Oszustwo na kwaterę: jak rozpoznać fałszywą ofertę noclegu i co zrobić, gdy pieniądze już wyszły (2026)

Oszustwo „na kwaterę” nie jest nowe. Nowe jest to, że w sezonie 2026 przestało wymagać od oszusta zmyślania czegokolwiek.

Do niedawna schemat był prosty: ktoś wystawiał ogłoszenie domku, którego nie było, brał zaliczkę i znikał. Żeby się obronić, wystarczyło sprawdzić, czy pod podanym adresem cokolwiek stoi. Dziś ofiara dostaje wiadomość, w której zgadza się wszystko: jej imię i nazwisko, prawdziwy numer rezerwacji, nazwa hotelu, w którym faktycznie ma nocować, i dokładne daty przyjazdu oraz wyjazdu. Wiadomość przychodzi czasem oficjalnym czatem w aplikacji Booking, bo konto obiektu zostało przejęte. Nie ma tam nic do zdemaskowania „na oko” – bo nic nie jest zmyślone poza jednym: linkiem do płatności.

29 czerwca 2026 roku włamano się do systemu rezerwacyjnego Hotres, z którego korzysta ponad dwa tysiące polskich hoteli, pensjonatów i apartamentów. Napastnik odczytał dane około dwóch tysięcy rezerwacji i – co istotne – szukał celowo pobytów lipcowych i sierpniowych, czyli takich, które jeszcze się nie odbyły. Wyciekły imiona i nazwiska, telefony, adresy e-mail, daty pobytu i kwoty rezerwacji. W ciągu kilku dni pracownicy hoteli zaczęli odbierać telefony od gości, którzy dostali na WhatsAppie wiadomość z dokładnymi danymi swojej rezerwacji i linkiem do „dopłaty”.

Dwa i pół miesiąca wcześniej, 16 kwietnia 2026, ujawniono wyciek danych rezerwacyjnych z Booking.com. Booking.com utrzymuje, że dane kart i adresy domowe nie wyciekły, ale imiona, nazwiska, telefony, e-maile i szczegóły rezerwacji – tak. Polacy zaczęli dostawać wiadomości na WhatsAppie od „recepcji hotelu”, z prawdziwymi datami pobytu, z żądaniem „potwierdzenia płatności kartą” – mimo że ich rezerwacja przewidywała płatność na miejscu.

Ten poradnik opisuje wszystkie odmiany oszustwa, jakie w tym sezonie działają w Polsce – od klasycznego domku widma po przejęcie konta hotelu w panelu Booking – i pokazuje, co konkretnie sprawdzić przed wpłatą oraz co robić w pierwszych godzinach, kiedy pieniądze już wyszły. Materiał jest napisany z myślą o dwóch grupach: o osobach rezerwujących nocleg w Polsce z zagranicy, które nie mogą pojechać i obejrzeć obiektu, i o rodzinie w Polsce, którą łatwo tym schematem trafić.

Jedno zastrzeżenie na start, żeby nie budować fałszywego poczucia bezpieczeństwa: niska cena nie jest już głównym sygnałem ostrzegawczym. W wariantach opartych na wycieku danych cena jest prawdziwa, bo rezerwacja jest prawdziwa. Sygnałem jest to, gdzie i jak ktoś każe Ci zapłacić.

Trzy schematy według NASK i CERT Polska

W czerwcu 2026 roku NASK uporządkował nadużycia wykorzystujące markę Booking.com w trzy schematy. Warto je znać, bo to jest oficjalna klasyfikacja, do której odwołują się komunikaty policji i banków.

Schemat	Na czym polega	Kto ryzykuje najwięcej
Fałszywa strona płatności	Witryna łudząco podobna do platformy, pod inną domeną – literówka, dodatkowy myślnik, nietypowa końcówka	turysta
Wiadomości z przejętego konta obiektu	Prawdziwy hotel, prawdziwe dane pobytu, prośba o dopłatę lub „weryfikację”	hotel i turysta – wg NASK największe ryzyko dla hoteli
Fałszywe oferty na prawdziwej platformie	Ogłoszenie wprowadzające w błąd co do obiektu, warunków albo tożsamości ogłaszającego, opublikowane na autentycznym serwisie	turysta i platforma

Wspólne sygnały ostrzegawcze wskazane przez NASK to presja czasu, żądanie płatności poza platformą i link prowadzący na zewnętrzną stronę. Zapamiętaj tę trójkę – wraca w każdej odmianie opisanej niżej.

Osiem odmian oszustwa na kwaterę

Odmiany od pierwszej do trzeciej to klasyka: oszust wystawia ofertę i czeka. Od czwartej do ósmej atak następuje po tym, jak ofiara zarezerwowała nocleg – i to one w tym sezonie zebrały największe żniwo, bo klasyczne rady w rodzaju „sprawdź adres w Street View” zupełnie na nie nie działają.

Kwatera widmo – obiekt, którego nie ma

Najstarszy i wciąż najczęstszy wariant. Ogłoszenie pojawia się na portalu ogłoszeniowym (policja najczęściej wymienia OLX), na Facebook Marketplace albo w grupie w rodzaju „Domki Mazury – wynajem i ogłoszenia”. Oferta jest wyjątkowo atrakcyjna: niska cena, świetna lokalizacja – blisko morza albo w centrum – i wysoki standard.

Komenda Miejska Policji w Mysłowicach opisała schemat w czterech krokach: zamieszczenie fikcyjnego ogłoszenia, oferta wyjątkowo atrakcyjna cenowo, kontakt z „właścicielem”, który używa fałszywej tożsamości i jest bardzo uprzejmy, żeby wzbudzić zaufanie, a na końcu żądanie przedpłaty. Po wpłacie kontakt się urywa – telefon milczy, wiadomości zostają bez odpowiedzi.

Presja czasu jest wbudowana w scenariusz. Wracające sformułowania to „ostatnie wolne miejsce”, „potrzebne szybkie potwierdzenie”, „mam jeszcze jedną chętną osobę”, „zaliczka dziś, bo jutro puszczam termin”.

Kwoty w polskich sprawach z tego sezonu:

Kwota	Sprawa	Data
740 zł	apartament nad morzem, mieszkanka powiatu nowomiejskiego	18.08.2026
600 zł	nocleg w górach, 33-latek z powiatu ostródzkiego	07.07.2026
ok. 500 zł	pokój w Kotlinie Kłodzkiej, przelew na prywatne konto	06.08.2026
ponad 1000 zł	nocleg w górach, mieszkanka powiatu ciechanowskiego	kwiecień 2026
1300 zł	domek na Mazurach pod Giżyckiem – adres okazał się prywatnym domem	18.04.2026
2500 zł	domek letniskowy, 26-latek z powiatu gliwickiego	lipiec
3800 zł	trzy ofiary jednego sprawcy, fikcyjne oferty najmu lokali w Warszawie	31.07.2026

To nie są sprawy anonimowe. W maju 2026 śląscy „łowcy głów” zatrzymali 35-latka z Chorzowa, który wystawiał domki letniskowe w atrakcyjnych lokalizacjach po obniżonych cenach – obiekty nigdy nie istniały. Ukrywał się od listopada 2025, ciążyły na nim dwa listy gończe, do odsiedzenia miał pięć i pół roku. W lipcu 2026 policja zatrzymała w Warszawie 28-latka z trzema zarzutami oszustwa. Wcześniejsze sprawy pokazują skalę, jaką potrafi osiągnąć jeden sprawca: obywatel Niemiec zatrzymany we Wrocławiu miał co najmniej 20 pokrzywdzonych w całej Polsce, a dwie kobiety z Grójca – co najmniej 75.

Wirtualny pensjonat – prawdziwy obiekt, podmieniony numer konta

Wariant, przy którym sprawdzenie adresu w Google Maps niczego nie wykrywa, bo obiekt istnieje i wygląda dokładnie tak jak na zdjęciach.

Oszust kopiuje autentyczne zdjęcia, treść strony, nazwę, adres, a nawet NIP prawdziwego pensjonatu. Zmienia dokładnie trzy rzeczy: numer telefonu, adres e-mail i numer konta do wpłaty. Policja warmińsko-mazurska ujęła to w jednym zdaniu: przestępcy coraz częściej podszywają się pod rzeczywiście istniejące hotele i apartamenty, zmieniając tylko numer telefonu i numer konta bankowego.

Ofiara dowiaduje się o wszystkim dopiero na miejscu, kiedy prawdziwy właściciel mówi, że nie ma żadnej takiej rezerwacji. Bywa też, że pierwszy sygnał przychodzi wcześniej – jak w sprawie mieszkańca Szczercowa, który znalazł na OLX ofertę hotelu nad morzem, przelał około 450 zł zaliczki, a przy próbie kontaktu numer okazał się nieosiągalny. Prawdziwy hotel nigdy takiej oferty nie wystawiał.

Odmiana rozwinięta, opisana na grupie facebookowej o domkach na Mazurach: skopiowane zdjęcie przerobiono – dorysowano nieistniejące jacuzzi – i przypisano obiektowi inny adres niż prawdziwy. Cena spadła z 1500 zł za dobę do 400 zł. Kobieta, która pojechała pod wskazany adres w Bogaczewie koło Giżycka, nie znalazła tam żadnego domku. Odezwała się prawdziwa właścicielka: domek istnieje, ale w Pierkunowie, a na zdjęciu nie ma ani beli, ani jacuzzi – ktoś ukradł zdjęcie i je przerobił.

To ważny wniosek praktyczny: weryfikacja przez Street View sprawdza budynek, nie sprawdza tego, kto go wynajmuje. Do tego potrzebny jest telefon pod numer, którego oszust Ci nie podał.

Fałszywy serwis rezerwacyjny – oszustwo, które wygląda profesjonalnie

Kontakt zaczyna się jak przy kwaterze widmie – od ogłoszenia – ale płatność idzie przez spreparowany, wyglądający wiarygodnie serwis rezerwacyjny. Ofiara dostaje wszystkie rekwizyty prawdziwej rezerwacji.

