Gdy dzwoni fałszywy bank, przerwij rozmowę i nie podawaj żadnych danych ani kodów. Odczekaj co najmniej 30 sekund, potem ręcznie wybierz oficjalny numer banku znaleziony w aplikacji, na stronie lub w dokumentach. Nie oddzwaniaj z listy połączeń, nawet jeśli na ekranie widniał prawidłowy numer infolinii.
Spoofing telefoniczny — na czym polega
Spoofing telefoniczny to połączenie, w którym przestępca podszywa się pod bank albo inną zaufaną instytucję. Oszust może zmienić numer prezentowany odbiorcy, dlatego na ekranie może pojawić się numer infolinii lub nazwa banku, mimo że rozmówca nie jest jego pracownikiem. Opisała to Policja w komunikacie z 2022 roku.
Techniczna nazwa tego mechanizmu to CLI spoofing. Urząd Komunikacji Elektronicznej wyjaśnia, że połączenie może zostać zidentyfikowane zmodyfikowanym numerem. Operator, który wykryje takie połączenie, może je odrzucić albo zestawić bez prezentacji numeru jako „Numer nieznany”. Nie oznacza to jednak, że połączenie z prawidłowo wyglądającym numerem jest autentyczne.
W praktyce podszywanie się pod numer banku ma skłonić rozmówcę do zaufania osobie po drugiej stronie. Numer i nazwa na ekranie są tylko informacją techniczną, a nie dowodem tożsamości konsultanta. Z tego powodu każdą nieoczekiwaną rozmowę o przelewach, bezpieczeństwie rachunku lub blokadzie karty trzeba zweryfikować poza trwającym połączeniem.
Fałszywy telefon z banku: sygnały ostrzegawcze
Najczęściej oszust zaczyna od wiarygodnego pretekstu: mówi o podejrzanej transakcji, próbie włamania albo konieczności szybkiego zabezpieczenia pieniędzy. W komunikacie Policji z 2024 roku opisano rozmowę, podczas której przestępca informował o rzekomo zatrzymanym przelewie na kwotę 500 zł. Następnie przekonywał, że środki trzeba przenieść na „bezpieczne konto techniczne”. Takie konto i taka procedura nie powinny być powodem do wykonywania poleceń przez telefon.
Drugim sygnałem jest presja. Rozmówca może straszyć utratą pieniędzy, zamknięciem rachunku albo koniecznością natychmiastowego zatwierdzenia operacji. Celem jest ograniczenie czasu na samodzielną ocenę sytuacji. Prawdziwy numer banku na ekranie nie zmienia tej zasady: nie podejmuj decyzji finansowej pod wpływem nacisku.
Policja i FinCERT.pl wskazują, że prawdziwy przedstawiciel banku nie prosi przez telefon o:
- login lub hasło do bankowości elektronicznej,
- dane karty,
- kod BLIK,
- kod 3D Secure.
Nie przekazuj również kodu otrzymanego wiadomością ani nie zatwierdzaj operacji w aplikacji tylko dlatego, że rozmówca twierdzi, iż to sposób na anulowanie oszustwa. Więcej informacji znajdziesz tutaj: phishing bankowy.
Co zrobić krok po kroku
1. Przerwij rozmowę
Nie próbuj przekonywać rozmówcy, że rozpoznajesz oszustwo. Nie potwierdzaj danych osobowych, numeru rachunku ani faktu korzystania z konkretnego banku. Powiedz, że samodzielnie skontaktujesz się z bankiem, i zakończ połączenie.
2. Nie korzystaj z listy ostatnich połączeń
Po zakończeniu podejrzanej rozmowy odczekaj minimum 30 sekund. Następnie ręcznie wybierz oficjalny numer banku na klawiaturze telefonu. Numer znajdź w aplikacji bankowej, na oficjalnej stronie banku albo w dokumentach bankowych. Nie wybieraj numeru z listy ostatnich połączeń, ponieważ może on być numerem zmodyfikowanym przez spoofing.
