Telefon od osoby przedstawiającej się jako pracownik banku może brzmieć bardzo przekonująco. Rozmówca zna imię klienta, fragment numeru rachunku, nazwę banku, a nawet potrafi opisać rzekomy przelew z dużą dbałością o szczegóły. Jeśli jednak podczas takiej rozmowy pada prośba o kod do aplikacji bankowej, kod SMS, kod BLIK albo zatwierdzenie nieznanej operacji, trzeba przerwać kontakt. Nie podawaj kodu, nie klikaj w link i nie potwierdzaj niczego tylko dlatego, że dzwoniący twierdzi, iż „zabezpiecza” konto. [2]
Najbezpieczniejsza odpowiedź jest krótka: „Nie podaję kodów przez telefon. Samodzielnie skontaktuję się z bankiem”. Potem zakończ połączenie. Nie musisz rozstrzygać w rozmowie, czy po drugiej stronie rzeczywiście jest konsultant. Sam fakt żądania poufnego kodu wystarcza, by potraktować połączenie jako próbę oszustwa.
Ktoś dzwoni i prosi o kod? Przerwij rozmowę — nie podawaj żadnych danych
Prośba o kod jest sygnałem alarmowym
Kod do aplikacji bankowej, hasło jednorazowe, kod SMS czy kod BLIK służą do wykonania określonej czynności. Mogą potwierdzać logowanie, dodanie odbiorcy, przelew, zmianę ustawień albo aktywację dostępu na urządzeniu. Nie są zwykłą informacją techniczną ani numerem służącym do „sprawdzenia, czy rozmawiają z właściwą osobą”.
Prawdziwy bank może kontaktować się z klientem w sprawie bezpieczeństwa, nietypowego logowania lub podejrzanej transakcji. Nie powinien jednak prosić o przekazanie przez telefon kodu, który pojawił się w wiadomości SMS lub aplikacji. Pracownik banku nie potrzebuje znać Twojego hasła, PIN-u, kodu autoryzacyjnego ani kodu BLIK. Jeśli ktoś twierdzi inaczej, jest to mocny sygnał, że masz do czynienia z fałszywym konsultantem banku. [1]
Nie próbuj „dla pewności” podać tylko części kodu, ostatnich dwóch cyfr ani kodu, który — według rozmówcy — służy wyłącznie do anulowania operacji. Oszust może stopniowo wydobywać informacje, sprawdzać reakcję i wykorzystywać każdy fragment do kolejnego etapu ataku. W takiej sytuacji uprzejmość nie jest obowiązkiem. Możesz się rozłączyć bez wyjaśnień.
Bezpieczna odpowiedź i właściwe zakończenie połączenia
Nie wdawaj się w dyskusję o procedurach bankowych. Wystarczy jedno zdanie:
Nie podaję żadnych kodów przez telefon. Rozłączę się i skontaktuję z bankiem przez oficjalny kanał.
Po wypowiedzeniu tej formuły zakończ rozmowę. Nie oddzwaniaj na numer, który wyświetlił się na ekranie, jeśli nie masz pewności, że jest oficjalny. Numer może wyglądać identycznie jak numer infolinii banku, ponieważ przestępcy wykorzystują spoofing, czyli fałszowanie numeru dzwoniącego. Zgodność numeru z numerem banku nie jest wystarczającym dowodem autentyczności.
Numer banku znajdź samodzielnie w oficjalnej aplikacji, na stronie wpisanej ręcznie w przeglądarce, na odwrocie karty płatniczej albo w umowie. Nie korzystaj z numeru przesłanego przez rozmówcę w SMS-ie i nie otwieraj linku, który ma rzekomo prowadzić do „bezpiecznej infolinii”.
Nie klikaj, nie instaluj i nie zatwierdzaj
Podczas rozmowy oszust może wysłać wiadomość z linkiem. Taki link może prowadzić do strony przypominającej bankowość elektroniczną, formularza „weryfikacji klienta” albo witryny, z której można pobrać program do zdalnego pulpitu. Czasem rozmówca twierdzi, że kliknięcie jest konieczne, aby anulować przelew lub zablokować konto. To typowy element manipulacji.