Mieszkanka Wielkopolski znalazła na początku lipca 2026 ogłoszenie apartamentu w Juracie na OLX. Rozmawiała telefonicznie z „właścicielem”. Dostała SMS-em link do serwisu rezerwacyjnego, na którym wybrała apartament i dokonała rezerwacji. Przyszedł e-mail z potwierdzeniem. Przyszedł nawet kod do skrytki z kluczami – element, który uwiarygodnia całość lepiej niż cokolwiek innego, bo sugeruje samodzielne zameldowanie i realny zamek w realnych drzwiach. Tydzień przed wyjazdem firma przestała odbierać telefon, strona rezerwacyjna przestała działać, a informacje przedprzyjazdowe nigdy nie dotarły. Strata: blisko 3000 zł.

Bliźniacza sprawa ze stycznia 2026: mężczyzna zarezerwował nocleg w Białce Tatrzańskiej, rozmawiał z „pracownikiem obiektu”, zapłacił 2900 zł, a po dwóch tygodniach dostał e-mail, że firma obsługująca apartamenty zakończyła działalność i żadnych rezerwacji nie prowadziła.

Do tej samej rodziny należą klony platform: witryny podszywające się pod Booking.com, Expedię czy Hotels.com, z tym samym układem, kolorystyką, okienkiem płatności i panelem logowania. Różnica jest wyłącznie w adresie – literówka, dodatkowy myślnik, nietypowa końcówka domeny.

Przejęte konto hotelu w panelu Booking

Najlepiej udokumentowany technicznie wariant, opisany w listopadzie 2025 przez zespół Sekoia pod nazwą kampanii „I paid twice”. Atak ma dwa piętra: najpierw ofiarą pada hotel, potem jego goście.

1. Hotel dostaje wiadomość z już przejętego konta innego hotelu

   Tematy: „New last-minute booking”, „New guest message”. Wiadomość przychodzi z prawdziwego, zaufanego kanału – dlatego działa.

2. Link prowadzi na stronę z podrobionym brandingiem Booking.com

   Po drodze jest łańcuch przekierowań, który utrudnia analizę.

3. Fałszywa reCAPTCHA każe pracownikowi wkleić polecenie

   Technika nazywa się ClickFix. „Potwierdź, że nie jesteś robotem” kończy się instrukcją skopiowania i wklejenia komendy PowerShell w oknie systemowym. Żadna prawdziwa captcha nigdy tego nie wymaga.

4. Na komputerze recepcji ląduje trojan zdalnego dostępu

   Archiwum ZIP, plik wykonywalny, wpis w rejestrze dla trwałości, finalnie PureRAT – zdalny dostęp i zbieranie haseł.

5. Z przejętego konta obiektu idą wiadomości do gości

   Oficjalnym czatem Booking, WhatsAppem albo e-mailem – z prawdziwymi danymi rezerwacji i pretekstem „problemu bezpieczeństwa przy weryfikacji bankowej”.

6. Link prowadzi na stronę zbierającą dane karty

   Hostowaną na tzw. bulletproof hostingu, chronioną przez usługę CDN, żeby przetrwać zgłoszenia.

To jest przemysł, nie pojedynczy oszust. Konta hoteli w panelu Booking sprzedaje się na forach przestępczych po cenach od 5 do 5000 dolarów, zależnie od wartości obiektu, a jeden z aktorów tego rynku chwalił się zarobkiem powyżej 20 milionów dolarów. Booking.com utrzymuje, że jego własne systemy nie zostały naruszone, i wskazuje na zabezpieczenia po stronie hoteli.

Polskie ślady tej kampanii są dobrze udokumentowane. CERT Orange Polska opisał w sierpniu 2025 wzorzec domen booking.confirmation-id[NUMER].com i cytat z wiadomości oszustów: „Przypominamy, że ten krok jest niezbędny do potwierdzenia Twojej rezerwacji”. W styczniu 2026, przy okazji ferii, wróciła wersja z domenami reservation.confirm-id[NUMER].com i z konkretnymi polskimi obiektami wykorzystanymi jako przynęta – wśród nich Schronisko PTTK Murowaniec, Willa Roztoka i Hotel Eco Tatry.

Dopłata do rezerwacji, która naprawdę istnieje

To jest nowość sezonu 2026 i najgroźniejsza odmiana, bo ofiara ma prawdziwą rezerwację, a oszust zna wszystkie jej szczegóły – nie dlatego, że włamał się do konkretnego hotelu, tylko dlatego, że kupił albo wykradł dane z systemu rezerwacyjnego.

Wyciek z Hotres, 29 czerwca 2026. Zmasowany atak z wielu adresów IP, wektorem był SQL injection z poziomu zalogowanego konta – czyli napastnik miał wcześniej czyjeś dane logowania. Odczytał dane około 2000 rezerwacji, celowo szukając pobytów lipcowych i sierpniowych. System obsługuje ponad 2000 polskich obiektów. Wyciekły: imię i nazwisko gościa, numer telefonu, adres e-mail, data pobytu i kwota rezerwacji. Dane kart nie były w tym systemie przechowywane. Już w pierwszych dniach lipca hotelarze zgłaszali, że goście dostają na WhatsAppie wiadomości z dokładnymi danymi rezerwacji i linkiem do płatności.

Wyciek z Booking.com, ujawniony 16 kwietnia 2026. Zakres: imię i nazwisko, e-mail, telefon, szczegóły rezerwacji przeszłych i bieżących – nazwa obiektu, daty pobytu, życzenia specjalne. Booking.com zaktualizował PIN-y rezerwacji i rozesłał ostrzeżenia, przypominając, że nigdy nie prosi o dane karty przez e-mail, telefon, WhatsApp ani SMS i nigdy nie żąda przelewów w kwotach innych niż w potwierdzeniu rezerwacji.

Media nazwały tę technikę przejmowaniem rezerwacji. Sedno oddaje cytat z analizy: mając dostęp do prawdziwych danych rezerwacji, oszuści mogą powoływać się na konkretne obiekty, daty i dane kontaktowe, przez co ich wiadomości wyglądają jak standardowa komunikacja hotelu.

W sierpniu 2026 ostrzeżenie w tej sprawie wydał UOKiK. Prezes urzędu Tomasz Chróstny zwrócił uwagę na presję obecną na każdym etapie: „Presja może pojawić się na każdym etapie rezerwacji – gdy serwisy eksponują niskie ceny, informują o ograniczonej liczbie pokoi, czy już po zakupie, przez alarmujące komunikaty o płatności. Nie reagujmy automatycznie. Przed zapłatą zweryfikujmy całkowity koszt i zakres usług, a pilne żądania płatności potwierdźmy bezpośrednio w oficjalnej aplikacji lub na stronie”.

Podwójny wynajem i nadużycie samodzielnego zameldowania

Policja podkarpacka wprost wymienia wynajmowanie tego samego obiektu wielu osobom jednocześnie jako osobny schemat. Kilku gości płaci zaliczkę za ten sam termin, sprawca znika, a jeśli obiekt istnieje – zjawiają się na miejscu w tym samym dniu.

Bardziej wyrafinowana odmiana wykorzystuje samodzielne zameldowanie. Sprawca rezerwuje mieszkanie na jedną noc przez platformę, dostaje kod do domofonu i kod do skrytki z kluczem, nigdy się nie pojawia – ale ma komplet dostępów. Potem wystawia to samo mieszkanie w innym serwisie jako właściciel, na wynajem długoterminowy.

Sprawa z Warszawy z października 2025 pokazuje, ilu ludzi traci na tym naraz. Małżeństwo z Finlandii zarezerwowało apartament w centrum, dostało kody, ale klucza w skrytce nie było – właścicielka musiała przyjechać z zapasowym. Trzy godziny później turyści zadzwonili, że w drzwiach stanął młody mężczyzna ze starszą kobietą, którzy rzekomo mieli się wprowadzić. Oszust oferował to mieszkanie za 1800 zł miesięcznie plus kaucja. Poszkodowana kobieta zapłaciła kilka tysięcy złotych za mieszkanie dla syna. Stracili wszyscy troje: turyści, właścicielka i osoba szukająca mieszkania.

BLIK, kody i linki płatnicze

Zasada jest bezwyjątkowa i warto ją znać na pamięć: nikt uczciwy nigdy nie poprosi Cię o kod BLIK – ani bank, ani kurier, ani urząd, ani właściciel kwatery. Kod BLIK służy do wydania pieniędzy, nie do potwierdzenia czegokolwiek.

Ekran w aplikacji banku zawsze pokazuje kwotę i kierunek operacji – czy to obciążenie, czy uznanie. To jest ostatni moment, w którym da się wszystko zatrzymać, i jedyne miejsce, któremu można wierzyć. Napis na stronie oszusta nie ma żadnego związku z tym, jaka transakcja faktycznie zostanie zlecona.

Pieniądze z wyłudzonych kodów BLIK wypłaca z bankomatu tzw. odbierak – osoba wynajęta do fizycznego podjęcia gotówki i przekazania jej dalej. Polska policja zatrzymywała takich ludzi w sprawach dotyczących OLX; łańcuch monetyzacji jest ten sam niezależnie od tego, czy pretekstem była sprzedaż roweru, czy zaliczka za domek.

Fałszywa oferta na całkowicie prawdziwej platformie

Najtrudniejsza do wykrycia, bo zawodzą wszystkie odruchy typu „sprawdź domenę” i „płać w systemie”. Nieuczciwy ogłaszający publikuje na autentycznym Booking.com albo w innym legalnym serwisie ofertę wprowadzającą w błąd co do obiektu, warunków albo własnej tożsamości. Odpowiedzialność za wykrycie i usunięcie takiej oferty spoczywa na platformie – a to znaczy, że reaguje ona po czasie.

Tu dochodzi wątek sztucznej inteligencji: część ofert na prawdziwych platformach zawiera zdjęcia wygenerowane przez AI albo lokalizacje, których nie ma. Analitycy zwracają też uwagę, że wiadomości oszustów są dziś generowane w językach ojczystych ofiar, żeby uniknąć wykrycia po nieporadnej polszczyźnie – dawniej najpewniejszym sygnale ostrzegawczym.