3. Przekaż bankowi konkretną informację
Podczas samodzielnie rozpoczętej rozmowy powiedz, że otrzymałeś podejrzany telefon i że rozmówca powoływał się na konkretną transakcję, konto albo pracownika. Zapytaj, czy bank rzeczywiście próbował się skontaktować. Jeżeli podałeś dane, kod lub zatwierdziłeś operację, poinformuj o tym od razu — nie czekaj na kolejne połączenie.
| Sygnał lub sytuacja | Zweryfikowana liczba albo wymóg | Właściwa reakcja |
|---|---|---|
| Na ekranie pojawia się numer lub nazwa banku | Numer nie jest gwarancją tożsamości rozmówcy | Rozłącz się i skontaktuj z bankiem przez oficjalny kanał |
| Rozmówca wywołuje presję, straszy utratą pieniędzy lub żąda natychmiastowego działania | W opisanym przez Policję schemacie pojawia się rzekomy przelew na 500 zł | Nie wykonuj poleceń podczas rozmowy; przerwij połączenie |
| Chcesz oddzwonić do banku | Odczekaj minimum 30 sekund | Wybierz numer ręcznie z oficjalnej strony, aplikacji lub dokumentów banku; nie korzystaj z listy połączeń |
| Rozmówca żąda loginu, hasła, danych karty, kodu BLIK lub kodu 3D Secure | Takich danych prawdziwy przedstawiciel banku nie powinien żądać | Nie podawaj danych i nie zatwierdzaj operacji w aplikacji |
| Operator wykryje CLI spoofing | Połączenie może zostać odrzucone albo wyświetlone jako „Numer nieznany” | Nie traktuj prawidłowo wyglądającego numeru jako dowodu autentyczności |
Kwota 500 zł jest przykładem ze scenariusza opisanego przez Policję, a nie typową ani graniczną wartością oszustwa. Statystyka 354 566 zgłoszeń dotyczy SMS-ów zgłoszonych do CERT Polska w 2024 roku, a nie połączeń głosowych.
Jak bezpiecznie zweryfikować konsultanta
Nie uznawaj znajomości części informacji o kliencie za potwierdzenie tożsamości rozmówcy. Numer, nazwa banku i znajomość części informacji o kliencie nie wystarczają. Bezpieczna weryfikacja polega na zakończeniu połączenia i samodzielnym rozpoczęciu kontaktu z bankiem po upływie 30 sekund.
Oficjalny konsultant banku może wyjaśnić sprawę po tym, jak klient skontaktuje się z bankiem właściwym kanałem. Pracownik banku nie powinien nakłaniać do przenoszenia środków na „bezpieczne konto techniczne” ani zatwierdzania operacji, której treści klient nie rozumie. Każdą autoryzację przeczytaj w aplikacji lub wiadomości bankowej przed podjęciem decyzji.
Jeśli nie masz pewności, czy numer znaleziony w wyszukiwarce jest oficjalny, użyj aplikacji banku albo papierowych dokumentów. Nie korzystaj z numeru podanego przez rozmówcę i nie oddzwaniaj automatycznie. Zasada opisana przez Policję w 2022 roku jest prosta: połączenie należy zakończyć, odczekać minimum 30 sekund i wybrać numer ręcznie.
Co zrobić, jeśli podano dane lub zatwierdzono operację
Jeśli doszło do podania danych, instalacji aplikacji lub zatwierdzenia przelewu, niezwłocznie skontaktuj się z bankiem przez oficjalny kanał, zablokuj dostęp i zgłoś podejrzenie Policji; nie wykonuj dalszych czynności finansowych na polecenie rozmówcy.