Nie instaluj AnyDesk, TeamViewer ani podobnego programu na polecenie osoby dzwoniącej. Aplikacja do zdalnego pulpitu może pozwolić przestępcy obserwować ekran, przejąć sterowanie urządzeniem, odczytać komunikaty i wykorzystać sesję bankową. Nawet jeśli program sam w sobie jest legalny, sposób jego użycia może prowadzić do utraty kontroli nad telefonem lub komputerem.
Nie potwierdzaj też powiadomienia push, jeśli nie wiesz dokładnie, czego dotyczy. Zanim wybierzesz „Akceptuj”, przeczytaj cały komunikat: rodzaj operacji, kwotę, odbiorcę, numer rachunku, walutę lub urządzenie, którego dotyczy logowanie. Autoryzacja potwierdza treść komunikatu, a nie intencje rozmówcy. Jeśli dzwoniący mówi o blokadzie konta, a aplikacja wyświetla zgodę na przelew, masz do czynienia z próbą wyłudzenia.
Jakie kody mogą próbować wyłudzić oszuści?
Określenie „kod do aplikacji bankowej” może oznaczać kilka różnych danych. Oszust nie zawsze używa właściwej nazwy, dlatego trzeba chronić każdy sekret związany z bankowością. Próba wyłudzenia może dotyczyć:
- kodu SMS przesłanego przez bank,
- kodu wygenerowanego w aplikacji mobilnej,
- hasła jednorazowego,
- kodu BLIK,
- kodu aktywacyjnego do aplikacji,
- PIN-u do aplikacji lub karty,
- loginu, numeru klienta i hasła,
- kodu CVV/CVC oraz danych karty,
- cyfr służących do potwierdzenia logowania, przelewu albo dodania odbiorcy,
- akceptacji operacji wyświetlonej w aplikacji.
Nie ma bezpiecznej wersji przekazania takiego kodu przez telefon. Nie zmienia tego twierdzenie, że kod jest „tylko do weryfikacji”, „do anulowania przelewu” albo „ważny przez kilka sekund”. Krótki czas ważności nie sprawia, że wolno przekazać go obcej osobie. Przeciwnie — presja czasu ma skłonić do działania bez czytania komunikatu.
Co zrobić, gdy rozmówca zna część Twoich danych?
Znajomość imienia, nazwiska, adresu, numeru telefonu, nazwy banku czy fragmentu rachunku nie potwierdza, że dzwoni prawdziwy pracownik. Takie dane mogą pochodzić z wycieków, formularzy internetowych, mediów społecznościowych, wcześniejszych kontaktów z firmami albo z informacji ujawnionych przez samego klienta podczas rozmowy.
Oszuści często zaczynają od pytań pozornie niewinnych: „Czy rozmawiam z panem…?”, „Czy korzysta pan z naszego banku?”, „Czy wykonywała pani dziś przelew?”. Odpowiedź może dostarczyć im kolejnych elementów układanki. Dlatego nie potwierdzaj danych tylko po to, by sprawdzić wiarygodność rozmówcy. To bank powinien mieć bezpieczny sposób identyfikacji klienta, a nie klient weryfikować konsultanta poprzez ujawnianie kolejnych informacji.
Nie ulegaj też argumentom o natychmiastowym zagrożeniu: „ktoś właśnie wypłaca środki”, „policja prowadzi kontrolę”, „konto zostanie zablokowane za pięć minut”, „trzeba przelać pieniądze na rachunek techniczny”. Bank nie zabezpiecza pieniędzy klienta przez nakłanianie go do przelewu na konto wskazane przez telefonicznego rozmówcę. Bezpieczny rachunek podany przez oszusta nadal jest rachunkiem kontrolowanym przez oszusta. [3]
Dlaczego telefon brzmi wiarygodnie, choć może być próbą oszustwa?