Prawdziwe wiadomości oszustów

To są cytaty z kampanii, które faktycznie krążyły po Polsce. Warto je przeczytać, bo żadna z tych wiadomości nie brzmi podejrzanie – i o to chodzi.

„Jeśli weryfikacja nie zostanie wykonana w ciągu 24 godzin, Twoja rezerwacja może zostać anulowana.”

„Czy możesz potwierdzić szczegóły rezerwacji i zweryfikować ją? Nie martw się, żadna płatność nie zostanie pobrana – to tylko tymczasowa blokada w celu weryfikacji, która zostanie natychmiast zwolniona. Kliknij ten link, aby dokończyć proces.”

„Przypominamy, że ten krok jest niezbędny do potwierdzenia Twojej rezerwacji.”

Trzy rzeczy, które robią te teksty, są tu widoczne jak na dłoni. Pierwsza: termin – 24 godziny, po których „rezerwacja przepadnie”. Druga: rozbrojenie oporu – „żadna płatność nie zostanie pobrana, to tylko tymczasowa blokada”. To zdanie jest kłamstwem: pieniądze znikają z konta bezpowrotnie, żadna blokada nie jest zwalniana. Trzecia: uprzejmy, urzędowy ton bez błędów językowych, który nie przypomina niczego, co ludzie pamiętają jako „nigeryjski spam”.

Przy klasycznej kwaterze widmie język jest inny – bardziej swojski i osobisty. Policja parafrazuje go tak: „ostatnie wolne miejsce”, „potrzebne szybkie potwierdzenie”, „mam jeszcze jedną chętną osobę, ale trzymam dla Pani do wieczora”, „proszę o symboliczną zaliczkę na potwierdzenie rezerwacji”.

Tabela sygnałów ostrzegawczych

Sygnał	Co znaczy	Co zrobić
Prośba o przejście z platformy na WhatsApp, Telegram, Messenger albo SMS	Poza platformą nie ma historii rozmowy, nie ma ochrony i nie ma śladu dla platformy	Zostań w oficjalnym czacie. Rezygnacja z oferty jest tańsza niż zaliczka
Link do płatności przysłany w wiadomości	Najczęstszy mechanizm sezonu 2026, także przy prawdziwej rezerwacji	Nie klikaj. Wejdź do aplikacji albo na stronę samodzielnie
„Potwierdź w ciągu 24 godzin, bo rezerwacja przepadnie”	Sztuczny termin, który ma wyłączyć sprawdzanie	Prawdziwy obiekt zadzwoni, jeśli coś jest nie tak. Zadzwoń pierwszy – pod numer ze strony obiektu
„Żadna płatność nie zostanie pobrana, to tylko weryfikacja karty”	Kłamstwo. Pieniądze znikają bezpowrotnie	Zamknij wiadomość, zgłoś ją obiektowi i na incydent.cert.pl
Prośba o kod BLIK albo o zatwierdzenie operacji w aplikacji	To zawsze wypłata z Twojego konta	Przeczytaj, co dokładnie zatwierdzasz. Odmów
Rachunek zagraniczny przy noclegu w Polsce	Sygnał wskazywany wprost przez policję	Nie płać. Przy krajowej ofercie nie ma powodu, żeby pieniądze szły za granicę
Rachunek prywatny, gdy oferta wygląda na firmową	Rozbieżność między ofertą a odbiorcą pieniędzy	Sprawdź numer konta na białej liście podatników VAT
Żądanie całej kwoty z góry albo bardzo wysokiej zaliczki	Standard u oszustów, rzadkość u uczciwych wynajmujących	Umów rozsądną zaliczkę i resztę na miejscu
Cena wyraźnie poniżej rynkowej w szczycie sezonu	Klasyczna przynęta, choć dziś już nie jedyna	Porównaj z trzema innymi ofertami w tej samej miejscowości i terminie
Brak możliwości dodzwonienia się, kontakt tylko pisemny	Oszust unika głosu, bo głos zostawia ślad i zdradza scenariusz	Nalegaj na rozmowę. Odmowa kończy temat
Konto na Facebooku albo profil na portalu założone niedawno, bez historii	Konta jednorazowe, zakładane na jeden sezon	Sprawdź datę dołączenia i wcześniejsze ogłoszenia
Adres ogólnikowy – „300 metrów od morza”, „w centrum”	Brak adresu uniemożliwia weryfikację	Poproś o dokładny adres. Odmowa jest odpowiedzią
Te same zdjęcia pod inną nazwą obiektu	Kradzione zdjęcia albo podszycie się pod prawdziwy pensjonat	Odwrotne wyszukiwanie obrazem – instrukcja niżej
Fałszywa captcha każąca coś skopiować i wkleić	Technika ClickFix – instalacja złośliwego oprogramowania	Zamknij stronę. Żadna prawdziwa captcha tego nie wymaga

Weryfikacja oferty w dziesięć minut

Poniżej kolejność od najtańszego sygnału do najdroższego. Pierwsze trzy kroki wykrywają większość oszustw i zajmują łącznie kilka minut. Jeśli oferta przejdzie wszystkie dziesięć, ryzyko spada do poziomu, przy którym można spokojnie wpłacić zaliczkę.

1. Sprawdź trzy do pięciu zdjęć odwrotnym wyszukiwaniem obrazem

   Najskuteczniejsze pojedyncze narzędzie w całym zestawie. Instrukcja niżej.

2. Sprawdź wiek domeny, jeśli obiekt ma własną stronę

   dns.pl/whois – domena sprzed dwóch tygodni przy „pensjonacie rodzinnym od 20 lat” kończy temat.

3. Znajdź adres w Google Maps i obejrzyj Street View

   Razem z historią zdjęć. Sprawdzasz budynek, nie wynajmującego – o tym pamiętaj.

4. Wpisz NIP do CEIDG albo KRS

   Status wpisu, data rozpoczęcia działalności, kody PKD. Dla noclegów spodziewaj się działu 55 – 55.10.Z hotele, 55.20.Z obiekty noclegowe turystyczne i miejsca krótkotrwałego zakwaterowania, 55.30.Z pola kempingowe – albo 68.20.Z. Firma zarejestrowana trzy tygodnie temu plus żądanie wysokiej przedpłaty to czerwona flaga.

5. Sprawdź numer konta na białej liście podatników VAT

   podatki.gov.pl/wykaz-podatnikow-vat-wyszukiwarka/ – szukaj po numerze rachunku i porównaj podmiot z ofertą.

6. Poszukaj obiektu w ewidencji

   Hotel, motel, pensjonat, kemping, dom wycieczkowy albo schronisko – w Centralnym Wykazie Obiektów Hotelarskich. Kwatera, apartament, domek – w ewidencji gminnej. Szczegóły niżej, bo to miejsce, w którym łatwo wyciągnąć fałszywy wniosek.

7. Sprawdź domenę na Liście Ostrzeżeń CERT Polska

   lista.cert.pl – wpisz domenę i zobacz, czy nie jest już zgłoszona.

8. Poproś o numer księgi wieczystej

   Przy dłuższym pobycie albo dużej kwocie. W dziale II sprawdzisz, czy właściciel to ta sama osoba, na której konto masz przelać pieniądze.

9. Zadzwoń i poproś o krótkie wideo na żywo

   To test, którego oszust nie przejdzie. Szczegóły niżej.

10. Spisz umowę i zapłać zaliczkę, nie całość

    Przelewem na konto zgodne z nazwą podmiotu albo kartą. Nigdy BLIK-iem na numer telefonu i nigdy z linku przysłanego w wiadomości.

Zdjęcia zdradzają oszusta najszybciej

Oszust prawie nigdy nie fotografuje niczego sam. Kradnie zdjęcia z innego ogłoszenia, ze strony prawdziwego pensjonatu albo z portalu hotelowego z innego kraju. Odwrotne wyszukiwanie obrazem sprawdza dokładnie to.

Na komputerze. Otwórz images.google.com, kliknij ikonę aparatu i przeciągnij plik albo wklej adres zdjęcia. W przeglądarce Chrome wystarczy kliknąć zdjęcie prawym przyciskiem i wybrać wyszukiwanie w Google Lens. Powtórz w yandex.com/images – dla wnętrz i budynków Yandex regularnie znajduje kopie, których Google nie widzi. Na koniec tineye.com i posortuj wyniki według najstarszych: jeśli to samo zdjęcie wisi od 2017 roku na stronie chorwackiego hotelu, temat jest zamknięty.

Na Androidzie. Zapisz zdjęcie z ogłoszenia, otwórz Google Zdjęcia, wybierz zdjęcie i dotknij ikony Lens. Alternatywnie: aplikacja Google, ikona aparatu, zakładka wyszukiwania. Dla Yandexa i TinEye otwórz stronę w przeglądarce i prześlij plik z galerii.

Na iPhonie. Zrób zrzut ekranu ogłoszenia, otwórz go w Zdjęciach, dotknij przycisku informacji i wybierz wyszukiwanie wizualne. Yandex i TinEye – przez Safari, przesyłając plik z rolki.

Zdjęcia i opisy generowane przez sztuczną inteligencję

Coraz większa część ofert jest generowana, a nie kradziona – wtedy odwrotne wyszukiwanie nic nie znajdzie, bo tego zdjęcia nigdy wcześniej nie było. Sygnałów jest jednak sporo.

W zdjęciach: geometria, która się nie domyka – listwy przypodłogowe nieschodzące się w narożniku, framuga zwężająca się w połowie, blat wtapiający się w ścianę. Lustro pokazujące inny pokój niż otoczenie albo niepokazujące mebla, który przed nim stoi. Cienie padające z dwóch różnych kierunków. Nieczytelny tekst na szyldach, książkach i pilotach – litery „prawie polskie”, ale nie do przeczytania; to wciąż najpewniejszy pojedynczy sygnał. Zapętlony wzór desek podłogi albo kafelków. Gniazdka i włączniki o dziwnej liczbie otworów lub w standardzie, którego w Polsce nie ma. Wreszcie sama estetyka: przestrzeń idealnie pusta, katalogowa, bez śladów użytkowania – bez pilota, kabli, kosza na śmieci – i widok z okna, na którym morze sąsiaduje z górami.

