszustwo | ponad 240 000 zł |
Dwie uwagi, żeby nie budować fałszywego obrazu. Po pierwsze, nie ma ogólnopolskich statystyk tej metody – sprawdziliśmy raport roczny CERT Polska za 2025 rok i słowo „vishing" nie pada w nim ani razu. Liczba 3,87 mln zł dotyczy jednego postępowania, nie skali zjawiska w kraju. Po drugie, kwota „około 10 tysięcy złotych", która krąży w opisach tego schematu, nie znajduje potwierdzenia w oficjalnych materiałach – realne straty bywają wielokrotnie wyższe.
Dlaczego numer na wyświetlaczu kłamie
Kluczowe pytanie brzmi: skoro dzwoni prawdziwy numer infolinii, to jak to możliwe?
Technika nazywa się CLI spoofing i ma w Polsce definicję ustawową. Ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej określa ją jako:
„nieuprawnione posłużenie się lub korzystanie przez użytkownika lub przedsiębiorcę telekomunikacyjnego wywołującego połączenie głosowe informacją adresową wskazującą na osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej inną niż ten użytkownik lub przedsiębiorca telekomunikacyjny, służące podszyciu się pod inny podmiot, w szczególności w celu wywołania strachu, poczucia zagrożenia lub nakłonienia odbiorcy tego połączenia do określonego zachowania, zwłaszcza do przekazania danych osobowych, niekorzystnego rozporządzenia mieniem lub instalacji oprogramowania”
Ustawa nakłada na operatorów konkretny obowiązek. Artykuł 16 jest jednozdaniowy:
„W celu zapobiegania i zwalczania CLI spoofing przedsiębiorca telekomunikacyjny blokuje połączenie głosowe albo ukrywa identyfikację numeru wywołującego dla użytkownika końcowego.”
Do tego doszedł mechanizm szyty pod infolinie: Prezes UKE prowadzi jawny wykaz numerów służących wyłącznie do odbierania połączeń. Bank zgłasza tam swój numer infolinii, a operatorzy w ciągu trzech dni blokują połączenia przychodzące z tego numeru. Skoro infolinia służy tylko do odbierania, każde połączenie „od niej" jest z definicji podrobione.
Spoofing jest też przestępstwem: artykuł 31 ustawy przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat, a w wypadku mniejszej wagi grzywnę albo ograniczenie wolności.
A mimo to nie ufaj wyświetlaczowi
Przepisy działają od 2023 roku, ale ani CERT Polska, ani banki nie mówią, że problem zniknął. CERT Polska pisze wprost:
„Nie ufaj bezkrytycznie wyświetlanemu numerowi lub nazwie osoby dzwoniącej. Przestępcy są w stanie je sfałszować!”
Bank Pekao dokładnie tak samo: „Pamiętaj, przestępcy mają możliwość podszycia się pod dowolny numer telefonu.”
Numer na ekranie nie jest dowodem tożsamości. Nigdy nie był.
Więcej o tym, jak działa podszywanie się pod numer – dlaczego jest technicznie możliwe, co dokładnie zmieniła ustawa z 2023 roku, czym jest jawny wykaz UKE numerów „tylko do odbierania” i jakie ustawienia w telefonie faktycznie pomagają – w osobnym poradniku: CLI spoofing: dlaczego numer na wyświetlaczu kłamie i jak się przed tym bronić.
Czego bank nigdy nie robi
To jest lista, którą warto znać na pamięć – bo w trakcie rozmowy nie ma czasu na szukanie. Wszystkie zdania poniżej to dosłowne cytaty ze stron polskich banków.
| Bank nigdy nie prosi o… | Źródło |
|---|---|
| „Bank nigdy nie prosi o podanie pełnego hasła do serwisów bankowości elektronicznej.” | Pekao |
| „Nie instaluj na prośbę osoby trzeciej aplikacji (np. AnyDesk, TeamViewer czy Quick Support) (…) Bank nigdy nie prosi o uruchomienie tego typu aplikacji.” | Pekao |
| „Nigdy nie prosimy o instalację jakiegokolwiek oprogramowania.” | Pekao |
| „Nie podawaj osobom trzecim danych swojej karty oraz kodu CVV2/CVC2 – bank nigdy o to nie prosi.” | Pekao |
| „Pracownik banku nigdy nie poprosi Cię o dane karty płatniczej oraz jej PIN, o login i hasło do bankowości elektronicznej, pełny numer PESEL czy kod BLIK. Nie będzie też namawiał do instalacji dodatkowego oprogramowania.” | PKO BP |
| „Bank nigdy nie poprosi Cię o potwierdzenie operacji, której samodzielnie nie zleciłeś.” | Alior |
| „W żadnym wypadku nie pozwalaj osobie dzwoniącej na tymczasowe przejęcie kontroli nad twoim komputerem (pracownicy banku nigdy tego nie robią)” | CERT Polska |
Jedno zdanie zasługuje na osobne wyróżnienie, bo rozbraja bardzo skuteczną sztuczkę. mBank pisze:
„Nie wysyłamy SMS-ów, aby potwierdzić, że dzwonimy z mBanku. Takie potwierdzenie dostaniesz tylko w aplikacji mobilnej i tylko po zalogowaniu się do niej.”