Presja czasu odbiera możliwość spokojnej oceny
Oszustwo na pracownika banku jest skuteczne nie dlatego, że każdy dzwoniący potrafi perfekcyjnie udawać konsultanta. Często wystarczy wywołać silne emocje: strach przed utratą pieniędzy, poczucie obowiązku albo obawę przed konsekwencjami prawnymi. Osoba zaniepokojona rzekomym przelewem może przestać analizować, co dokładnie pokazuje aplikacja.
Rozmówca może powiedzieć, że konto zostało zaatakowane, ktoś próbuje zaciągnąć kredyt, wykryto przelew do innego kraju albo konieczna jest „weryfikacja urządzenia”. Następnie proponuje szybkie rozwiązanie: podanie kodu, kliknięcie w link lub potwierdzenie komunikatu. Każdy kolejny krok ma wyglądać jak element procedury bezpieczeństwa.
Rzeczywista procedura bezpieczeństwa nie wymaga jednak przekazania sekretu obcej osobie. Jeśli masz wątpliwości, zatrzymaj rozmowę i samodzielnie skontaktuj się z bankiem. Nawet jeżeli zagrożenie byłoby prawdziwe, bank może przyjąć zgłoszenie przez oficjalny kanał. Kilka minut potrzebnych na niezależne sprawdzenie sytuacji jest mniej ryzykowne niż wykonanie nieodwracalnego przelewu pod dyktando nieznanej osoby.
Spoofing numeru telefonu nie potwierdza tożsamości
Na ekranie może wyświetlić się numer infolinii, nazwa banku albo numer wyglądający jak lokalny telefon. To nie oznacza, że połączenie rzeczywiście pochodzi z banku. W ramach spoofingu przestępca może sprawić, że odbiorca zobaczy inny numer niż ten, z którego faktycznie nawiązano połączenie.
Dlatego nie stosuj zasady: „Numer się zgadza, więc mogę podać kod”. Prawidłowa zasada brzmi: nie podaję poufnych danych w rozmowie przychodzącej, a autentyczność kontaktu sprawdzam niezależnie. Rozłączenie i samodzielne wybranie numeru banku ogranicza ryzyko, choć także wtedy trzeba opisać konsultantowi sytuację i zapytać, czy w systemie widnieją jakieś nietypowe działania.
Jeżeli telefon nie kończy się zwyczajnie po rozłączeniu, odczekaj chwilę i sprawdź, czy połączenie faktycznie zostało przerwane. W razie wątpliwości skorzystaj z innego telefonu albo innego kanału kontaktu. Nie chodzi o tworzenie skomplikowanego rytuału, lecz o to, by nie pozwolić oszustowi kontrolować całej ścieżki kontaktu.
Rzekomy „dział bezpieczeństwa” i przekazywanie rozmowy
Przestępcy mogą odgrywać kilka ról. Najpierw dzwoni „konsultant”, później rozmowa zostaje przekazana do „działu bezpieczeństwa”, a następnie do osoby przedstawiającej się jako policjant, prokurator albo pracownik departamentu przeciwdziałania oszustwom. Zmiana rozmówcy ma stworzyć wrażenie formalnej, wieloetapowej procedury.
W rzeczywistości wszystkie osoby mogą znajdować się po tej samej stronie. Ich zadaniem jest zwiększenie presji i odebranie Ci naturalnego odruchu konsultacji z kimś zaufanym. Czasem oszust zabrania rozłączenia się, twierdząc, że połączenie musi pozostać aktywne „dla bezpieczeństwa”. To sygnał, by natychmiast zakończyć rozmowę.
Bank nie potrzebuje izolować klienta od oficjalnej infolinii, bliskiej osoby ani niezależnej oceny sytuacji. Zakaz zadawania pytań, rozłączania się lub sprawdzania informacji poza rozmową nie jest elementem ochrony. Jest narzędziem kontroli.
Przy planowaniu kolejnych kroków pomocny może być tekst: Jak przenieść bankowość mobilną na nowy telefon?.
