Dostała telefon i oddała „zablokowaną” kartę. W kilka godzin z konta zniknęło niemal 200 tys. zł. Rzecznik Finansowy ostrzega

Na początku zachowała się dokładnie tak, jak od lat zalecają banki i służby. Kiedy nieznajomy zadzwonił z informacją o rzekomym wycieku jej danych, podejrzewała oszustwo i przerwała rozmowę. Przestępcy jednak nie odpuścili. W kolejnych godzinach wykorzystali nazwę Narodowego Banku Polskiego, sfałszowany dokument z logo Komendy Stołecznej Policji, prawdziwe nazwiska pracowników banku i bardzo dobrą znajomość aplikacji bankowej. Ostatecznie pod drzwi kobiety przyjechał kurier, któremu przekazała kartę przekonana, że została już dezaktywowana i ma być dowodem w sprawie. Kilka godzin później nie miała niemal 200 tys. zł.

Rzecznik Finansowy ostrzega przed nowym oszustwem „na dezaktywowaną kartę”

Historię opisał 2 września Rzecznik Finansowy, do którego poszkodowana zwróciła się po pomoc. Rzecznik Finansowy to państwowa instytucja, której zadaniem jest ochrona klientów w sporach z podmiotami rynku finansowego, takimi jak banki, ubezpieczyciele czy firmy pożyczkowe. Okazało się, że nie była to prosta próba wyłudzenia numeru karty czy kodu BLIK podczas jednej rozmowy telefonicznej. Oszustwo zostało rozłożone na wiele etapów, a każdy kolejny miał potwierdzać prawdziwość poprzedniego. Rzecznik zwraca uwagę właśnie na ten element, ponieważ kobieta początkowo rozpoznała zagrożenie i nie uwierzyła pierwszemu rozmówcy. Przestępcy potrzebowali więc kolejnych argumentów, dokumentów i kontaktów, aby stopniowo przełamać jej ostrożność. Dr Michał Ziemiak, Rzecznik Finansowy, podsumował tę sprawę krótko: „przestępcy »pracowali« nad ofiarą tak długo, aż uwierzyła w opowiadaną przez nich historię”.

Pierwszy telefon dotyczył rzekomego wycieku danych osobowych. Kobieta rozłączyła się, ponieważ uznała, że może mieć do czynienia z podstępem. Po kilku minutach otrzymała następny telefon. Tym razem rozmówcy przekonywali, że właśnie próbują pomóc jej w zabezpieczeniu danych i karty płatniczej. To istotna różnica względem wielu znanych wcześniej oszustw: przestępcy nie przedstawiali się wyłącznie jako osoby ostrzegające przed zagrożeniem. Sami zaoferowali rozwiązanie problemu, który chwilę wcześniej stworzyli w głowie swojej ofiary.

Najpierw SMS z NBP, później dokument z logo Komendy Stołecznej Policji

Aby historia wyglądała wiarygodnie, oszuści zaczęli dostarczać kolejne „dowody”. Kobieta otrzymała SMS z numeru, który miał być przypisany do Narodowego Banku Polskiego. Następnie na WhatsAppie pojawił się dokument PDF wyglądający jak urzędowe zaświadczenie. Znalazły się na nim logo oraz dane adresowe Komendy Stołecznej Policji, a treść miała potwierdzać, że wszczęto postępowanie dotyczące oszustwa popełnianego na szkodę kobiety. Dokument był fałszywy, ale dla osoby, która jednocześnie słyszy przez telefon o zagrożonych oszczędnościach i dostaje materiały opatrzone znakami państwowych instytucji, cała historia mogła zacząć wyglądać coraz bardziej spójnie.

W tej metodzie nie chodzi więc o jedną perfekcyjnie podrobioną wiadomość. Siłą oszustwa jest nagromadzenie elementów, które pozornie potwierdzają się wzajemnie. Telefon, SMS, dokument PDF, nazwa banku, Policja, NBP, a później fizycznie pojawiający się kurier tworzą scenariusz przypominający prawdziwą procedurę. Rzecznik Finansowy zwraca uwagę, że oszuści wykorzystują coraz bardziej rozbudowane metody socjotechniczne i nawet osoba świadoma podstawowych zasad bezpieczeństwa może zostać poddana presji na tyle długo, że ostatecznie zacznie wykonywać polecenia.