Czyli: SMS „potwierdzający", że dzwoni bank, jest u mBanku z definicji fałszywy.
Uczciwe zastrzeżenie: mimo poszukiwań nie znaleźliśmy u żadnego banku dosłownego zdania „nigdy nie prosimy o przelew weryfikacyjny". Najbliższe jest sformułowanie z komunikatu Policji i ZBP – „prawdziwy doradca nigdy o to nie poprosi" – i tak też je tu podajemy, jako stanowisko Policji i Związku Banków Polskich, a nie cytat konkretnego banku.
Jak w minutę sprawdzić, czy dzwoni prawdziwy bank
To jest najbardziej praktyczna część całego poradnika i mało kto o niej wie. Trzy duże banki pozwalają zweryfikować tożsamość dzwoniącego doradcy w aplikacji mobilnej.
- Powiedz, że chcesz zweryfikować rozmówcę w aplikacji
PKO BP formułuje to wprost: „Podczas rozmowy z pracownikiem banku powiedz, że chcesz zweryfikować jego tożsamość w aplikacji IKO”. W Pekao: „poproś o weryfikację jego tożsamości w PeoPay lub Pekao24 lub rozłącz się”. W mBanku konsultant wysyła powiadomienie sam.
- Zaloguj się do aplikacji i sprawdź powiadomienie
Zobaczysz imię, nazwisko, stanowisko i miejsce, z którego dzwoni rozmówca. Porównaj z tym, co powiedział.
- Jeżeli dane się zgadzają – potwierdź i rozmawiaj dalej
Dopiero teraz rozmowa jest wiarygodna.
- Jeżeli nie – rozłącz się natychmiast
mBank nie zostawia tu miejsca na interpretację: jeśli nie ma powiadomienia albo rozmówca twierdzi, że „nie może wysłać do Ciebie takiego powiadomienia, np. ze względu na problemy techniczne” – „jak najszybciej rozłącz się, aby uniknąć oszustwa”.
„Problemy techniczne" to nie wymówka – to sygnał. Prawdziwy konsultant ma tę funkcję i z niej korzysta. Oszust jej nie ma i musi Cię przekonać, żebyś ją pominął.
Nie sprawdziliśmy, czy analogiczną funkcję mają ING, Santander i Alior – jeśli tam masz konto, zapytaj o to na infolinii, dzwoniąc samodzielnie.
Co robić w trakcie rozmowy
Zdanie, które kończy sprawę
„Dziękuję, rozłączam się i oddzwonię na numer z mojej karty."
Nie musisz go uzasadniać ani przepraszać. Prawdziwy pracownik banku uzna to za rozsądne – bo dokładnie tego uczą Cię same banki. Oszust zacznie protestować, tłumaczyć, że „sprawa jest pilna", że „linia jest zabezpieczona", albo przejdzie do agresji. Ta reakcja sama w sobie jest odpowiedzią.
Kilka zasad na czas rozmowy:
- Nie potwierdzaj danych, których rozmówca nie zna. Jeśli pyta o numer PESEL, numer konta albo w którym banku masz rachunek – to nie jest weryfikacja, tylko zbieranie informacji.
- Nie czytaj kodów z SMS-ów na głos. Przeczytaj natomiast treść SMS-a sobie – opisuje operację, którą właśnie zatwierdzasz.
- Nie instaluj niczego. Bez wyjątków.
- Nie daj się odciąć od bliskich. Nakaz zachowania tajemnicy to element schematu, nie procedura bankowa.
- Rozłącz się naprawdę. Po rozłączeniu odczekaj kilkanaście sekund albo zadzwoń z innego telefonu – tak wygląda ostrożność, która nic nie kosztuje.
