Bezpieczna bankowość internetowa opiera się na 3 zasadach: nie przekazuj loginu, hasła ani kodu autoryzacyjnego, sprawdzaj odbiorcę i kwotę przed zatwierdzeniem operacji oraz reaguj natychmiast po podejrzeniu oszustwa. Najpierw skontaktuj się z bankiem, potem — zależnie od sytuacji — zgłoś incydent CERT Polska albo Policji.
Bezpieczna bankowość internetowa: model ochrony konta
Skuteczne bezpieczeństwo konta bankowego nie zależy od jednego ustawienia. Tworzą je 3 warstwy: urządzenie i telefon, dane logowania oraz autoryzacja operacji. Oszust może próbować przejąć każdą z nich osobno albo połączyć kilka metod, na przykład wyłudzić hasło na fałszywej stronie, a następnie zadzwonić jako rzekomy pracownik banku.
1. Zabezpiecz urządzenie i telefon
Loguj się do banku wyłącznie przez samodzielnie otwartą aplikację albo adres wpisany ręcznie w przeglądarce. Nie korzystaj z linku otrzymanego w wiadomości, nawet jeśli SMS lub e-mail wygląda jak komunikat banku. Aktualny system, blokada ekranu i aplikacja pobrana z oficjalnego sklepu ograniczają ryzyko, ale nie zastępują ostrożności przy zatwierdzaniu operacji.
Jeżeli telefon z aplikacją bankową został zgubiony lub skradziony, użyj bezpiecznego urządzenia i skontaktuj się z bankiem. Następnie powiadom operatora telekomunikacyjnego. Przy podejrzeniu kradzieży zgłoś sprawę Policji pod numerem 112. Nie czekaj, aż pojawią się pierwsze nieznane transakcje.
2. Chroń dane logowania
Login, hasło, PIN, kod SMS, kod w aplikacji i kod BLIK służą do różnych czynności, lecz żadnego z nich nie należy podawać osobie dzwoniącej, piszącej lub przedstawiającej się jako pracownik banku. Bank nie powinien prosić o przekazanie pełnych danych logowania ani o zatwierdzenie operacji „technicznej”, której sam nie zainicjowałeś.
Hasło do bankowości powinno być unikalne. Nie zapisuj go w wiadomości, nie wysyłaj komunikatorem i nie używaj go w innych usługach. Jeżeli podejrzewasz, że dane trafiły do oszusta, nie ograniczaj się do ich zmiany. Skontaktuj się z bankiem, poproś o zabezpieczenie dostępu i sprawdź historię operacji.
3. Traktuj autoryzację jak ostatni punkt kontroli
Powiadomienie w aplikacji nie jest formalnością. Przed potwierdzeniem odczytaj odbiorcę, numer rachunku, kwotę i rodzaj operacji. Jeżeli ekran autoryzacji pokazuje przelew, którego nie zlecałeś, albo dane różnią się od informacji podanych wcześniej, przerwij czynność i skontaktuj się z bankiem oficjalnym kanałem.
Bezpieczna bankowość internetowa wymaga także świadomego rozdzielenia komunikatów. Telefon od osoby znającej twoje imię, numer rachunku lub częściowe dane nie potwierdza jej tożsamości. Numer wyświetlony na ekranie może zostać sfałszowany, a presja czasu jest częstym narzędziem manipulacji.
Mapa zagrożeń: phishing, spoofing, BLIK, karta i przejęcie telefonu
Skala zagrożeń pokazuje, dlaczego ochrona bankowości mobilnej nie może opierać się na rozpoznawaniu jednego rodzaju wiadomości. CERT Polska zarejestrował w 2024 roku 97 995 oszustw komputerowych, stanowiących 95% wszystkich obsłużonych incydentów. Liczba ta była o 29% wyższa niż w 2023 roku.
Phishing odpowiadał za 40 120 incydentów w 2024 roku, czyli 39% wszystkich zarejestrowanych incydentów. Fałszywy komunikat może prowadzić do strony przypominającej bank, operatora płatności lub urząd. Więcej przykładów i sposobów rozpoznawania opisuje poradnik o tym, jak działa phishing bankowy.