W opisach: nienaganna polszczyzna bez jednej lokalnej konkretności – żadnej nazwy sklepu, przystanku, sąsiedniej wsi ani imienia gospodarza. Symetryczne akapity zbudowane jak lista korzyści. Superlatywy bez pokrycia: „niezapomniane chwile”, „oaza spokoju”, „idealne miejsce dla całej rodziny”. Sprzeczność między opisem a mapą – „sto metrów od plaży”, a w Google trzy kilometry. Wklej całe zdanie w cudzysłowie do wyszukiwarki: jeśli ten sam tekst wisi w pięciu ogłoszeniach, to szablon.

Ewidencja obiektów: miejsce, w którym najłatwiej się pomylić

To jest ten fragment, w którym poradniki najczęściej wprowadzają ludzi w błąd, więc warto go przeczytać uważnie.

Centralny Wykaz Obiektów Hotelarskich (turystyka.gov.pl/cwoh/index) zawiera wyłącznie skategoryzowane obiekty hotelarskie: hotele, motele, pensjonaty, kempingi, domy wycieczkowe, schroniska i schroniska młodzieżowe. Kategoryzuje je marszałek województwa.

Kwatery prywatne, pokoje gościnne, apartamenty na doby, agroturystyka i domki letniskowe w CWOH nie występują. Podlegają obowiązkowemu wpisowi do ewidencji innych obiektów, w których świadczone są usługi hotelarskie, na podstawie art. 39 ust. 3 ustawy z 29 sierpnia 1997 r. o usługach hotelarskich oraz usługach pilotów wycieczek i przewodników turystycznych. Ewidencję prowadzi wójt, burmistrz albo prezydent miasta właściwy dla położenia obiektu – niezależnie od liczby miejsc noclegowych.

Praktyczny wniosek jest dwustronny. Brak apartamentu w CWOH nie jest dowodem oszustwa – tam takich obiektów z definicji nie ma. Ale obiekt reklamujący się jako „hotel” albo „pensjonat z trzema gwiazdkami”, którego nie ma w CWOH, używa nazwy rodzajowej bez podstawy – a to już coś mówi o ogłaszającym.

Ewidencji gminnych szukaj w Biuletynie Informacji Publicznej gminy – wpisz w wyszukiwarkę „ewidencja innych obiektów świadczących usługi hotelarskie” razem z nazwą gminy. Nie ma jednej centralnej wyszukiwarki tych ewidencji, a gminy publikują je nierówno i nie zawsze aktualizują, więc brak wpisu jest sygnałem ostrzegawczym, nie dowodem. Najprostsza droga: poproś wynajmującego o numer wpisu do ewidencji gminnej. Uczciwy go zna, bo sam go załatwiał.

Rejestry: co sprawdzisz, a czego nie

Rejestr	Adres	Co sprawdzisz	Ograniczenie
Biała lista podatników VAT	podatki.gov.pl/wykaz-podatnikow-vat-wyszukiwarka/	Czy numer rachunku należy do tego podmiotu; szukanie po NIP, REGON, nazwie i po numerze konta	Tylko czynni podatnicy VAT. Prywatne rachunki ROR nie są publikowane – brak wyniku nie dowodzi oszustwa, ale „firma” każąca płacić na ROR osoby prywatnej to sygnał
CEIDG	ceidg.gov.pl	Status wpisu (aktywny, zawieszony, wykreślony), data rozpoczęcia, adres, PKD	Tylko jednoosobowe działalności i spółki cywilne
KRS	wyszukiwarka-krs.ms.gov.pl	Czy spółka istnieje i nie jest w likwidacji, adres, sposób reprezentacji – czy podpisujący może reprezentować spółkę	Odpis aktualny jest bezpłatny i ma moc dokumentu urzędowego
Księgi wieczyste	ekw.ms.gov.pl	Dział II – właściciel; dział III – ostrzeżenia i egzekucja; dział IV – hipoteki	Nie da się wyszukać po adresie – potrzebny jest numer księgi. Przeglądanie treści jest bezpłatne
Baza WHOIS domen .pl	dns.pl/whois	Data utworzenia domeny, rejestrator, serwery DNS	Dane abonenta będącego osobą fizyczną są utajnione
Lista Ostrzeżeń CERT Polska	lista.cert.pl	Czy domena jest już zgłoszona jako niebezpieczna	Obejmuje głównie phishing i złośliwe oprogramowanie. Fałszywe ogłoszenie na OLX się tam nie znajdzie
Centralny Wykaz Obiektów Hotelarskich	turystyka.gov.pl/cwoh/index	Hotele, motele, pensjonaty, kempingi, domy wycieczkowe, schroniska	Bez kwater prywatnych i apartamentów – te są w ewidencji gminnej

Jedno miejsce, którego przy noclegu nie ma sensu sprawdzać: lista ostrzeżeń publicznych KNF. Dotyczy podmiotów podejrzewanych o działalność na rynku finansowym bez zezwolenia. Przydaje się dopiero wtedy, gdy przy okazji noclegu ktoś proponuje „inwestycję w apartament pod wynajem z gwarantowanym zwrotem” – wtedy owszem, warto.

Rozmowa telefoniczna, która rozstrzyga

Jeden telefon załatwia więcej niż wszystkie rejestry razem wzięte – pod jednym warunkiem: dzwonisz pod numer, którego nie podał Ci ogłaszający.

Cały wariant „wirtualnego pensjonatu” opiera się na tym, że oszust podmienia w skopiowanej ofercie numer telefonu i numer konta. Jeśli zadzwonisz pod numer z ogłoszenia, potwierdzi Ci wszystko, bo to jego numer. Znajdź obiekt samodzielnie – w Google, na Booking.com, w Google Maps – i zadzwoń pod numer z jego własnej strony. Zapytaj wprost: „czy wystawiają Państwo ofertę na OLX i czy przyjmują wpłaty na konto o numerze zaczynającym się od…”.

Podczas rozmowy z prawdziwym wynajmującym zapytaj o rzeczy, których nie ma w ogłoszeniu i których nie da się zgadnąć: numer autobusu z dworca, czy w kuchni jest piekarnik czy tylko mikrofalówka, jak nazywa się najbliższy sklep, gdzie parkują goście, gdy parking jest pełny. Odpowiedź długa, ogólna i wymijająca jest odpowiedzią.

Zaliczka i zadatek to dwie różne rzeczy

To rozróżnienie decyduje o tym, co się stanie z Twoimi pieniędzmi przy rezygnacji – Twojej albo wynajmującego. Art. 394 Kodeksu cywilnego stanowi, że w razie niewykonania umowy przez jedną ze stron druga może bez wyznaczania dodatkowego terminu odstąpić od umowy i otrzymany zadatek zachować, a jeżeli sama go dała – żądać sumy dwukrotnie wyższej. Przy wykonaniu umowy zadatek zalicza się na poczet ceny, a przy rozwiązaniu umowy albo gdy niewykonanie nastąpiło z przyczyn, za które żadna ze stron nie odpowiada – zadatek podlega zwrotowi, bez podwójnej sumy.

Zaliczka nie ma własnej definicji w Kodeksie cywilnym. To po prostu część zapłaty, rozliczana na zasadach ogólnych.

	Zadatek	Zaliczka
Podstawa	art. 394 Kodeksu cywilnego	brak przepisu szczególnego
Rezygnujesz Ty	wynajmujący zatrzymuje całość	podlega zwrotowi
Odwołuje wynajmujący	zwraca podwójną kwotę	zwraca kwotę nominalną
Umowa wykonana	zaliczany na cenę	zaliczana na cenę
Siła wyższa albo wina obu stron	zwrot, bez podwójnej sumy	zwrot

Wniosek jest mniej oczywisty, niż się wydaje. Dla turysty korzystniejsza jest zaliczka, bo odzyskasz ją przy rezygnacji. Ale wynajmujący, który sam z siebie proponuje zadatek, jest paradoksalnie bardziej wiarygodny niż taki, który pisze „przedpłata bezzwrotna” – zadatek działa w obie strony i naraża jego samego na zwrot podwójnej kwoty, jeśli to on odwoła pobyt.

O charakterze wpłaty decyduje treść umowy, nie nazwa w tytule przelewu. Napisz wprost: „kwota X stanowi zadatek w rozumieniu art. 394 Kodeksu cywilnego” albo „kwota X stanowi zaliczkę podlegającą zwrotowi w razie…”. Tytuł przelewu opisz mimo to możliwie dokładnie – „zadatek za pobyt 1–8.08.2026, ul. Nadmorska 5/2, Ustka, umowa z 20.06.2026” – bo w sprawie karnej to bardzo dobry dowód.

Rozsądna wysokość wpłaty z góry to 10–30 procent ceny pobytu. Żądanie stu procent przelewem na prywatne konto, bo „cena promocyjna obowiązuje tylko dziś”, to klasyczny schemat.

Umowa: co zapisać, zanim wyślesz pieniądze

Dobra wiadomość: umowa najmu na okres do roku nie wymaga formy pisemnej. Art. 660 Kodeksu cywilnego wymaga pisma dopiero dla najmu nieruchomości lub pomieszczenia na czas dłuższy niż rok. Wymiana maili albo wiadomości plus potwierdzenie przelewu to wystarczający dowód w postępowaniu cywilnym i karnym.

Praktycznie: preferuj e-mail nad komunikator – to trwały nośnik, którego druga strona nie skasuje u Ciebie. I tak zrób zrzuty ekranu całej korespondencji z widocznym numerem albo adresem nadawcy i datami, zanim ogłoszenie zniknie.

