Podszywanie się pod bank przez spoofing numeru telefonu – jak działa oszustwo i jak nie dać się okraść?

Czym jest spoofing numeru telefonu i jak oszuści podszywają się pod bank?

W praktyce oszust wykorzystuje narzędzia telekomunikacyjne, często oparte na telefonii internetowej, i ustawia taki numer, który ma wzbudzić zaufanie. To dlatego możesz zobaczyć numer banku, policji albo urzędu, mimo że połączenie nie pochodzi z tej instytucji. Sam spoofing nie kradnie pieniędzy. To pierwszy etap ataku.

Drugi etap to socjotechnika. Rozmówca ma wywołać jednocześnie lęk i poczucie, że tylko on może pomóc. Najpierw buduje wiarygodność, potem tworzy fałszywy alarm, następnie wymusza określone działanie i dopiero na końcu dochodzi do utraty środków albo danych. Dlatego najważniejsze jest nie to, jaki numer widzisz, tylko to, czego rozmówca od Ciebie żąda.

• Etap 1: fałszywa wiarygodność, numer banku lub jego nazwa na ekranie.
• Etap 2: alarm, rzekomy atak, kredyt na Twoje dane albo podejrzany przelew.
• Etap 3: wymuszenie działania, kod BLIK, przelew, instalacja aplikacji, logowanie.
• Etap 4: utrata pieniędzy, danych albo kontroli nad urządzeniem.

W praktyce szkoda zwykle powstaje dopiero wtedy, gdy ofiara wykona polecenie przestępcy.

Czy numer infolinii banku na ekranie może być fałszywy i jak to działa?

CERT Polska, KNF i Policja od dawna ostrzegają, że przestępcy potrafią wyświetlić na telefonie prawdziwy numer banku albo nazwę zapisanej wcześniej instytucji. Odbiorca połączenia widzi jedynie identyfikator techniczny przekazany w sieci, a nie gwarancję pochodzenia rozmowy. Z perspektywy użytkownika oznacza to jedno: sam widok numeru niczego nie potwierdza.

Od 26/09/2024 r. operatorzy telekomunikacyjni mają obowiązek aktywnie przeciwdziałać CLI spoofingowi. To poprawiło poziom ochrony, ale nie wyeliminowało ryzyka całkowicie. Nadal obowiązuje ta sama reguła bezpieczeństwa: nie oceniasz wiarygodności połączenia po numerze, tylko po treści rozmowy i tym, czy bank wymaga od Ciebie rzeczy sprzecznych z zasadami bezpieczeństwa.

Nie oddzwaniaj też bezrefleksyjnie na numer z historii połączeń. Bezpieczny kontakt z bankiem powinien wychodzić od Ciebie i opierać się na numerze znalezionym samodzielnie na oficjalnej stronie lub w aplikacji banku.

Po czym rozpoznać, że telefon z banku jest próbą oszustwa?

Najczęstszy schemat brzmi wiarygodnie: ktoś chce wziąć kredyt na Twoje dane, z Twojego konta wychodzi przelew, urządzenie zostało zainfekowane albo trzeba natychmiast „zabezpieczyć środki”. Celem takiej narracji jest wyłączenie spokojnego myślenia i przejęcie kontroli nad Twoją decyzją. Im większy pośpiech, tym większe ryzyko, że rozmawiasz z oszustem.

• Prośba o login, hasło, pełny PESEL, PIN, kod BLIK, kod SMS lub przepisanie treści autoryzacji, to sygnał alarmowy.
• Polecenie instalacji programu do zdalnej pomocy, to sygnał alarmowy.
• Namawianie do przelewu na rachunek techniczny albo konto bezpieczeństwa, to sygnał alarmowy.
• Zakaz rozłączenia się i samodzielnego oddzwonienia, to sygnał alarmowy.

Bank może prowadzić ograniczoną weryfikację Twojej tożsamości, ale nie powinien żądać od Ciebie pełnych danych uwierzytelniających ani kodów służących do zatwierdzania operacji. Część banków wdrożyła też funkcje potwierdzania konsultanta w aplikacji mobilnej. To są rozwiązania dostępne w wybranych bankach, a nie jednolity standard całego rynku. Jeśli bank przewiduje taki mechanizm, a Ty nie widzisz potwierdzenia, kończysz rozmowę i sam inicjujesz kontakt.

Jak wygląda najczęstszy scenariusz oszustwa na pracownika banku krok po kroku?

1. Telefon „z banku”: na ekranie widzisz numer lub nazwę instytucji, a rozmówca przedstawia się jako pracownik działu bezpieczeństwa.
2. Budowa zaufania: oszust podaje fragment Twoich danych albo ogólne informacje, aby rozmowa wydała się prawdziwa.
3. Wzbudzenie paniki: słyszysz o podejrzanym kredycie, przelewie, logowaniu albo zagrożeniu środków.
4. Przejęcie sterowania: rozmówca każe Ci się zalogować, odczytać kod, zainstalować aplikację albo wykonać przelew.
5. Finalizacja: środki trafiają do oszusta, rachunku słupa albo dochodzi do przejęcia urządzenia i danych.