Wiadomość nie musi zawierać oczywistych błędów językowych. O zagrożeniu może świadczyć nietypowy adres strony, żądanie natychmiastowego logowania, informacja o rzekomej blokadzie konta albo prośba o potwierdzenie zwrotu pieniędzy. Nie klikaj ponownie w ten sam link, aby „sprawdzić”, czy działa. Zamknij stronę i otwórz bank niezależnie.
Drugim schematem jest spoofing telefoniczny. Oszust może przedstawić się jako pracownik banku, policjant albo konsultant działu bezpieczeństwa. Może polecić instalację aplikacji, przejęcie kontroli nad urządzeniem, podanie kodu lub przelanie pieniędzy na „bezpieczny rachunek”. W takiej sytuacji przerwij rozmowę i samodzielnie zadzwoń do banku. Szczegółowe postępowanie opisuje materiał o tym, czym jest spoofing telefoniczny.
Kody BLIK wymagają szczególnej uwagi, ponieważ zatwierdzenie może oznaczać wypłatę gotówki, płatność albo inną operację zależną od ekranu aplikacji. Nie przekazuj kodu osobie proszącej o pomoc, dopłatę, zwrot lub szybką płatność. Jeśli kod został podany albo zatwierdziłeś podejrzaną operację, natychmiast skontaktuj się z bankiem. Osobna instrukcja wyjaśnia, jak reagować na oszustwo na BLIK.
Dane Narodowego Banku Polskiego pokazują, że w III kwartale 2024 roku odnotowano 15 095 oszustw poleceniami przelewu na kwotę 147,3 mln zł. Oszustwa polegające na zmanipulowaniu płatnika stanowiły 74,6% wartości wszystkich oszustw tego rodzaju. Oznacza to, że klient może sam zatwierdzić operację, będąc przekonanym, że wykonuje inną czynność.
Ryzyko dotyczy również kart. W III kwartale 2024 roku dokonano prawie 5,0 tys. oszukańczych operacji kartami płatniczymi na kwotę ponad 3,2 mln zł. Udział oszustw wyniósł 0,00019% liczby wszystkich operacji kartami oraz 0,0018% ich wartości. Zgubionej lub skradzionej karty nie należy obserwować „na wszelki wypadek” — trzeba ją zastrzec.
Jeżeli karta zaginęła, skorzystaj z banku albo z systemu opisanego w poradniku o tym, jak zabezpieczyć zgubioną kartę bankową. Po zastrzeżeniu sprawdź historię rachunku, ponieważ samo zastrzeżenie nie wyjaśnia transakcji wykonanych wcześniej.
Przejęcie telefonu lub numeru może połączyć kilka zagrożeń: dostęp do powiadomień, aplikacji, kodów i rozmów z bankiem. Nie instaluj aplikacji z linku przesłanego przez rozmówcę i nie udostępniaj ekranu na jego polecenie. Gdy telefon zachowuje się nietypowo, traci zasięg bez wyraźnej przyczyny albo pojawiają się nieznane komunikaty, skontaktuj się z bankiem z innego urządzenia.
Co zrobić natychmiast po podejrzanej transakcji
Kolejność działań ma znaczenie. Pierwszym kontaktem powinien być bank, ponieważ może zablokować dostęp, instrument płatniczy albo podjąć próbę wstrzymania operacji. Korzystaj z numeru podanego na oficjalnej stronie banku, w aplikacji lub na karcie. Nie oddzwaniaj na numer przekazany przez osobę, która wzbudziła podejrzenie.
Przygotuj godzinę zdarzenia, kwotę, odbiorcę, rodzaj operacji, treść wiadomości, numer telefonu nadawcy oraz zrzuty ekranu. Nie usuwaj SMS-ów, e-maili, potwierdzeń ani historii połączeń. Dokumentacja ułatwia bankowi analizę i późniejsze złożenie reklamacji.
Podejrzaną stronę zgłoś CERT Polska przez formularz incydent.cert.pl/phishing. Podejrzany SMS można bezpłatnie przekazać na numer 8080. Zgłoszenie do CERT nie zastępuje kontaktu z bankiem ani reklamacji. Jeśli podejrzewasz przestępstwo lub doszło do oszustwa, zgłoś sprawę Policji pod numerem 112.