Typowy przebieg rozmowy krok po kroku
Scenariusze różnią się szczegółami, ale wiele z nich ma podobną konstrukcję:
- Ustanowienie wiarygodności. Rozmówca przedstawia się jako pracownik banku i może podać numer identyfikacyjny, nazwę działu lub część danych klienta.
- Wzbudzenie alarmu. Pojawia się informacja o rzekomym przelewie, logowaniu, kredycie albo próbie przejęcia konta. Rozmówca sugeruje, że sytuacja wymaga natychmiastowej reakcji.
- „Ochronna” procedura. Oszust poleca wykonanie określonych czynności: odczytanie kodu, potwierdzenie operacji, przelew na wskazany rachunek, instalację aplikacji albo zalogowanie się przez przesłany link.
- Weryfikowanie reakcji. Dzwoniący zadaje dodatkowe pytania i sprawdza, czy klient wykonuje instrukcje. Każde zawahanie może wykorzystać do zwiększenia presji lub przekazania rozmowy innej osobie.
- Próba przejęcia kontroli. Celem może być uzyskanie dostępu do bankowości, zatwierdzenie transakcji, wyłudzenie danych karty albo nakłonienie do samodzielnego przekazania pieniędzy.
- Zakończenie po uzyskaniu korzyści. Gdy ofiara poda kod, zaakceptuje operację lub wykona przelew, rozmówca może szybko się rozłączyć albo kontynuować kontakt, aby wyłudzić kolejne dane.
Nie każdy etap musi wystąpić, a kolejność może być inna. Najważniejsze jest rozpoznanie momentu, w którym ktoś próbuje nakłonić Cię do działania w bankowości pod wpływem rozmowy przychodzącej. Wtedy nie analizuj, czy scenariusz brzmi profesjonalnie. Przerwij kontakt i przejdź do niezależnego sprawdzenia sytuacji.
Co zrobić natychmiast po zakończeniu podejrzanej rozmowy?
Samo rozłączenie jest właściwym pierwszym krokiem, ale po podejrzanym telefonie warto szybko ocenić, czy doszło do jakiegokolwiek ujawnienia danych albo zatwierdzenia operacji. Dalsze działania zależą od tego, co wydarzyło się podczas rozmowy.
Skontaktuj się z bankiem oficjalnym kanałem
Zadzwoń do banku na numer znaleziony samodzielnie w aplikacji, na oficjalnej stronie internetowej, na odwrocie karty lub w dokumentach bankowych. Powiedz, że otrzymałeś podejrzany telefon i dokładnie opisz jego przebieg. Przekaż informację, czy:
- podałeś jakikolwiek kod, login, hasło, PIN albo dane karty,
- zatwierdziłeś powiadomienie w aplikacji,
- wykonałeś przelew lub podałeś kod BLIK,
- kliknąłeś w link albo zalogowałeś się na wskazanej stronie,
- zainstalowałeś program lub aplikację na polecenie rozmówcy,
- utraciłeś dostęp do telefonu, poczty elektronicznej albo bankowości.
Nie ukrywaj żadnego szczegółu ze wstydu lub obawy przed oceną. Dla banku istotne jest szybkie ustalenie, jakie dane mogły zostać przejęte i czy trzeba zablokować konkretne instrumenty. Konsultant może zalecić zmianę danych dostępowych, zastrzeżenie karty, blokadę bankowości elektronicznej lub reklamację nieautoryzowanej transakcji.
Sprawdź rachunki i historię operacji
Po kontakcie z bankiem zaloguj się przez oficjalną aplikację albo wpisany ręcznie adres serwisu i przejrzyj historię rachunków, kart oraz zaplanowanych płatności. Zwróć uwagę nie tylko na zaksięgowane przelewy, lecz także na operacje oczekujące, nowe odbiorniki, zmienione limity, wypłaty, transakcje kartą i nietypowe logowania.
Jeżeli widzisz nieznaną operację, zanotuj jej datę, godzinę, kwotę, odbiorcę i numer referencyjny. Nie usuwaj powiadomień ani korespondencji dotyczącej tej transakcji. Bank może potrzebować tych informacji podczas blokowania środków i wyjaśniania zdarzenia.