Znali aplikację bankową. Pokazali jej, jak zamówić nową kartę i „wyłączyć” starą

Kolejny etap był jeszcze bardziej przekonujący. Przestępcy doskonale orientowali się w wyglądzie i sposobie działania aplikacji bankowej używanej przez poszkodowaną. Nakłonili ją do zalogowania się na swoje konto i krok po kroku instruowali, jak wystąpić o nową kartę płatniczą oraz jak dezaktywować dotychczasową. Jednocześnie kobieta otrzymała kolejne fałszywe pismo, tym razem sygnowane logo NBP, które miało potwierdzać zabezpieczenie starej karty. W tym momencie z jej perspektywy plastik, który trzymała w ręce, nie powinien już mieć żadnej wartości.

Rzecznik Finansowy nie ujawnia technicznych szczegółów pozwalających ustalić, jaki faktycznie status miała karta w systemie banku i w jaki dokładnie sposób przestępcy później wykorzystali ją do wyprowadzenia pieniędzy. Wiadomo natomiast, że kobieta była przekonana, iż stara karta została dezaktywowana. To bardzo istotne, bo tłumaczy ostatni etap manipulacji. Poszkodowana sama chciała przeciąć i zniszczyć nieaktywny plastik. Wtedy usłyszała, że absolutnie nie powinna tego robić.

Karta miała być „dowodem dla Policji”. Po chwili pod drzwi przyjechał kurier

Oszuści wmówili kobiecie, że stara karta jest teraz dowodem rzeczowym w prowadzonym postępowaniu i musi możliwie szybko zostać przekazana odpowiedniej jednostce Policji. To pozwoliło im zamienić zachowanie, które normalnie powinno zapalić wszystkie czerwone lampki – oddanie karty obcej osobie – w czynność mającą wyglądać jak element zabezpieczania własnych pieniędzy. Wkrótce pod wskazanym adresem pojawił się kurier. Kobieta przekazała mu kartę, wierząc, że nie można już za jej pomocą wykonać żadnej operacji i że plastik trafi do Policji.

Tak się nie stało. Karta znalazła się w rękach przestępców. Według Rzecznika Finansowego w ciągu następnych kilku godzin oszuści „wyczyścili” rachunek poszkodowanej. Zniknęło niemal 200 tys. zł, czyli – jak opisuje Rzecznik – oszczędności jej życia. To także najważniejsze ostrzeżenie wynikające z całej historii: karty płatniczej nie należy przekazywać komukolwiek, nawet jeżeli osoba po drugiej stronie zapewnia, że karta została zablokowana, anulowana, dezaktywowana albo potrzebuje jej Policja jako dowodu.

Oszuści podawali prawdziwe nazwiska pracowników banku

Po utracie pieniędzy kobieta udała się do swojego banku i podała nazwiska osób, którymi podczas rozmów posługiwali się przestępcy. Wtedy pojawił się kolejny zaskakujący element. Ludzie o takich imionach i nazwiskach rzeczywiście pracowali w banku. Nie mieli jednak nic wspólnego z telefonami do klientki. Przestępcy wcześniej zdobyli prawdziwe dane pracowników i wykorzystali je jako kolejną warstwę uwiarygodnienia całej historii. Prosta metoda polegająca na wpisaniu nazwiska rozmówcy do internetu mogła więc zamiast zdemaskować oszustwo jeszcze bardziej przekonać ofiarę, że rozmawia z właściwą osobą.

Rzecznik Finansowy radzi dlatego, aby w razie jakichkolwiek wątpliwości nie próbować weryfikować rozmówcy w trakcie tego samego połączenia i nie korzystać z możliwości „przełączenia” do innego konsultanta zaproponowanego przez osobę dzwoniącą. Rozmowę trzeba zakończyć i dopiero potem samodzielnie skontaktować się z bankiem, korzystając z numeru znalezionego na oficjalnej stronie, w aplikacji albo na posiadanej karcie. Oszust może znać nazwisko prawdziwego pracownika, może podrobić identyfikację numeru, zmienić zdjęcie profilowe na logo banku i przygotować dokument wyglądający jak pismo urzędowe. Znacznie trudniej jest mu kontrolować połączenie, które klient samodzielnie inicjuje z oficjalnym bankiem.

WhatsApp z logo banku lub NBP niczego nie potwierdza

W opisanym przypadku część dokumentów trafiała do kobiety przez WhatsApp. Rzecznik Finansowy wskazuje, że banki i instytucje publiczne nie prowadzą w ten sposób procedur bezpieczeństwa z klientami. Co więcej, po oszustwie na tym samym koncie WhatsApp, z którego wcześniej wysyłano materiały wyglądające jak wiadomości NBP, widniało już zdjęcie profilowe innego komercyjnego banku. Oszuści po prostu zmienili avatar. Logo na profilu komunikatora nie jest więc w żaden sposób potwierdzeniem tożsamości osoby znajdującej się po drugiej stronie.