Nie czekaj na odpowiedź CERT ani Policji przed powiadomieniem banku. W przypadku przelewu, kodu BLIK lub zatwierdzonej operacji liczy się szybkie przekazanie informacji o zdarzeniu. Bank może wskazać, jakie dodatkowe dokumenty są potrzebne i czy należy zablokować bankowość internetową, kartę albo aplikację.
| Rodzaj incydentu | Pierwsza czynność | Numer lub kanał zgłoszenia | Termin reklamacji i ważna podstawa | Właściwy poradnik |
|---|---|---|---|---|
| Podejrzany SMS, e-mail lub strona logowania | Nie klikaj ponownie; zamknij stronę, skontaktuj się z bankiem oficjalnym kanałem i zgłoś wiadomość | CERT Polska: incydent.cert.pl/phishing; SMS: 8080 | Zgłoszenie do CERT nie zastępuje reklamacji w banku; reklamację złóż niezwłocznie po wykryciu problemu | Phishing bankowy — jak rozpoznać fałszywą wiadomość? |
| Rozmowa z fałszywym pracownikiem banku | Przerwij połączenie; nie instaluj aplikacji i nie podawaj danych; zadzwoń do banku z numeru z jego oficjalnej strony | Bank; w razie podejrzenia przestępstwa Policja: 112 | Nie przesądzaj samodzielnie odpowiedzialności; bank ocenia reklamację według ustawy i okoliczności sprawy | Spoofing telefoniczny — co zrobić, gdy dzwoni fałszywy bank? |
| Podany kod BLIK lub zatwierdzona podejrzana operacja | Natychmiast skontaktuj się z bankiem i poproś o blokadę lub próbę wstrzymania operacji; zachowaj potwierdzenia | Bank; Policja: 112, jeśli doszło do oszustwa | Reklamację transakcji złóż niezwłocznie; art. 45–46 ustawy o usługach płatniczych dotyczą autoryzacji i zwrotu, ale wynik zależy od faktów | Oszustwo na BLIK — jak reagować po podaniu kodu? |
| Zgubiona lub skradziona karta | Zastrzeż kartę bez czekania | 828 828 828 lub bezpośrednia infolinia banku | System działa 24/7; w jednym połączeniu można zastrzec karty tylko jednego banku | Zgubiona karta bankowa — zastrzeżenie i reklamacja transakcji |
| Nieautoryzowana transakcja na rachunku lub karcie | Zablokuj dostęp albo instrument płatniczy zgodnie z instrukcją banku i zgłoś transakcję jako nieautoryzowaną | Bank: aplikacja, infolinia lub oddział; dodatkowo Policja: 112 | Art. 45–46 ustawy o usługach płatniczych; nie przesądzaj odpowiedzialności przed rozpatrzeniem reklamacji | Reklamacja transakcji nieautoryzowanej — terminy i dokumenty |
| Podejrzenie przejęcia telefonu lub numeru | Skontaktuj się z bankiem z bezpiecznego urządzenia, zablokuj bankowość mobilną i skontaktuj się z operatorem | Bank oraz operator telekomunikacyjny; w razie kradzieży Policja: 112 | Dokumentuj czas wykrycia, połączenia i komunikaty; reklamację złóż niezwłocznie | Bezpieczna bankowość mobilna — ochrona telefonu i aplikacji |
Numery 112 i 828 828 828 służą do różnych celów: 112 do zgłoszenia podejrzenia przestępstwa, a 828 828 828 do zastrzegania kart. Kanały banku należy potwierdzać na oficjalnej stronie lub w aplikacji. Terminy i odpowiedzialność przy transakcjach zależą od rodzaju operacji oraz ustaleń w konkretnej sprawie.
Prawa klienta przy transakcji nieautoryzowanej
Ustawa z 19 sierpnia 2011 roku o usługach płatniczych reguluje między innymi autoryzację oraz odpowiedzialność za nieautoryzowane operacje. Art. 45 dotyczy ciężaru udowodnienia autoryzacji albo rażącego niedbalstwa płatnika, a art. 46 określa zasady zwrotu.