Co powinno się znaleźć w umowie albo przynajmniej w mailu potwierdzającym:

• Strony – wynajmujący: imię i nazwisko albo nazwa firmy, adres, PESEL lub NIP, telefon, e-mail; najemca analogicznie.
• Podstawa dysponowania lokalem – oświadczenie, że wynajmujący jest właścicielem (najlepiej z numerem księgi wieczystej) albo ma prawo do podnajmu; ewentualnie numer wpisu do ewidencji gminnej.
• Dokładny opis obiektu – pełny adres z numerem lokalu, metraż, liczba pokoi i miejsc do spania, piętro, wyposażenie, przynależności: miejsce postojowe, balkon, ogród.
• Termin pobytu z godzinami zameldowania i wymeldowania.
• Liczba osób i zasady dotyczące zwierząt.
• Cena całkowita i wszystkie opłaty dodatkowe – sprzątanie końcowe, pościel i ręczniki, media (ryczałt czy według licznika), opłata miejscowa, parking, późne wymeldowanie. To najczęstsze źródło sporów przy uczciwych wynajmujących.
• Zadatek albo zaliczka – kwota, jednoznaczna kwalifikacja, termin wpłaty oraz numer rachunku wraz z nazwą jego posiadacza.
• Warunki rezygnacji – konkretne progi czasowe i osobno to, co się dzieje, gdy odwołuje wynajmujący.
• Kaucja – kwota, termin zwrotu i zasady potrąceń.
• Stan lokalu przy wejściu i wyjściu – zrób własne zdjęcia przy zameldowaniu, łącznie z licznikami.
• Sposób wydania kluczy i kontakt do osoby na miejscu.
• Faktura albo rachunek – zażądaj wprost. Uczciwy przedsiębiorca wystawi, oszust zniknie.

Klauzula typu „zadatek bezzwrotny w każdym przypadku, również przy odwołaniu przez właściciela” w umowie z konsumentem jednostronnie wyłącza działanie art. 394 na niekorzyść słabszej strony i jako postanowienie niedozwolone nie wiąże. Nie warto się o nią kłócić przed wyjazdem – ale warto wiedzieć, że nie jest wiążąca.

Jak zapłacić, żeby mieć drogę odwrotu

Wybór metody płatności decyduje o tym, czy w razie oszustwa masz w ogóle jakąkolwiek procedurę odzyskania pieniędzy. Różnice są ogromne, a większość ludzi poznaje je dopiero po fakcie.

Metoda	Droga odwrotu	Ocena
Płatność w oficjalnym systemie platformy (Booking, Airbnb)	Procedury platformy plus ewentualny chargeback od karty	Najlepsza. Zostań w systemie, nawet jeśli ktoś kusi rabatem za płatność poza nim
Karta kredytowa	Chargeback – 120 dni, liczone także od ostatniego dnia, w którym usługa miała być wykonana	Bardzo dobra, także dla płacących z zagranicy
Karta debetowa	Chargeback działa tak samo	Dobra, choć pieniądze wychodzą z konta od razu
Pay-by-link (PayU, Przelewy24) opłacony kartą	Chargeback w banku wydawcy karty, nie u pośrednika	Dobra – ale sprawdź, czy naprawdę płacisz kartą
Pay-by-link opłacony przelewem	Brak – technicznie to zwykły przelew, mimo wyglądu bramki	Słaba. Łatwo się pomylić, bo ekran wygląda tak samo
Zwykły przelew	Tylko odwołanie przed rozliczeniem i blokada rachunku odbiorcy	Słaba – liczy się wyłącznie szybkość reakcji
BLIK na numer telefonu	Praktycznie żadna – poza sieciami kartowymi, brak chargebacku	Najgorsza przy nieznajomym
Przekaz pieniężny na osobę prywatną	Żadna	Przy noclegu nie ma powodu, żeby ktoś o to prosił

Do tego trzy zasady, które wyłączają większość wariantów opisanych w tym poradniku:

• Nigdy nie płać z linku przysłanego w wiadomości – SMS-em, mailem, WhatsAppem ani na czacie. Nawet jeśli link wygląda dobrze i nawet jeśli wiadomość zna Twoje nazwisko i numer rezerwacji. Wejdź na stronę albo do aplikacji samodzielnie.
• Nigdy nie podawaj danych karty w formularzu „weryfikacji rezerwacji”. Zdanie „żadna płatność nie zostanie pobrana, to tylko tymczasowa blokada” jest kłamstwem – pieniądze znikają bezpowrotnie i nic nie jest zwalniane.
• Nigdy nie podawaj kodu BLIK i czytaj, co zatwierdzasz w aplikacji. Ekran zawsze pokazuje, czy to wpłata, czy wypłata. To ostatni moment, w którym da się to zatrzymać.

Fałszywa bramka płatnicza: po czym ją poznać

Klony bramek płatniczych są dziś porządnie zrobione. Oszuści rejestrują domeny łudząco podobne do prawdziwych – w udokumentowanych przypadkach były to między innymi epayu.pl, payu-24.pl, platnosc-payu.pl, oplata-payu.com, przelewy24-7.pl czy prezelevy.com. Dla Bookinga wzorzec wyglądał tak: booking.confirmation-id1274.com, booking.confirmation-id4814.com i kilkadziesiąt kolejnych o tej samej budowie.

Kłódka przy adresie niczego nie dowodzi. Oszuści od dawna nie rezygnują z certyfikatów SSL – fałszywa strona ma kłódkę tak samo jak prawdziwa. Jedynym wiarygodnym testem jest domena w pasku adresu, przeczytana zanim cokolwiek wpiszesz.

I precyzyjne kryterium, które warto zapamiętać, bo krąży w uproszczonej, mylącej wersji. Prawdziwy pay-by-link przekierowuje Cię do systemu Twojego banku i logowanie faktycznie tam następuje – nie jest prawdą, że „bramka nigdy nie prosi o logowanie”. Prawdziwe kryterium brzmi inaczej: logowanie do banku nigdy nie odbywa się w formularzu osadzonym na domenie bramki ani na jakiejkolwiek domenie innej niż domena Twojego banku. Jeśli pola „login” i „hasło” są na stronie, której adres nie jest adresem Twojego banku – to kradzież, niezależnie od tego, jak wygląda.

Fałszywa bramka nie zawsze poprzestaje na danych karty. Bywa, że wyłudza dane logowania do bankowości i kod SMS „na żywo”, żeby zalogować się na konto i dodać zaufanego odbiorcę – a potem wyprowadzić pieniądze, często w nocy.

Preautoryzacja jest prawdziwa i dlatego oszustwo działa

„Tymczasowa blokada środków” nie jest wymysłem oszustów. Preautoryzacja to legalna, powszechna operacja – hotele i wypożyczalnie samochodów blokują nią kwotę na 7 albo 14 dni i nie wymaga to fizycznej obecności karty. Właśnie dlatego zdanie „nic nie zostanie pobrane, to tylko weryfikacja” brzmi wiarygodnie.

Różnica jest taka, że strona kontrolowana przez oszusta może opisać operację dowolnie. Napis „blokada” na formularzu nie ma żadnego związku z tym, jaka transakcja zostanie faktycznie zlecona. Prawdę pokazują tylko dwie rzeczy: komunikat 3D-Secure w aplikacji banku i historia rachunku. CERT Orange opisał kampanię, w której obiecane „tymczasowe blokady” okazały się zwykłymi obciążeniami – pieniądze znikały bezpowrotnie.

Trzy rzeczy, o które nikt uprawniony nigdy nie poprosi mailem, SMS-em ani przez telefon: kod CVV z rewersu karty, hasło do bankowości i kod autoryzacyjny z SMS-a.

I jedna rzecz specyficzna dla rezerwujących z zagranicy: przy noclegu w Polsce nie ma żadnego powodu, żeby pieniądze szły na rachunek zagraniczny. Policja wymienia to jako osobny sygnał ostrzegawczy. Jeśli usłyszysz, że „konto firmowe jest w innym kraju, bo tak jest taniej”, to koniec rozmowy.

Pieniądze wyszły – pierwsze godziny decydują o wszystkim

Jest tylko jedno okno, w którym pieniądze da się realnie odzyskać: zanim oszust wypłaci je z rachunku odbiorcy. Liczy się w godzinach, nie w dniach. Wszystkie pozostałe ścieżki – reklamacja, sprawa karna, sprawa cywilna – są ważne, ale statystycznie dużo mniej skuteczne. Dlatego poniższe kroki robi się równolegle, nie po kolei.

1. Zadzwoń na infolinię banku i zażądaj trzech rzeczy naraz

   Po pierwsze – odwołania przelewu (recall); działa tylko dopóki pieniądze nie zostały rozliczone i podjęte. Po drugie – zgłoszenia rachunku odbiorcy jako podejrzanego: art. 106a Prawa bankowego pozwala bankowi zablokować środki i zawiadomić prokuratora, który ma nieprzedłużalne 72 godziny na decyzję. To najszybsza istniejąca dźwignia. Po trzecie – zapisania reklamacji z datą wpływu, bo od niej biegną terminy opisane niżej.

2. Zastrzeż kartę, jeśli podałeś jej dane

   System Zastrzegania Kart Związku Banków Polskich: +48 828 828 828, całodobowo, z każdego kraju, bezpłatnie.

3. Zrób zrzuty ekranu, zanim ogłoszenie zniknie

   To najczęściej pomijany krok i najdroższy błąd. Zrzuty całego ogłoszenia razem z adresem URL i datą, pełna korespondencja (czat portalu, SMS, WhatsApp, e-maile z nagłówkami), potwierdzenie przelewu w PDF, numer rachunku odbiorcy, nazwa odbiorcy z potwierdzenia, tytuł przelewu, nick i profil sprzedającego, numer telefonu, adres e-mail, linki do „strony obiektu”. Kopie zapisz poza urządzeniem. Jeśli ogłoszenie zniknie, a zrzutu nie ma, sprawa praktycznie umiera.

4. Zastrzeż numer PESEL, jeśli oszust dostał skan dowodu

   Bezpłatnie i natychmiast przez gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie. Szczegóły niżej.