Jeśli doszło do przelewu na rachunek oszusta, liczy się czas. Natychmiast poproś bank o próbę zablokowania lub odzyskania środków i zapytaj, jakie dodatkowe zgłoszenie należy złożyć. Nie czekaj, aż transakcja „sama się wyjaśni”.
Jeśli podano dane logowania lub kod
W takiej sytuacji poproś bank o pilne zablokowanie dostępu do bankowości i zmianę danych uwierzytelniających. Nie ograniczaj się do zmiany jednego hasła, jeśli tego samego hasła używasz w poczcie elektronicznej, mediach społecznościowych lub innych usługach. Oszust może próbować wykorzystać je także poza bankiem.
Sprawdź, czy w bankowości nie dodano nowego urządzenia, odbiorcy, numeru telefonu lub adresu e-mail. Zapytaj konsultanta, czy można wylogować wszystkie aktywne sesje i zablokować możliwość zdalnego dodawania odbiorców albo wykonywania przelewów do czasu wyjaśnienia sprawy.
Jeśli zainstalowano program do zdalnego dostępu
Odłącz urządzenie od internetu, wyłącz aplikację do zdalnego pulpitu i nie korzystaj z niego do dalszej obsługi bankowości, dopóki nie zostanie sprawdzone. Samo usunięcie programu może nie wystarczyć, jeżeli w czasie sesji oszust uzyskał dostęp do haseł lub zmienił ustawienia systemu.
Skontaktuj się z bankiem z innego, zaufanego urządzenia. Zmień hasła przy użyciu bezpiecznego sprzętu, włącz dodatkowe zabezpieczenia i rozważ pomoc specjalisty od bezpieczeństwa cyfrowego. Jeżeli na tym samym telefonie lub komputerze używano poczty elektronicznej, również zmień jej hasło i sprawdź aktywne sesje.
Zabezpiecz dowody i zgłoś próbę oszustwa
Zapisz numer, z którego dzwoniono, datę i godzinę połączenia, treść SMS-ów, adresy stron, dane rachunku odbiorcy oraz opis przekazanych informacji. Zrób zrzuty ekranu komunikatów i powiadomień, o ile ich zachowanie nie wymaga ponownego otwierania podejrzanej strony.
Próbę oszustwa możesz zgłosić bankowi oraz Policji. Podejrzaną stronę, wiadomość lub link warto także przekazać właściwym zespołom zajmującym się cyberbezpieczeństwem. Jeśli doszło do utraty pieniędzy, w zgłoszeniu podaj jak najwięcej konkretnych danych i dołącz potwierdzenia operacji.
Nie kontynuuj kontaktu z oszustem
Po pierwszej rozmowie przestępcy mogą próbować zadzwonić ponownie, przedstawiając się jako osoba pomagająca odzyskać środki albo prowadząca postępowanie w sprawie poprzedniego oszustwa. Taki kontakt może służyć wyłudzeniu kolejnych opłat, kodów lub danych.
Nie płać za „odzyskanie pieniędzy” i nie przekazuj nowych informacji osobie, która sama powołuje się na wcześniejszy telefon. Każdy kolejny kontakt w tej sprawie weryfikuj bezpośrednio w banku lub u właściwych służb, korzystając z numeru znalezionego niezależnie.
Najbezpieczniejszy schemat po podejrzanym połączeniu jest prosty: zakończ kontakt, sprawdź rachunek przez oficjalny kanał, poinformuj bank o przebiegu rozmowy i wykonaj jego zalecenia dotyczące blokady lub zmiany zabezpieczeń. Jeżeli nie podałeś danych i nie zatwierdziłeś żadnej operacji, również zgłoś telefon — pozwoli to bankowi rozpoznać powtarzający się sposób działania.
Prosta zasada postępowania na co dzień — jak uodpornić się na presję?