Przykładowy wariant wygląda tak: słyszysz, że ktoś uruchomił wniosek o kredyt na 30 000 zł na Twoje dane. Żeby „zatrzymać procedurę”, masz wykonać przelew na rachunek techniczny albo potwierdzić operację w aplikacji. To klasyczna manipulacja. Bank nie zabezpiecza pieniędzy klienta w ten sposób.

Najgroźniejszy moment zwykle nie następuje na początku rozmowy, tylko w chwili, gdy ofiara zaczyna wykonywać polecenia. To może być przepisanie kodu SMS, akceptacja powiadomienia push, dodanie nowego urządzenia albo instalacja programu do zdalnej obsługi. Właśnie wtedy zaczyna się realne ryzyko utraty pieniędzy.

Jakich danych, kodów i działań nigdy nie podawać ani nie potwierdzać przez telefon?

Prawdziwy pracownik banku nie powinien prosić Cię o informacje, które służą do logowania, autoryzacji albo przejęcia dostępu do pieniędzy. Nie powinien też wymagać od Ciebie instalacji aplikacji do „skanowania bezpieczeństwa”, „ochrony rachunku” albo „weryfikacji urządzenia”. Takie żądania najczęściej służą przejęciu kontroli nad kontem lub urządzeniem.

Najważniejsza zasada praktyczna brzmi tak: jeśli coś służy do zatwierdzenia operacji, nie robisz tego przez telefon na polecenie rozmówcy. Czytasz treść komunikatu samodzielnie i oceniasz, czego naprawdę dotyczy. W wielu sprawach to właśnie treść autoryzacji później decyduje o sporze z bankiem.

Co zrobić od razu po podejrzanym telefonie z banku albo po ujawnieniu danych?

Nie każda sytuacja wymaga identycznych działań. Inaczej postępujesz po samej rozmowie, inaczej po ujawnieniu danych, a jeszcze inaczej wtedy, gdy pieniądze już zniknęły z konta. Dlatego najpraktyczniejsze jest rozdzielenie trzech scenariuszy.

1. Przerwij rozmowę i nie klikaj w żadne linki z SMS-a ani maila.
2. Skontaktuj się z bankiem wyłącznie przez numer z oficjalnej strony albo aplikacji.
3. Zablokuj dostęp do bankowości elektronicznej, kart, BLIK-a i płatności mobilnych, jeśli istnieje ryzyko przejęcia danych.
4. Zmień hasła i sprawdź urządzenie, jeśli podałeś dane lub instalowałeś aplikację.
5. Zastrzeż PESEL, jeśli obawiasz się wykorzystania danych do kradzieży tożsamości.

Ważne doprecyzowanie: zastrzeżenie numeru PESEL ogranicza ryzyko kolejnych nadużyć na Twoje dane, ale nie cofa operacji, które już zostały wykonane.

Czy bank odda pieniądze po spoofingu i od czego zależy reklamacja?

To najważniejsza sekcja całego artykułu. Przy nieautoryzowanej transakcji bank co do zasady powinien zwrócić środki najpóźniej do końca następnego dnia roboczego po zgłoszeniu i przywrócić rachunek do stanu, w jakim byłby, gdyby do operacji nie doszło. Wyjątki przewiduje ustawa, na przykład gdy zgłoszenie nastąpiło po 13 miesiącach albo gdy bank ma uzasadnione i należycie udokumentowane podejrzenie oszustwa oraz zawiadomi organy ścigania.

W praktyce największe spory dotyczą sytuacji, w których klient sam coś zatwierdził, bo uwierzył oszustowi. Bank może wtedy twierdzić, że operacja była autoryzowana. Klient z kolei wskazuje, że działał pod wpływem podstępu, a bank powinien był lepiej chronić użytkownika albo sformułować wyraźniej komunikaty bezpieczeństwa. Właśnie tutaj bada się treść SMS-a, powiadomienia push, dodanie nowego urządzenia, przebieg rozmowy i ewentualne rażące niedbalstwo.

W reklamacji nie wystarczy napisać, że doszło do spoofingu. Trzeba precyzyjnie opisać, co się wydarzyło: kto dzwonił, jaki numer się wyświetlił, jakie polecenia padły, co zatwierdziłeś, jakie komunikaty widziałeś oraz kiedy skontaktowałeś się z bankiem. Dla usług płatniczych bank ma co do zasady 15 dni roboczych na odpowiedź na reklamację, a w sprawach szczególnie skomplikowanych termin może być wydłużony do 35 dni roboczych. Szersze terminy reklamacyjne 30 i 60 dni dotyczą ogólnego trybu reklamacyjnego, nie wyłącznie usług płatniczych.

Gdzie zgłosić spoofing numeru telefonu, oszustwo bankowe i nieautoryzowaną transakcję?