5. Zmień hasła i włącz dwuskładnikowe logowanie

   Do bankowości, do skrzynki użytej w korespondencji i do konta na portalu ogłoszeniowym. Jeśli klikałeś w link „do płatności”, traktuj urządzenie jako potencjalnie zainfekowane.

6. Zgłoś ogłoszenie platformie i stronę do CERT Polska

   Osobno ogłoszenie, osobno profil, osobno wiadomości. Fałszywą stronę zgłoś na incydent.cert.pl, a podejrzany SMS przekaż bezpłatnie na numer 8080.

Reklamacja w banku zależy od jednego rozróżnienia

To jest najważniejszy fragment całego poradnika dla kogoś, kto już stracił pieniądze – i jednocześnie ten, który najczęściej rozczarowuje.

Ustawa z 19 sierpnia 2011 r. o usługach płatniczych w art. 40 ust. 1 mówi, że transakcję uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie z bankiem. Z tego wynikają dwa zupełnie różne światy:

	Transakcja nieautoryzowana	Transakcja autoryzowana, ale oszukańcza
Kiedy	Oszust przejął dostęp do bankowości, wyłudził kod SMS przez fałszywą stronę i sam wykonał przelew; użyto skradzionych danych karty	Ofiara sama zleciła przelew zaliczki, będąc wprowadzona w błąd co do istnienia kwatery
Odpowiedzialność banku	Bank zwraca kwotę najpóźniej do końca następnego dnia roboczego po zgłoszeniu (art. 46 u.u.p.)	Bank co do zasady nie odpowiada – zgoda formalnie została wyrażona
Ciężar dowodu	Na banku (art. 45 u.u.p.) – musi wykazać autoryzację albo umyślność lub rażące niedbalstwo klienta	Na kliencie, w sporze z oszustem, nie z bankiem
Termin zgłoszenia	13 miesięcy od obciążenia rachunku (art. 44 ust. 2 u.u.p.) – po tym roszczenia wygasają	Reklamacja bez ustawowego roszczenia o zwrot

Typowe oszustwo na kwaterę to druga kolumna. Przelałeś zaliczkę świadomie, bo wierzyłeś, że domek istnieje. Formalnie autoryzowałeś operację. Reklamacja w banku ma wtedy sens jako narzędzie blokady rachunku odbiorcy i jako budowanie dokumentacji, ale nie jako podstawa automatycznego zwrotu.

Odwrotnie jest wtedy, gdy oszust podstawił fałszywą bramkę i to on wykonał operację Twoimi danymi – wtedy jesteś w pierwszej kolumnie i cała maszyneria z art. 45 i 46 działa na Twoją korzyść. Warto to precyzyjnie opisać w reklamacji: uwierzytelnienie nie jest tym samym co autoryzacja. Prawidłowo wpisany kod SMS nie dowodzi, że transakcja odbyła się z Twojej woli, jeśli został wyłudzony podstępem – zwracają na to uwagę zarówno UOKiK, jak i Rzecznik Finansowy.

Chargeback działa tylko przy karcie

Chargeback, czyli obciążenie zwrotne, nie ma podstawy w ustawie. To procedura z regulaminów Visa i Mastercard, wiążąca banki wydające karty. Klient nie ma roszczenia „z ustawy”, ale wniosek składa jako reklamację – a ta jest chroniona terminami opisanymi wyżej.

Gdzie chargeback nie działa:

• Zwykły przelew – banki mówią to wprost w regulaminach.
• BLIK – to osobny schemat płatniczy, poza sieciami kartowymi. Zostaje zwykła reklamacja.
• Pay-by-link przez PayU czy Przelewy24 – technicznie to zwykły przelew, mimo że wygląda jak płatność w sklepie.

Gdzie działa: gdy zapłaciłeś kartą, także wtedy, gdy karta była użyta za pośrednictwem PayU albo Przelewy24. Reklamację składasz w banku, który wydał kartę, nie u pośrednika. Na wyciągu widnieje nazwa pośrednika, więc dołącz potwierdzenie wskazujące faktycznego odbiorcę.

Terminy, które trzeba znać:

• 120 dni kalendarzowych – reguła podawana zgodnie przez banki. Liczona od daty transakcji albo od dnia, w którym usługa miała być wykonana. To bardzo ważne przy zaliczkach: jeśli wpłaciłeś w marcu za pobyt w sierpniu, licznik startuje w sierpniu, nie w marcu. Dokładny termin sprawdź w regulaminie reklamacji swojego banku, bo brzmienie bywa różne.
• Sprzedawca ma na odpowiedź 30 dni (Visa) albo 45 dni (Mastercard).

Podstawą reklamacji przy niedoszłym noclegu jest usługa niewykonana. Kod powodu dobiera bank, nie Ty – nie szukaj numeru, opisz fakty. Do wniosku dołącz potwierdzenie transakcji, całą korespondencję ze sprzedawcą (jako dowód próby polubownego załatwienia sprawy) i dowód, że usługa nie została wykonana.

Zawiadomienie o przestępstwie – jak je napisać, żeby coś z niego wynikło

Wyłudzenie zaliczki za nieistniejącą kwaterę to oszustwo z art. 286 § 1 Kodeksu karnego: kto w celu osiągnięcia korzyści majątkowej doprowadza inną osobę do niekorzystnego rozporządzenia mieniem przez wprowadzenie jej w błąd, podlega karze pozbawienia wolności od 6 miesięcy do 8 lat. W wypadku mniejszej wagi (§ 3) grozi grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat.

Jeśli sprawca ingerował w system informatyczny – przejął konto obiektu na platformie, podstawił bramkę płatności – w grę wchodzi dodatkowo art. 287 § 1 k.k. (oszustwo komputerowe), zagrożony karą od 3 miesięcy do 5 lat.

Gdzie złożyć. Zawiadomienie przyjmie dowolna jednostka Policji albo prokuratury – jeśli nie jest właściwa miejscowo, przekaże je dalej. Oficjalna usługa gov.pl/web/gov/zglos-przestepstwo potwierdza trzy kanały: osobiście, zdalnie (pocztą, e-mailem albo faksem) i anonimowo. Usługa jest bezpłatna.

Czego nie ma. Nie istnieje ogólnopolski formularz online do złożenia zawiadomienia o przestępstwie z mocą procesową. incydent.cert.pl i usługa „Bezpiecznie w sieci” w mObywatelu to zgłoszenia do CERT Polska – bardzo pożyteczne, ale nie zastępują zawiadomienia. Strona Centralnego Biura Zwalczania Cyberprzestępczości jest stroną informacyjną, nie formularzem.

Wzór zawiadomienia

Wniosek z art. 46 § 1 k.k. to najważniejsze zdanie w całym piśmie. Przepis mówi, że w razie skazania sąd może orzec obowiązek naprawienia szkody, ale na wniosek pokrzywdzonego – orzeka. Na wniosek sąd musi. Wniosek można złożyć aż do zamknięcia przewodu sądowego, ale zgłoszenie go od razu zabezpiecza sprawę. To także najtańsza droga do tytułu wykonawczego – bez opłaty sądowej, w przeciwieństwie do pozwu cywilnego.

Wymogi formalne wynikają z art. 119 § 1 k.p.k.: oznaczenie organu i sprawy, oznaczenie oraz adres wnoszącego wraz z numerem telefonu i adresem e-mail, treść wniosku z uzasadnieniem, data i podpis.

Ile to trwa i co znaczy umorzenie rejestrowe

Jeśli organ prowadzi czynności sprawdzające, postanowienie o wszczęciu albo odmowie powinno zapaść najpóźniej w 30 dni od otrzymania zawiadomienia (art. 307 § 1 k.p.k.). Dochodzenie powinno zakończyć się w 2 miesiące, z możliwością przedłużenia przez prokuratora do 3 miesięcy i dalej w wypadkach szczególnie uzasadnionych (art. 325i § 1 k.p.k.). W praktyce sprawy oszustw internetowych trwają dłużej.

Najczęstszy finał to umorzenie rejestrowe z art. 325f k.p.k.: jeśli po co najmniej pięciu dniach dochodzenia dane nie dają dostatecznych podstaw do wykrycia sprawcy, sprawę umarza się i wpisuje do rejestru przestępstw. Warto wiedzieć dwie rzeczy: policja nadal prowadzi czynności w celu wykrycia sprawcy (§ 2), a po ujawnieniu danych pozwalających go zidentyfikować dochodzenie podejmuje się na nowo (§ 3). Umorzenie nie oznacza, że przestępstwa nie było – oznacza, że nie ustalono, kto je popełnił.

Co można zrobić:

• Zażalenie na umorzenie albo odmowę wszczęcia (art. 306 k.p.k.), w terminie 7 dni od doręczenia postanowienia. Masz też prawo przejrzeć akta.
• Zażalenie do prokuratora nadrzędnego, jeżeli przez 6 tygodni nie dostałeś informacji o wszczęciu albo odmowie (art. 306 § 3 k.p.k.).
• W zażaleniu wskaż konkretne, niewykonane czynności: zapytanie do banku o dane posiadacza rachunku i historię operacji, zapytanie do operatora o dane abonenta, zapytanie do portalu o adres IP i dane rejestracyjne konta. Umorzenia zapadają często po prostu dlatego, że nikt tych zapytań nie wysłał.

Pozew cywilny ma sens dopiero po ustaleniu sprawcy

Roszczenie o zwrot zaliczki opiera się na przepisach o nienależnym świadczeniu albo o czynie niedozwolonym. Termin przedawnienia jest tu wyjątkowo korzystny: co do zasady 3 lata od dnia, w którym dowiedziałeś się o szkodzie i o osobie zobowiązanej, ale jeżeli szkoda wynikła z występku – 20 lat od popełnienia przestępstwa, niezależnie od tego, kiedy poznałeś sprawcę (art. 442¹ § 2 k.c.). Oszustwo z art. 286 § 1 k.k. jest występkiem. Jeśli sprawca zostanie ustalony za osiem lat, roszczenie wciąż żyje.