Podobnie należy traktować fałszywe pisma i numery pojawiające się na ekranie telefonu. Technologia pozwala manipulować informacjami prezentowanymi odbiorcy, a przestępcy wykorzystują publicznie dostępne logo, adresy instytucji i dane prawdziwych pracowników. Szczególnie podejrzana powinna być sytuacja, w której rozmówca żąda działania natychmiast, poleca nie informować nikogo o prowadzonej „operacji”, nakazuje przeniesienie pieniędzy, przekazanie karty albo wykonanie serii kroków w aplikacji bankowej. Jeżeli bank z powodów bezpieczeństwa rzeczywiście musi zablokować kartę lub rachunek, może zrobić to po swojej stronie i nie potrzebuje kuriera odbierającego plastik od klienta.

Bank nie wysyła kuriera po kartę. Zastrzeżoną kartę należy zniszczyć

Rzecznik Finansowy stawia sprawę jednoznacznie: karty nie należy oddawać osobie trzeciej, niezależnie od tego, jak przedstawiana jest sytuacja. Jeśli karta ma zostać zastrzeżona, właściciel powinien zrobić to samodzielnie w aplikacji bankowej, bankowości internetowej albo poprzez oficjalną infolinię banku i następnie sprawdzić, czy jej status rzeczywiście zmienił się na „zastrzeżona”. Zastrzeżonego plastiku pozostającego w domu nie trzeba nikomu przekazywać. Powinien zostać fizycznie zniszczony – między innymi przez przecięcie karty i uszkodzenie znajdującego się na niej chipa.

Związek Banków Polskich przypomina również o działającym ogólnopolskim Systemie Zastrzegania Kart. Jeśli karta zniknęła, została skradziona albo nie ma możliwości szybkiego odnalezienia numeru swojego banku, można zadzwonić pod numer +48 828 828 828. System rozpoznaje nazwę banku i przekierowuje rozmowę do właściwej instytucji. ZBP w swoich aktualnych zasadach bezpieczeństwa również wprost ostrzega, aby nigdy nie przekazywać karty osobom przedstawiającym się jako policjanci czy uczestnicy rzekomych czynności służbowych.

Skala problemu jest dużo większa. Ponad 10 tys. sporów z bankami w 4 lata

Przypadek utraty niemal 200 tys. zł jest wyjątkowo dotkliwy, ale sam problem nieautoryzowanych transakcji nie jest marginalny. Rzecznik Finansowy podał w marcu 2026 roku, że tylko w latach 2022-2025 otrzymał ponad 10 tys. wniosków o interwencję od klientów, którym bank lub inna instytucja płatnicza odmówiły zwrotu środków utraconych wskutek transakcji zgłaszanych jako nieautoryzowane. Nie są to wszystkie ofiary oszustw, lecz wyłącznie osoby, których spór z instytucją finansową dotarł następnie do Rzecznika.

Dane Narodowego Banku Polskiego również pokazują skalę oszustw związanych z kartami. W samym II kwartale 2025 roku wydawcy kart zaraportowali 82 330 oszukańczych operacji kartami płatniczymi o łącznej wartości 24,3 mln zł. W pierwszym kwartale tego samego roku niemal połowę liczby oszustw stanowiła kradzież danych karty. Metoda opisana przez Rzecznika Finansowego jest jednak szczególnie niebezpieczna właśnie dlatego, że zamiast anonimowego formularza w internecie wykorzystuje również fizyczne przejęcie karty i rozbudowaną historię angażującą kilka pozornie niezależnych instytucji.

Fałszywe pismo KSP pojawiło się w telefonie. Warszawska Policja nie prowadzi takich procedur przez WhatsApp

W tej historii pojawia się również bezpośredni warszawski element. Do poszkodowanej trafił dokument wykorzystujący logo i dane adresowe Komendy Stołecznej Policji. Miał potwierdzać wszczęcie postępowania na jej szkodę i w praktyce stanowił jeden z najważniejszych elementów całej manipulacji. Samo umieszczenie prawdziwego adresu, nazwy jednostki czy znaku Policji w pliku PDF nie potwierdza jednak jego autentyczności. Te informacje są publicznie dostępne i mogą zostać skopiowane w ciągu kilku minut.