Po zgłoszeniu nieautoryzowanej transakcji dostawca co do zasady zwraca jej kwotę najpóźniej do końca następnego dnia roboczego. Ustawa przewiduje wyjątki, w szczególności sytuację podejrzenia oszustwa lub rażącego niedbalstwa płatnika. Nie oznacza to, że każda sprawa kończy się tak samo: znaczenie mają sposób autoryzacji, komunikacja z bankiem, zabezpieczenia i ustalone fakty.
Zgłoszenie powinno być konkretne. Napisz, że kwestionujesz transakcję jako nieautoryzowaną, wskaż datę, kwotę i rachunek lub kartę, której dotyczy. Dołącz potwierdzenia kontaktu z bankiem oraz dowody oszustwa. Nie opisuj zdarzenia w sposób, który przypadkowo pomija istotny fakt, na przykład zatwierdzenie operacji lub przekazanie kodu.
Reklamacja w banku jest odrębną czynnością od zawiadomienia Policji i zgłoszenia do CERT Polska. Policja może badać podejrzenie przestępstwa, CERT analizuje incydent i niebezpieczne strony, a bank rozpatruje reklamację w odniesieniu do rachunku, instrumentu płatniczego i obowiązujących przepisów. Przygotowanie dokumentów opisuje reklamacja transakcji nieautoryzowanej.
Informacje o reklamacji, blokadzie i odpowiedzialności mają charakter ogólny; o wyniku konkretnej sprawy decydują ustalone fakty, dokumenty, umowa z bankiem i właściwe przepisy, dlatego artykuł nie powinien przesądzać odpowiedzialności klienta ani banku.
Jak zabezpieczyć konto bankowe na co dzień
Codzienna ochrona bankowości mobilnej zaczyna się przed logowaniem. Wchodź do aplikacji z ikony zapisanej na telefonie, a stronę banku otwieraj z własnej zakładki lub po ręcznym wpisaniu adresu. Nie loguj się przez publiczne, przypadkowe urządzenie, jeśli możesz tego uniknąć. Po zakończeniu korzystania z serwisu wyloguj się, szczególnie na komputerze współdzielonym.
Włącz powiadomienia o logowaniach, przelewach, płatnościach kartą i zmianach ustawień. Ustaw limity dopasowane do rzeczywistych potrzeb. Niższy limit przelewów lub płatności internetowych może ograniczyć skalę szkody, ale nie zastępuje sprawdzania danych na ekranie autoryzacji. Regularnie przeglądaj historię rachunku i reaguj na każdą nieznaną operację.
Nie zatwierdzaj komunikatu tylko dlatego, że pojawił się w aplikacji. Aplikacja może prawidłowo wyświetlić operację, którą wcześniej zainicjował oszust, na przykład po przejęciu danych logowania. Zawsze porównaj odbiorcę i kwotę z własną intencją. Jeżeli nie wykonywałeś żadnej operacji, anuluj ją i skontaktuj się z bankiem.
Oddziel pieniądze używane na bieżące płatności od oszczędności, jeśli bank oferuje takie rozwiązanie. Produkty oszczędnościowe, w tym lokaty bankowe, nie zwalniają jednak z ochrony rachunku głównego: sprawdzaj warunki, dostęp do środków i sposób zlecania operacji zgodnie z umową bankową.
Ochrona obejmuje również dane pozostawiane w wiadomościach i mediach społecznościowych. Nie publikuj zdjęć karty, kodów, potwierdzeń przelewu ani dokumentów zawierających dane rachunku. Gdy sprzedajesz przedmiot lub oczekujesz zwrotu, korzystaj z ustalonego kanału płatności i nie skanuj kodu QR otrzymanego od nieznanej osoby bez sprawdzenia, co dokładnie zatwierdzasz.
Kanały pomocy i osobne instrukcje
System Zastrzegania Kart działa pod numerem 828 828 828 przez 7 dni w tygodniu i 24 godziny na dobę. Usługa jest bezpłatna, choć operator telekomunikacyjny może naliczyć koszt połączenia. W jednym połączeniu można zastrzec karty tylko jednego banku, dlatego przy kartach z kilku instytucji trzeba wykonać oddzielne zgłoszenia.