Elektroniczne postępowanie upominawcze prowadzi VI Wydział Cywilny Sądu Rejonowego Lublin-Zachód w Lublinie, przez portal e-sad.gov.pl (nie przez ePUAP – pisma wysłane tą drogą nie wywołują skutków prawnych). Opłata to jedna czwarta opłaty zwykłej, nie mniej niż 30 zł: przy roszczeniu 2000 zł opłata zwykła wynosi 200 zł, więc w e-sądzie zapłacisz 50 zł.

Jest jeszcze jedna ścieżka, która kosztuje zero i czasem daje efekt. Art. 143a i 143b ustawy o usługach płatniczych opisują procedurę odzyskiwania środków: bank w ciągu 3 dni roboczych zawiadamia odbiorcę o zgłoszeniu i o możliwości bezpłatnego zwrotu, a jeżeli w ciągu 30 dni kwota nie wróci – na pisemny wniosek płatnika, w ciągu 3 dni roboczych, udostępnia mu imię i nazwisko lub nazwę odbiorcy oraz jego adres. Zastrzeżenie: przepisy te dotyczą wprost sytuacji, w której podano nieprawidłowy numer rachunku, a przy oszustwie przelew trafił dokładnie tam, gdzie go skierowałeś – banki potrafią na tej podstawie odmówić. Mimo to warto ścieżkę uruchomić: koszt zerowy, a pisemna odmowa banku jest materiałem dla Rzecznika Finansowego.

Gdzie jeszcze warto się odezwać

Gdzie	Po co	Warunki i uwagi
incydent.cert.pl	Zgłoszenie fałszywej strony i phishingu	Bez rejestracji. Domena trafia na Listę Ostrzeżeń, blokowaną przez Orange, Plus, Play i T-Mobile – to najszybsza droga do wyłączenia strony, szybsza niż reakcja rejestratora
SMS na numer 8080	Przekazanie podejrzanego SMS-a	Bezpłatnie, funkcją „przekaż”
mObywatel → „Bezpiecznie w sieci”	Zgłoszenie z telefonu	Analizuje CERT Polska, możliwe anonimowo. Nie zastępuje zawiadomienia o przestępstwie
OLX	Ogłoszenie, profil i wiadomości	Zgłoś osobno każdy z trzech elementów. OLX przekazuje dane policji na pisemny wniosek
Facebook Marketplace i grupy	Oferta, profil, a w grupach także administrator	Zgłoszenie oferty jako oszustwa plus osobne zgłoszenie profilu
Airbnb – AirCover for guests	Anulowanie przez gospodarza, brak dostępu do lokalu, istotne rozbieżności wobec ogłoszenia	72 godziny od wykrycia problemu, potrzebne zdjęcia lub wideo. Płatności poza platformą nie są objęte – to dokładnie ta luka, w którą celuje propozycja „przelew, żeby uniknąć prowizji”
Booking.com	Zgłoszenie przejętego konta obiektu i fałszywej wiadomości	Przez Centrum Pomocy po zalogowaniu. Nie znalazłem programu rekompensat dla płatności wykonanych poza platformą
Rzecznik konsumentów (powiatowy lub miejski)	Bezpłatna porada, napisanie reklamacji i pism, a nawet wytoczenie powództwa na rzecz konsumenta	Właściwy według Twojego miejsca zamieszkania. To najlepszy darmowy pełnomocnik, jaki jest dostępny
Infolinia Konsumencka	Porada telefoniczna	801 440 220 albo 222 66 76 76, dni robocze 10:00–18:00
Rzecznik Finansowy	Gdy bank odrzucił reklamację	Interwencja bezpłatna; postępowanie polubowne kosztuje 50 zł. Warunek: wyczerpanie trybu reklamacyjnego w banku
Bankowy Arbitraż Konsumencki przy ZBP	Spór z bankiem do 15 000 zł	Opłata 50 zł. Potrzebny dokument zakończenia reklamacji albo oświadczenie, że bank nie odpowiedział w 30 dni. Orzeczenie wiąże bank
UOKiK	Tylko praktyki naruszające zbiorowe interesy konsumentów	Urząd nie rozstrzyga spraw indywidualnych i nie rozpatruje anonimów
Europejskie Centrum Konsumenckie	Spory transgraniczne w UE	konsument.gov.pl, tel. 22 55 60 600

Jedno miejsce, do którego nie należy zgłaszać oszustwa noclegowego: lista ostrzeżeń publicznych KNF. Dotyczy wyłącznie rynku finansowego. Publicznego rejestru „kont oszustów” w Polsce po prostu nie ma.

Skan dowodu w rękach oszusta

Jeśli w trakcie „weryfikacji rezerwacji” wysłałeś zdjęcie dowodu osobistego albo podałeś komplet danych, sprawa przestaje dotyczyć samej zaliczki. Zrób dwie rzeczy, bo to dwa różne mechanizmy i warto uruchomić oba.

Zastrzeżenie numeru PESEL. Bezpłatnie, natychmiast, przez gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie albo w dowolnym urzędzie gminy. Logowanie profilem zaufanym, e-dowodem, podpisem kwalifikowanym lub przez bankowość elektroniczną. Od 1 czerwca 2024 r. instytucje finansowe mają obowiązek sprawdzać rejestr przed udzieleniem kredytu lub pożyczki i przed zmianą umowy zwiększającą zadłużenie.

Skutek prawny jest mocny: jeżeli instytucja udzieli kredytu mimo zastrzeżenia, nie może skutecznie dochodzić roszczenia – ani od Ciebie, ani od Twoich następców prawnych – ani sprzedać takiej wierzytelności firmie windykacyjnej.

Zastrzeżenie blokuje między innymi kredyt i pożyczkę, notarialne przeniesienie własności nieruchomości oraz wydanie duplikatu karty SIM. Nie blokuje – i to warto wiedzieć, zanim ktoś się przestraszy – rejestracji do lekarza, realizacji recepty, wypłaty w bankomacie, zlecenia przelewu, wyjazdu za granicę ani załatwienia sprawy urzędowej. Zastrzeżenie można w każdej chwili cofnąć, także z automatycznym ponownym włączeniem o wskazanej godzinie.

System Dokumenty Zastrzeżone, prowadzony przez Związek Banków Polskich – to osobny mechanizm, dotyczący konkretnego dokumentu, a nie numeru. Zgłoszenie: w banku, telefonicznie pod +48 828 828 828 albo przez aplikację mObywatel. Informacja trafia do banków, operatorów telekomunikacyjnych i tysięcy firm niemal w czasie rzeczywistym.

Sprawdź, czy ktoś już próbował. Bezpłatną kopię swoich danych z BIK możesz pobrać raz na sześć miesięcy na podstawie art. 15 RODO – interesują Cię sekcje „zapytania kredytowe” i „zobowiązania czynne”. Nierozpoznany produkt kredytowy po nieznanym zapytaniu oznacza dokonane wyłudzenie. Osobna, bezpłatna usługa gov.pl/web/gov/sprawdz-kto-weryfikowal-czy-masz-zastrzezony-numer-pesel pokazuje, kto i kiedy sprawdzał status Twojego PESEL-u i jaką dostał odpowiedź. To najszybszy sygnał, że ktoś działa na Twoich danych.

Polonia: rezerwacja i zgłoszenie z zagranicy

Rezerwowanie noclegu w Polsce z Chicago, Londynu czy Berlina ma trzy niedogodności naraz: nie pojedziesz obejrzeć obiektu, nie zadzwonisz „przy okazji” do sąsiada, a jeśli stracisz pieniądze – ścieżka prawna biegnie w kraju, w którym Cię nie ma. Kilka rzeczy warto wiedzieć zawczasu.

Zawiadomienie można złożyć z zagranicy – pocztą, e-mailem albo faksem, do dowolnej jednostki Policji lub prokuratury. Jest jednak haczyk: e-mail bez podpisu jest traktowany jak anonim. Organ może wszcząć postępowanie z urzędu, ale nie uzyskasz statusu procesowego ani informacji o wyniku, a więc stracisz prawo do zażalenia. Rozwiązanie: wyślij podpisany oryginał listem poleconym i równolegle skan PDF e-mailem, żeby sprawa ruszyła od razu. Zachowaj potwierdzenie nadania.

Konsulat pomoże mniej, niż się powszechnie sądzi. Prawo konsularne nie przewiduje przyjmowania przez konsula zawiadomienia o przestępstwie i przekazywania go do prokuratury. Realna wartość konsulatu jest inna i konkretna: poświadczenie własnoręczności podpisu – na przykład pod pełnomocnictwem – z mocą równą notarialnej. Wymaga osobistego stawiennictwa.

Pełnomocnikiem w sprawie karnej może być wyłącznie adwokat lub radca prawny (art. 88 § 1 k.p.k.). Krewny czy znajomy w Polsce nie wystarczy, choćby był najbardziej godny zaufania.

Chargeback z zagranicznego banku działa inaczej w każdym kraju:

• USA. Regulation E chroni przed transferami nieautoryzowanymi – przelew, który sam zleciłeś, dając się oszukać, co do zasady nie jest nim objęty. Realna droga to karta kredytowa: spór o „goods not delivered as agreed” na podstawie Fair Credit Billing Act trzeba zgłosić pisemnie w ciągu 60 dni od otrzymania wyciągu.
• Wielka Brytania. Section 75 Consumer Credit Act 1974 czyni wystawcę karty kredytowej solidarnie odpowiedzialnym za wprowadzenie w błąd i niewykonanie umowy – ale tylko gdy cena pozycji przekracza 100 funtów i nie przekracza 30 000 funtów. Obowiązkowy zwrot przy oszustwach typu APP, wprowadzony od 7 października 2024 r., nie obejmuje płatności międzynarodowych – przelew z brytyjskiego banku do polskiego za nocleg najprawdopodobniej się pod niego nie łapie. To istotna pułapka.
• Niemcy. Brak odpowiednika Section 75. Przy przelewie zostaje próba odwołania (Rückholung), zależna od współpracy banku odbiorcy.