Kolejność działań ma znaczenie. Najpierw zabezpieczasz rachunek i składasz reklamację w banku. Dopiero potem domykasz zgłoszenia do innych instytucji. Jeżeli pieniądze zniknęły z konta, bank powinien od razu przyjąć reklamację dotyczącą nieautoryzowanej transakcji albo spornego zatwierdzenia operacji. Poproś o numer sprawy, datę przyjęcia zgłoszenia i potwierdzenie blokad.

• Bank: blokada kanałów, reklamacja, ustalenie zakresu szkody, zabezpieczenie rachunku.
• Policja: zawiadomienie o podejrzeniu popełnienia przestępstwa.
• CERT Polska: zgłoszenie incydentu, numeru, wiadomości i mechanizmu oszustwa.
• Rzecznik Finansowy: wsparcie, gdy reklamacja została odrzucona albo prowadzona wadliwie.

Dobrze przygotować prostą teczkę dowodową. Zachowujesz numer telefonu, datę i godzinę połączenia, screeny z aplikacji, treść SMS-ów i powiadomień push, historię rachunku, potwierdzenia operacji, informację o instalacji aplikacji zdalnej oraz treść odpowiedzi banku. Im lepiej odtworzysz przebieg zdarzenia, tym mocniejsza będzie reklamacja.

Jak skutecznie zabezpieczyć konto, telefon i bankowość mobilną przed spoofingiem?

Nie da się sprowadzić ryzyka do zera, ale można je mocno ograniczyć. Najważniejsze jest połączenie zdrowego schematu działania z ustawieniami bezpieczeństwa w banku i telefonie. Aktualny system operacyjny, blokada ekranu, rozsądne uprawnienia aplikacji, powiadomienia bezpieczeństwa z banku i spokojne czytanie komunikatów autoryzacyjnych znacząco zmniejszają ryzyko straty.

• Czytaj treść autoryzacji, a nie tylko przycisk „zatwierdź”.
• Nie działaj pod presją czasu, bank nie wymaga ratowania środków przelewem.
• Nie instaluj aplikacji spoza oficjalnych sklepów i nie udostępniaj ekranu nieznanym osobom.
• Włącz alerty bezpieczeństwa oraz, jeśli bank to oferuje, funkcję weryfikacji konsultanta w aplikacji.
• Zastrzeż PESEL, gdy istnieje ryzyko wykorzystania Twoich danych do wyłudzeń.

W praktyce najskuteczniejszą ochroną jest prosta procedura domowa: każdą alarmującą rozmowę od rzekomego banku przerywasz, a kontakt z instytucją inicjujesz sam. To nawyk, który działa lepiej niż próby oceniania głosu rozmówcy, numeru telefonu czy jego znajomości Twoich danych.

Słowniczek pojęć

FAQ, najczęściej zadawane pytania

Źródła

• CERT Polska, „Fałszywi konsultanci”, dostęp 13/03/2026 r., CERT Polska – Fałszywi konsultanci
• CERT Polska, „Scam AnyDesk”, dostęp 13/03/2026 r., CERT Polska – Scam AnyDesk
• KNF, Encyklopedia cyberbezpieczeństwa, „Oszustwa telefoniczne”, dostęp 13/03/2026 r., KNF – Oszustwa telefoniczne
• gov.pl, „Nowe przepisy zwalczające fałszywe połączenia już obowiązują”, 26/09/2024 r., gov.pl – nowe przepisy o fałszywych połączeniach
• ISAP, „Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych”, tekst jednolity ogłoszony 20/08/2025 r., ISAP – ustawa o usługach płatniczych
• UOKiK Finanse, „Nieautoryzowane transakcje, kolejne wszczęcia”, 14/02/2024 r., UOKiK – nieautoryzowane transakcje
• Rzecznik Finansowy, „Spór z bankiem lub ubezpieczycielem, kiedy po pomoc do Rzecznika Finansowego?”, 06/02/2026 r., Rzecznik Finansowy – kiedy szukać pomocy
• Rzecznik Finansowy, „Jak złożyć reklamację do banku lub ubezpieczyciela, ważne zmiany od 13 lutego 2026 r.”, 13/02/2026 r., Rzecznik Finansowy – reklamacje po 13/02/2026 r.
• gov.pl, „Zastrzeż PESEL i zabezpiecz się przed oszustami”, 27/05/2024 r., gov.pl – zastrzeżenie PESEL
• CERT Polska, „Zgłoś incydent”, dostęp 13/03/2026 r., CERT Polska – zgłoś incydent
• PKO Bank Polski, „Jak sprawdzić, czy dzwoni pracownik banku”, dostęp 13/03/2026 r., PKO BP – weryfikacja pracownika banku
• ING Bank Śląski, „Weryfikacja telefonu z ING”, dostęp 13/03/2026 r., ING – weryfikacja telefonu z banku

Dane i stan prawny aktualne na dzień: 13/03/2026 r.

Jak czytać przykłady: kwoty i scenariusze w artykule pokazują mechanikę oszustwa oraz procedury po incydencie. O wyniku reklamacji decydują konkretne komunikaty autoryzacyjne, przebieg zdarzenia i pełny materiał dowodowy.