Ochrona przed wyłudzeniami nie wymaga specjalistycznej wiedzy technicznej. Opiera się na wdrożeniu jednego nawyku decyzyjnego oraz odpowiedniej konfiguracji aplikacji bankowej, które skutecznie odcinają przestępcom drogę do Twoich oszczędności.
Szybka checklista przy każdym niespodziewanym telefonie
Gdy na ekranie wyświetla się numer banku lub dzwoni osoba przedstawiająca się jako konsultant, zastosuj prosty schemat weryfikacji:
- Przerwij rozmowę bez tłumaczenia się — masz pełne prawo rozłączyć się w dowolnym momencie, nawet jeśli rozmówca twierdzi, że sprawa jest pilna.
- Odczekaj kilka sekund — upewnij się, że połączenie zostało całkowicie zakończone przed wykonaniem kolejnego kroku.
- Zaloguj się do aplikacji bankowej samodzielnie — sprawdź, czy w sekcji komunikatów lub historii operacji widnieje jakikolwiek alert.
- Wybierz numer infolinii z oficjalnego źródła — zadzwoń do banku wyłącznie poprzez przycisk kontaktowy w aplikacji lub numer zapisany z karty płatniczej.
Ustawienia aplikacji, które zwiększają bezpieczeństwo
Równolegle warto zadbać o prewencję techniczną w samej bankowości elektronicznej. Wystarczy kilka prostych zmian w ustawieniach profilu:
- Dostosuj limity dziennych transakcji — ustaw maksymalne kwoty przelewów, transakcji kartą i wypłat na poziomie odpowiadającym Twoim codziennym potrzebom. W razie potrzeby limit można szybko podnieść w aplikacji.
- Włącz powiadomienia PUSH — autoryzacja mobilna pozwala dokładnie przeczytać w treści powiadomienia, jakiej operacji dotyczy zatwierdzenie (kwota, odbiorca, rodzaj dyspozycji).
- Weryfikuj listę zaufanych urządzeń — regularnie sprawdzaj w ustawieniach prywatności, jakie telefony lub komputery mają zapamiętany dostęp do Twojego konta i usuwaj te, z których już nie korzystasz.
Ostateczna rekomendacja sprowadza się do prostej reguły: to Ty decydujesz, kiedy i jak kontaktujesz się ze swoim bankiem. Odrzucenie połączenia przychodzącego i samodzielne wywołanie kontaktu nie powoduje utraty bezpieczeństwa środków, lecz stanowi najskuteczniejszą tarczę przed manipulacją.
Najczęściej zadawane pytania (FAQ)
Czy bank może poprosić przez telefon o kod SMS lub kod BLIK?
Nie. Nie podawaj przez telefon kodów SMS, kodów BLIK, PIN-u, haseł ani innych danych autoryzacyjnych.
Co zrobić, gdy dzwoniący zna moje dane?
Nie potwierdzaj kolejnych informacji. Zakończ rozmowę i samodzielnie skontaktuj się z bankiem przez oficjalny kanał.
Czy numer infolinii wyświetlony na ekranie potwierdza, że dzwoni bank?
Nie. Numer może zostać sfałszowany za pomocą spoofingu. Nie oddzwaniaj na numer z historii połączeń, lecz znajdź oficjalny numer samodzielnie.
Czy mogę kliknąć link otrzymany podczas rozmowy z rzekomym pracownikiem banku?
Nie klikaj w taki link. Może prowadzić do fałszywej strony logowania albo nakłaniać do instalacji programu zdalnego pulpitu.
Co zrobić, jeśli zatwierdziłem nieznaną operację?
Natychmiast skontaktuj się z bankiem oficjalnym kanałem i opisz dokładnie, co zostało zatwierdzone. Niezwłocznie przerwij kontakt z dzwoniącym.
Źródła
- [1] Komisja Nadzoru Finansowego – Vishing ↑
- [2] Policja.pl – Bankowcy dla Cyberedukacji: Spoofing – czy to na pewno telefon z banku? ↑
- [3] Komisja Nadzoru Finansowego – Cyberoszustwa – Porady ↑