Powiedz bankowi dokładnie, co się wydarzyło: jakie dane przekazano, czy użyto kodu BLIK lub 3D Secure, czy zatwierdzono przelew oraz czy zainstalowano jakiekolwiek oprogramowanie. Poproś o zablokowanie odpowiednich kanałów dostępu i zabezpieczenie rachunku. Nie kontynuuj rozmowy z osobą, która dzwoniła, i nie próbuj „odwracać” operacji według jej instrukcji.
W przypadku podejrzenia przestępstwa zgłoś sprawę Policji. Zachowaj numer widoczny na ekranie, godzinę połączenia, treść SMS-ów, potwierdzenia operacji i inne informacje, które mogą pomóc odtworzyć przebieg zdarzenia. Sam numer może być sfałszowany, ale nadal warto przekazać go bankowi oraz organom ścigania.
Rozwiązania UKE ograniczające podszywanie się pod numery
UKE i operatorzy wdrażają rozwiązania ograniczające CLI spoofing. Zgodnie z informacjami UKE operator może odrzucić połączenie rozpoznane jako podszywające się pod numer albo wyświetlić je jako „Numer nieznany”. To utrudnia oszustwo, ale nie zastępuje ostrożności po stronie odbiorcy.
Na podstawie art. 17 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej od 26 marca 2024 roku UKE prowadzi jawny wykaz numerów DNO, czyli numerów służących wyłącznie do odbierania połączeń. Obejmuje to między innymi numery banków i instytucji płatniczych. Z numeru wpisanego do wykazu nie można wykonać połączenia wychodzącego.
Wykaz DNO nie oznacza, że każdy numer spoza wykazu jest bezpieczny. Nadal obowiązuje ta sama procedura: przerwij rozmowę, odczekaj 30 sekund i samodzielnie wybierz oficjalny numer banku. Rozwiązania operatorów zmniejszają ryzyko, lecz nie potwierdzają tożsamości osoby po drugiej stronie.
Zobacz też: oszustwo na BLIK.
Więcej w tekście: zgubiona karta bankowa.
Najczęstsze pytania
Czy oszust może wyświetlić numer banku?
Tak. Spoofing pozwala zmienić numer prezentowany odbiorcy, dlatego numer infolinii ani nazwa banku na ekranie nie potwierdzają, że dzwoni pracownik banku. Ostrzegała przed tym Policja w komunikacie z 2022 roku.
Jak bezpiecznie oddzwonić do banku?
Rozłącz się, odczekaj co najmniej 30 sekund i ręcznie wybierz oficjalny numer banku znaleziony w aplikacji, na stronie banku lub w dokumentach. Nie oddzwaniaj z listy połączeń.
Czy pracownik banku prosi o kod BLIK?
Nie przekazuj przez telefon kodu BLIK, kodu 3D Secure, loginu, hasła ani danych karty. Przed zatwierdzeniem operacji przeczytaj jej treść w aplikacji lub wiadomości bankowej, zgodnie z ostrzeżeniem Policji i FinCERT.pl.
Źródła
- Uwaga na oszustów dzwoniących z numerów podszywających się pod banki lub inne instytucje zaufania publicznego — Komenda Główna Policji, CBZC, FinCERT.pl – ZBP, 2022, komunikat ostrzegawczy
- Uważaj na połączenia z numerów telefonów podszywających się pod banki! — Komenda Główna Policji, CBZC, FinCERT.pl – ZBP, 2024, komunikat ostrzegawczy
- Porozumienie Prezesa UKE i operatorów w sprawie CLI spoofingu — Urząd Komunikacji Elektronicznej, 2024, komunikat UKE z 22 lutego 2024 r.
- Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej – jawny wykaz numerów DNO — Urząd Komunikacji Elektronicznej, 2024, art. 17 ustawy; informacja UKE z 25 marca 2024 r.
- Raport roczny 2024 – działania CERT Polska — CERT Polska / NASK, 2025, raport za 2024 rok
Czy ten poradnik był pomocny? Oceń go:
Ten artykuł nie ma jeszcze ocen.