Równie absurdalnie z punktu widzenia prawdziwej procedury wygląda żądanie przekazania bankowej karty przypadkowemu kurierowi wysłanemu pod adres klienta. Jeżeli pojawia się podejrzenie, że Policja rzeczywiście prowadzi postępowanie, można samodzielnie skontaktować się z daną jednostką, korzystając z numeru podanego na oficjalnej stronie Policji. Nie należy korzystać z numeru znajdującego się w otrzymanym PDF-ie, SMS-ie czy wiadomości na komunikatorze, bo właśnie on może należeć do oszustów.

Z konta zniknęło 200 tys. zł. Czy bank musi je oddać?

Utrata pieniędzy z rachunku nie musi jeszcze oznaczać, że klient ostatecznie poniesie całą stratę. Jeżeli doszło do nieautoryzowanych transakcji płatniczych, art. 46 ustawy o usługach płatniczych przewiduje zasadę określaną jako D+1. Co do zasady bank powinien zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu lub zgłoszeniu. Wyjątkiem jest sytuacja, w której bank ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa ze strony samego klienta i poinformuje o tym organy ścigania.

To nie oznacza jednak, że każda sprawa kończy się automatycznym i bezspornym zwrotem. Bank może później próbować wykazywać odpowiedzialność klienta, między innymi powołując się na umyślne działanie lub rażące niedbalstwo, a spór może trafić do Rzecznika Finansowego albo sądu. Rzecznik podkreśla również, że samo techniczne użycie prawidłowych danych czy prawidłowe uwierzytelnienie operacji nie wystarcza jeszcze do automatycznego udowodnienia, że klient rzeczywiście ją autoryzował. W przypadku kobiety opisanej w komunikacie Rzecznik nie podał, czy utracone niemal 200 tys. zł zostało zwrócone przez bank, dlatego nie można przesądzać końcowego wyniku jej sprawy.

Liczy się pierwsza godzina. Tak trzeba reagować po przekazaniu karty lub danych

• Natychmiast zastrzec kartę i powiadomić bank. Jeżeli karta została przekazana obcej osobie, zgubiona albo pojawiło się podejrzenie przejęcia jej danych, nie należy czekać na rozwój sytuacji. Trzeba jak najszybciej skorzystać z aplikacji lub oficjalnej infolinii banku. Im szybciej instytucja otrzyma informację o incydencie, tym większa szansa na zatrzymanie części operacji lub ograniczenie kolejnych strat. Jeżeli nie znamy numeru banku, można wykorzystać numer 828 828 828.
• Zgłosić transakcje jako nieautoryzowane i złożyć reklamację. Samo poinformowanie konsultanta, że wydarzyło się oszustwo, nie zastępuje reklamacji dotyczącej konkretnych operacji. Rzecznik Finansowy zaleca wyraźne zażądanie zwrotu utraconych pieniędzy. Trzeba zachować historię rachunku, SMS-y, korespondencję w komunikatorach, numery telefonów, otrzymane dokumenty i wszystkie informacje, które mogą później pokazać przebieg manipulacji.
• Powiadomić Policję i CERT Polska. Rzecznik zaleca zgłoszenie zdarzenia organom ścigania oraz zachowanie potwierdzenia złożenia zawiadomienia. Informację o cyberincydencie można również przekazać zespołowi CERT Polska. Zaświadczenie z Policji warto dołączyć do dokumentacji przekazywanej bankowi, zwłaszcza gdy z rachunku zostały już wyprowadzone pieniądze.
• Po odmowie banku sprawa nie musi się kończyć. Jeżeli instytucja finansowa odrzuci reklamację i odmówi zwrotu pieniędzy, klient może zwrócić się do Rzecznika Finansowego o interwencję albo skorzystać z postępowania polubownego.
• Najprostsza zasada jest jednocześnie najważniejsza. Bank może sam zablokować kartę, Policja może prowadzić postępowanie, a instytucja może poprosić o kontakt oficjalnym kanałem. Żadna z tych sytuacji nie wymaga oddania karty kurierowi przysłanemu przez osobę poznaną podczas telefonu. Nawet jeżeli na ekranie pojawia się numer wyglądający jak NBP, na WhatsAppie widnieje logo banku, a w PDF-ie znajduje się znak Komendy Stołecznej Policji, fizyczna karta powinna pozostać w rękach właściciela albo zostać przez niego zniszczona po skutecznym zastrzeżeniu. Historia straty niemal 200 tys. zł pokazuje, że właśnie ta jedna zasada może być ostatnią barierą, kiedy wszystkie pozostałe elementy oszustwa wyglądają już przekonująco.