Unijne procedury – europejskie postępowanie w sprawie drobnych roszczeń (do 5000 euro) i europejski nakaz zapłaty – wymagają zidentyfikowanego pozwanego z adresem, czyli dokładnie tego, czego ofierze brakuje. Mają sens dopiero po ustaleniu tożsamości sprawcy albo gdy „wynajmujący” to realna firma. Dotyczą wyłącznie poszkodowanych z Unii, nie z USA ani z Wielkiej Brytanii.

Praktyczny wniosek dla rezerwującego z zagranicy jest prosty: płać kartą kredytową i rezerwuj w oficjalnym systemie platformy. To jedyne dwie rzeczy, które realnie działają na odległość.

Realne szanse odzyskania pieniędzy

Ta sekcja istnieje po to, żeby nikt nie budował planu na nadziei.

Twardych danych o oszustwach noclegowych w Polsce nie ma – ani policja, ani CERT Polska nie wyodrębniają takiej kategorii; zgłoszenia wpadają do worka „oszustwa komputerowe”. Najbliższy dostępny punkt odniesienia to oszustwa „na legendę”, czyli na wnuczka i na policjanta. W 2025 roku straty pokrzywdzonych wyniosły tam 158,7 mln zł, a wartość odzyskanego mienia niecałe 5 mln zł – czyli około 3 procent. Rok wcześniej było podobnie.

Dane CBZC pokazują to samo z innej strony: w 2024 roku zabezpieczono ponad 226 mln zł, a odzyskano około 46 mln – ale to odsetek liczony od środków już zablokowanych, nie od skradzionych. Realna stopa zwrotu od strat jest znacznie niższa.

Droga bankowa jest szybsza i skuteczniejsza – w 2024 roku około 56 procent reklamacji na rynku bankowym rozpatrzono na korzyść klientów – ale przy typowym oszustwie na kwaterę, czyli przy przelewie wykonanym dobrowolnie, w ogóle nie przysługuje.

Największą różnicę robi doba zerowa. Zablokowanie rachunku odbiorcy, zanim środki z niego znikną, jest jedynym momentem, w którym statystyka jest po Twojej stronie. Dlatego pierwszy telefon idzie do banku, a nie na policję.

Jeśli sam wynajmujesz – nie stań się narzędziem

Ta część dotyczy właścicieli kwater, apartamentów i pensjonatów, w tym osób z Polonii wynajmujących mieszkanie w Polsce na krótkie terminy. Według NASK to właśnie obiekty ponoszą największe ryzyko w schemacie z przejętym kontem – bo to ich reputacja i ich konto są narzędziem przestępstwa.

• Włącz dwuskładnikowe logowanie do panelu każdej platformy i systemu rezerwacyjnego. Wyciek z Hotres zaczął się od czyichś danych logowania, a reset haseł objął tych użytkowników, którzy dwuskładnikowego logowania nie mieli.
• Żadna captcha nie każe niczego kopiować i wklejać. Jeśli „potwierdź, że nie jesteś robotem” kończy się instrukcją wklejenia polecenia w oknie systemowym – to atak. Zamknij stronę i zgłoś sprawę.
• Wiadomość „New last-minute booking” z linkiem jest głównym wektorem wejścia. Nie wchodź w rezerwację z linku – wejdź do panelu samodzielnie i sprawdź, czy jest tam ta rezerwacja.
• Oddziel komputer recepcji od prywatnego użytku. Trojan zdalnego dostępu na komputerze, na którym ktoś sprawdza pocztę i przegląda internet, daje przestępcom komplet haseł.
• Poinformuj gości, jak z nimi rozmawiasz. Jedno zdanie w potwierdzeniu rezerwacji – „nigdy nie prosimy o dopłatę przez WhatsApp ani o dane karty w linku” – ratuje ludzi przed wiadomością wysłaną z Twojego własnego, przejętego konta.
• Monitoruj, czy ktoś nie klonuje Twojej oferty. Wpisz w wyszukiwarkę nazwę obiektu i sprawdź zdjęcia odwrotnym wyszukiwaniem obrazem. „Wirtualny pensjonat” zbudowany na Twoich zdjęciach obciąża Twoją reputację, zanim się o nim dowiesz.
• Przy samodzielnym zameldowaniu zmieniaj kody po każdym gościu i sprawdzaj, czy klucz wrócił do skrytki. Rezerwacja na jedną noc, po której nikt się nie zjawił, to sygnał ostrzegawczy, a nie szczęśliwy traf.

Najczęstsze pytania

Zapłaciłem zaliczkę, ale nocleg jest dopiero za trzy miesiące. Mam czekać?

Nie. Jeśli masz uzasadnione podejrzenie, że padłeś ofiarą oszustwa – kontakt się urwał, numer nie odpowiada, ogłoszenie zniknęło – działaj od razu. Czekanie do daty pobytu oznacza, że pieniądze dawno wypłynęły z rachunku odbiorcy. Jedyny wyjątek dotyczy chargebacku: tam termin liczy się także od dnia, w którym usługa miała być wykonana, więc reklamacja pozostaje możliwa również później. Ale zablokowanie środków – nie.

Wpłaciłem 300 zł. Czy policja w ogóle to przyjmie?

Tak, i ma taki obowiązek. Oszustwo z art. 286 § 1 Kodeksu karnego nie jest czynem przepołowionym – próg 800 zł, który oddziela wykroczenie od przestępstwa, dotyczy kradzieży i przywłaszczenia, nie oszustwa. Niezależnie od kwoty jest to przestępstwo. Warto też pamiętać, że Twoje zawiadomienie bywa tym, które łączy się z dwudziestoma innymi w jedną sprawę.

Wynajmujący prosi o skan dowodu „do umowy”. Wysyłać?

Do umowy najmu krótkoterminowego wystarczą dane: imię, nazwisko, adres, numer dokumentu. Skan całego dowodu nie jest potrzebny, a jest dokładnie tym, czego potrzebuje ktoś, kto chce wziąć kredyt na Twoje dane. Jeśli już go wysłałeś – zastrzeż numer PESEL. Zajmuje to dwie minuty i jest bezpłatne.

Czy rezerwacja przez Booking albo Airbnb daje pełne bezpieczeństwo?

Daje bardzo dużo, ale pod jednym warunkiem: płacisz w systemie platformy. Ochrona Airbnb nie obejmuje płatności wykonanych poza platformą – i to jest dokładnie ta luka, w którą celuje propozycja „przelew bezpośrednio, żeby uniknąć prowizji”. Osobno: sama platforma nie chroni Cię przed wiadomością wysłaną z przejętego konta obiektu. Dlatego zasada „nigdy nie płacę z linku w wiadomości” obowiązuje także wewnątrz aplikacji.

Dostałem wiadomość o dopłacie, ale zna moje nazwisko i numer rezerwacji. To chyba prawdziwe?

Nie. To najczęstszy schemat sezonu 2026 i właśnie na tym się opiera. Po wyciekach z Hotres i z Booking.com oszuści mają prawdziwe dane rezerwacji: nazwisko, telefon, nazwę obiektu, daty pobytu i kwotę. Znajomość szczegółów nie jest dowodem autentyczności – jest dowodem, że dane wyciekły. Sprawdź status rezerwacji, wchodząc do aplikacji samodzielnie, albo zadzwoń do obiektu pod numer z jego własnej strony.

Czy mogę odstąpić od rezerwacji w ciągu 14 dni, skoro zrobiłem ją przez internet?

Nie. Art. 38 pkt 12 ustawy o prawach konsumenta wyłącza prawo odstąpienia dla usług zakwaterowania, jeżeli w umowie oznaczono dzień lub okres świadczenia. Liczą się wyłącznie warunki, które uzgodniliście – dlatego trzeba je zapisać przed wpłatą.

Wynajmujący chce zadatek, nie zaliczkę. To sygnał ostrzegawczy?

Wręcz przeciwnie. Zadatek działa w obie strony: jeśli to wynajmujący odwoła pobyt, musi zwrócić dwukrotność otrzymanej kwoty. Oszust nie ma interesu w proponowaniu konstrukcji, która obciąża jego samego. Znacznie gorszym sygnałem jest sformułowanie „przedpłata bezzwrotna w każdym przypadku”.

Mieszkam w USA i rezerwuję nocleg w Polsce dla rodziny. Co zrobić inaczej?

Trzy rzeczy. Płać kartą kredytową, nie przelewem międzynarodowym – tylko karta daje realną drogę odwrotu z zagranicy. Rezerwuj w oficjalnym systemie platformy, nigdy „bezpośrednio z rabatem”. I poproś kogoś z rodziny w Polsce, żeby zadzwonił pod numer ze strony obiektu – nie z ogłoszenia – i potwierdził rezerwację głosem. To trzy minuty, które zastępują całą resztę weryfikacji.

Materiały powiązane

• Oszustwa bankowe i internetowe w Polsce: phishing, spoofing, fałszywy BLIK i jak odzyskać pieniądze – szersze tło warstwy płatniczej i procedur bankowych.
• Zadatek czy zaliczka: co przepada, co wraca podwójnie i jak to zapisać w umowie – pełne omówienie art. 394 Kodeksu cywilnego.
• Jak zastrzec numer PESEL krok po kroku – gdy skan dowodu trafił w niepowołane ręce.
• Zdjęcia z wakacji w rękach oszusta – jak z Twoich postów buduje się atak.
• Fałszywy sklep internetowy: jak go rozpoznać i jak odzyskać pieniądze – ta sama mechanika chargebacku w innym kontekście.
• Oszustwa na wnuczka i na policjanta – jak zdalnie chronić rodziców w Polsce.

Stan na 24 sierpnia 2026 r. Materiał ma charakter informacyjny i nie stanowi porady prawnej ani finansowej. Przepisy, procedury bankowe i regulaminy platform się zmieniają – przed podjęciem decyzji sprawdź aktualne warunki u źródła, a w sprawie indywidualnej skorzystaj z bezpłatnej pomocy powiatowego lub miejskiego rzecznika konsumentów.