- Agresja to nie dowód, że to bank. To ostatnia próba złamania oporu.
Pieniądze wyszły albo podałeś dane
- Natychmiast zadzwoń na infolinię banku
Numer z karty albo z oficjalnej strony. Żądaj zablokowania karty i dostępu, zgłoszenia rachunku odbiorcy jako podejrzanego i zapisania reklamacji z datą wpływu. Przy przelewie liczą się minuty, nie godziny.
- Zastrzeż numer PESEL
Bezpłatnie, przez
gov.plalbo aplikację mObywatel. Dlaczego to takie ważne – niżej. - Zastrzeż dokumenty
System DOKUMENTY ZASTRZEŻONE Związku Banków Polskich: telefonicznie pod +48 828 828 828, w banku albo przez mObywatel. To osobny rejestr niż zastrzeżenie PESEL – warto uruchomić oba.
- Zabezpiecz dowody
Numer, z którego dzwoniono, godziny połączeń, maile z fałszywymi dokumentami (nie kasuj ich), potwierdzenia przelewów, numer rachunku odbiorcy.
- Złóż zawiadomienie na policję
W dowolnej jednostce. Fałszywe dokumenty i zapis połączeń są tu realnym materiałem dowodowym.
- Jeśli instalowałeś aplikację zdalnego dostępu
Odinstaluj ją, a urządzenie traktuj jako skompromitowane: zmień hasła z innego sprzętu, wyloguj wszystkie sesje. Rozważ przywrócenie ustawień fabrycznych.
Jak się zabezpieczyć zawczasu
Zastrzeżenie PESEL – i sankcja, o której mało kto wie
Zastrzeżenie numeru PESEL jest bezpłatne i zajmuje chwilę: przez gov.pl (system przenosi do mObywatela) albo w dowolnym urzędzie gminy. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek weryfikować rejestr przy zawieraniu umowy kredytu lub pożyczki.
Najważniejsze jest jednak to, co się dzieje, gdy ktoś ten obowiązek zignoruje. Ustawa z 7 lipca 2023 roku wprowadziła sankcję – i to w trzech miejscach naraz, więc obejmuje nie tylko banki, ale też firmy pożyczkowe. Brzmienie z Prawa bankowego:
„Bank krajowy, instytucja kredytowa, oddział instytucji kredytowej oraz oddział banku zagranicznego nie mogą domagać się od konsumenta i jego następców prawnych zaspokojenia roszczenia z tytułu zawarcia umowy określonej w ust. 1 ani zbyć wierzytelności powstałej z tej umowy, jeżeli w chwili zawarcia umowy, z której wynika dochodzone roszczenie, numer PESEL tego konsumenta był zastrzeżony w rejestrze zastrzeżeń numerów PESEL.”
Po ludzku: jeśli mimo zastrzeżenia ktoś weźmie kredyt na Twoje dane, instytucja nie może żądać od Ciebie spłaty ani sprzedać tego długu firmie windykacyjnej. To jest realna tarcza, a nie deklaracja.
Przy okazji: zastrzeżenie PESEL wstrzymuje też na 12 godzin wypłatę gotówki w oddziale powyżej trzykrotności minimalnego wynagrodzenia – nawet gdyby ktoś w międzyczasie cofnął zastrzeżenie.
Alerty BIK i zastrzeżenie kredytowe
Alerty BIK to abonament roczny, który wysyła SMS, „gdy ktoś złoży wniosek o kredyt/pożyczkę na Twoje dane”. Na sierpień 2026 kosztuje 48 zł rocznie (36 zł w cenie startowej dla nowych użytkowników); pakiet z sześcioma raportami – 139 zł rocznie. Ceny promocyjne bywają zmienne, więc sprawdź aktualne przed zakupem.
Do Alertów dołączone jest bezpłatnie zastrzeżenie kredytowe BIK – informujesz instytucje, że nie zgadzasz się na kredyt na swoje dane. Sam BIK zaznacza jednak ograniczenie: na pytanie, czy daje to gwarancję, odpowiada „Nie, Zastrzeżenie kredytowe nie daje takiej gwarancji” – bo obejmuje instytucje korzystające z BIK. Ustawowe zastrzeżenie PESEL jest pod tym względem mocniejsze i darmowe. Najlepiej mieć oba.