Numer 828 828 828 służy do zastrzegania kart, a 112 do zgłoszenia podejrzenia przestępstwa. Nie są to zamienne kanały. W sprawie dostępu do rachunku, aplikacji, przelewu lub reklamacji podstawowym kontaktem pozostaje bank: jego aplikacja, oficjalna infolinia albo oddział.
Po incydencie zachowaj chronologiczną notatkę: kiedy otrzymałeś wiadomość, kiedy kliknąłeś link, kiedy rozmawiałeś z oszustem, jakie dane podałeś i kiedy powiadomiłeś bank. Taki zapis pomaga odtworzyć zdarzenie. Nie opóźniaj jednak blokady karty lub dostępu tylko po to, by najpierw skompletować wszystkie informacje.
Osobne poradniki warto traktować jako instrukcje dla konkretnych sytuacji: phishingu, spoofingu telefonicznego, oszustwa na BLIK, zgubionej karty, przejęcia telefonu oraz reklamacji transakcji. Centralna zasada pozostaje taka sama: nie przekazuj danych, nie zatwierdzaj nieznanej operacji i natychmiast powiadom bank po wykryciu problemu.
Czytaj również: silne uwierzytelnienie SCA.
Więcej w tekście: przelew na złe konto.
Powiązany temat: limity transakcji bankowych.
Zobacz też: utrata telefonu z bankowością mobilną.
Czytaj również: zastrzeżenie PESEL.
Najczęstsze pytania
Jak zabezpieczyć konto bankowe?
Loguj się wyłącznie przez samodzielnie otwartą aplikację lub wpisany adres banku, używaj unikalnego hasła, blokady ekranu i aktualnego systemu, włącz powiadomienia oraz limity. Nie podawaj nikomu loginu, hasła, PIN-u ani kodu autoryzacyjnego, a przed potwierdzeniem sprawdzaj odbiorcę, kwotę i rodzaj czynności.
Gdzie zgłosić podejrzaną transakcję?
Najpierw zgłoś ją bankowi przez oficjalną infolinię, aplikację albo w oddziale. Jeśli podejrzewasz oszustwo lub przestępstwo, zawiadom Policję pod numerem 112; podejrzaną stronę zgłoś przez incydent.cert.pl/phishing, a SMS przekaż na 8080.
Czy bank może zablokować dostęp do rachunku?
Bank może czasowo ograniczyć dostęp lub zablokować instrument płatniczy, na przykład po wykryciu nietypowej aktywności albo podejrzeniu oszustwa. Podstawy, zakres i sposób odblokowania wynikają z umowy, regulaminu oraz przepisów, a sama blokada nie przesądza o odpowiedzialności żadnej ze stron.
Jak szybko zastrzec kartę lub dokument?
Kartę zastrzeż przez bank albo pod numerem 828 828 828, działającym całodobowo. Po utracie dowodu osobistego zgłoś utratę w mObywatelu, urzędzie gminy lub na Policji zgodnie z aktualną procedurą, a po kradzieży telefonu skontaktuj się z bankiem z bezpiecznego urządzenia i następnie z operatorem.
Źródła
- Raport roczny z działalności CERT Polska w 2024 roku — statystyki — CERT Polska / NASK, 2024, Raport CP 2024
- Lista Ostrzeżeń przed niebezpiecznymi stronami — CERT Polska / NASK, 2026, Lista Ostrzeżeń
- Informacja o transakcjach oszukańczych dokonanych przy użyciu bezgotówkowych instrumentów płatniczych w III kwartale 2024 r. — Narodowy Bank Polski, 2024, III kwartał 2024
- Regulamin korzystania z Systemu Zastrzegania Kart — Związek Banków Polskich / Zastrzegam.pl, 2026, § 2–5 regulaminu
- Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych — tekst jednolity — Kancelaria Sejmu / ISAP, 2025, art. 45–46
- Oszustwo na pracownika banku — Policja.pl, 2021, numer alarmowy 112
Czy ten poradnik był pomocny? Oceń go:
Ten artykuł nie ma jeszcze ocen.