Jak sprawdzić, czy ktoś już wziął kredyt na Twoje dane
- Bezpłatna kopia danych z BIK – przysługuje „raz na 6 miesięcy” na podstawie RODO. Pokazuje m.in. zobowiązania: nazwę instytucji, datę zaciągnięcia, kwotę i opóźnienia.
- Historia weryfikacji PESEL w mObywatelu – w sekcji zastrzeżenia zobaczysz historię zmian statusu i weryfikacji Twojego numeru przez firmy i instytucje. Nierozpoznana weryfikacja to sygnał, że ktoś próbował.
Nie znaleźliśmy oficjalnej, urzędowej instrukcji krok po kroku na wypadek, gdy kredyt już został wyłudzony – ani na gov.pl, ani w poradniku BIK. Formalną ścieżką pozostaje żądanie sprostowania danych w BIK (termin: miesiąc, z możliwością przedłużenia o dwa), reklamacja w instytucji, zawiadomienie na policję i – gdy instytucja odrzuci reklamację – wniosek do Rzecznika Finansowego.
Najczęstsze pytania
Czy mogę zgłosić podejrzane połączenie na numer 8080?
Nie. Numer 8080 służy wyłącznie do przesyłania dalej podejrzanych SMS-ów – tak stanowi ustawa, która mówi o „odbiorcach krótkich wiadomości tekstowych". Podejrzane połączenie zgłosisz natomiast przez formularz na incydent.cert.pl, który ma osobną kategorię „Podejrzany telefon" – a poza tym swojemu bankowi i policji. Szczegóły w poradniku o CLI spoofingu.
Dzwonił prawdziwy numer mojego banku. To na pewno był bank?
Nie. To najczęstszy błąd. Numer da się podrobić, a CERT Polska i banki ostrzegają przed tym wprost. Co więcej, numery infolinii bankowych bywają wpisane do wykazu UKE jako „tylko do odbierania" – wtedy połączenie „od infolinii" jest z definicji fałszywe.
Przysłali mi legitymację i protokół. Przecież to dokumenty urzędowe.
To standardowy element tego schematu, opisany wprost przez Policję i ZBP. Fałszywe legitymacje, protokoły i zawiadomienia o wszczęciu postępowania to plik PDF, nie dowód.
Kazali nikomu nie mówić, bo to tajemnica postępowania.
Żadna prawdziwa procedura bankowa ani policyjna nie zabrania Ci rozmawiać z rodziną. Nakaz milczenia jest narzędziem izolacji – i sam w sobie wystarcza, żeby przerwać rozmowę.
Rozmówca był miły i rzeczowy, znał moje dane.
Dane osobowe wyciekają masowo i ich znajomość niczego nie dowodzi. Uprzejmość jest narzędziem pracy, nie dowodem tożsamości – dlatego jedyną sensowną weryfikacją jest rozłączenie się i oddzwonienie na numer, który znalazłeś sam.
Czy przelew na „konto techniczne" da się cofnąć?
Czasem, ale tylko zanim pieniądze zostaną podjęte – dlatego pierwszy telefon idzie do banku, nie na policję. Im szybciej, tym większa szansa.
Materiały powiązane
- Jak zastrzec numer PESEL krok po kroku – pełna procedura i przed czym naprawdę chroni.
- Oszustwa bankowe i internetowe w Polsce: phishing, spoofing, fałszywy BLIK – szersze tło.
- Oszustwa na wnuczka i na policjanta – jak zdalnie chronić rodziców w Polsce.
- Klonowanie głosu i oszustwo na wnuczka – gdy głos w słuchawce brzmi znajomo.
Jedno zdanie do przesłania rodzicom
Jeśli ktoś dzwoni i mówi, że na Twoje dane wzięto pożyczkę – rozłącz się i oddzwoń na numer z odwrotu swojej karty. Bank nigdy nie każe przelewać pieniędzy na „bezpieczne konto" i nigdy nie zabrania rozmawiać z rodziną.
Stan na 28 sierpnia 2026 r. Materiał ma charakter informacyjny i nie stanowi porady prawnej ani finansowej. Świadomie zaznaczyliśmy w tekście, czego nie udało się potwierdzić u źródła – w tym pytania o bank jako elementu schematu, kwoty „około 10 tysięcy złotych" oraz ogólnopolskich statystyk tej metody. Ceny usług i praktyka banków się zmieniają; przed decyzją sprawdź aktualny stan u źródła.
Komentarze (0)
Brak komentarzy. Bądź pierwszy!