Oszustwo „na pracownika banku” i „na BIK”

Redakcja: Andrew Pickett · Opublikowano 4.11.2026 · Zasady redakcyjne

Dzwoni „konsultant z działu bezpieczeństwa banku”. Na wyświetlaczu masz numer infolinii, który znasz z odwrotu karty. Rozmówca mówi spokojnie i fachowo: ktoś właśnie próbuje wziąć pożyczkę na Twoje dane albo wykonać podejrzany przelew, ale da się to jeszcze zatrzymać – wystarczy współpracować. To oszustwo „na pracownika banku”. Poniżej rozkładamy je na części – na podstawie komunikatów KNF, Policji, CERT Polska i Związku Banków Polskich oraz przepisów ustaw.

Jak wygląda scenariusz krok po kroku

Komisja Nadzoru Finansowego nazywa ten schemat vishingiem i rozpisuje go na cztery kroki. Najpierw telefon, często poprzedzony SMS-em „uwiarygadniającym”: oszust informuje o próbie przelewu z Twojego rachunku albo o pożyczce krótkoterminowej zaciągniętej na Twoje dane. Potem „przełącza” Cię do działu technicznego lub bezpieczeństwa i prosi o zainstalowanie programu do zdalnego pulpitu; jeśli odmawiasz, pojawia się przelew na „rachunek techniczny”, kod BLIK albo wypłata w bankomacie i wpłata we wpłatomacie. Gdy zdalny pulpit działa, oszust prosi o zalogowanie do bankowości, widzi wszystko, co wpisujesz, i może zaciągnąć kredyt w Twoim imieniu, prosząc Cię o „autoryzację” kodem z SMS-a. Na końcu pieniądze trafiają na rachunek słupa, za granicę albo na giełdę kryptowalut (KNF, schemat „Vishing”).

Policja opisała taki przebieg w komunikacie z 23 sierpnia 2024 r.: do kobiety zadzwonił mężczyzna z numeru takiego samego jak numer jej banku, „pracownik” kazał generować kody BLIK, rzekomo po to, by zabezpieczyć pieniądze, a potem wpłacać oszczędności na „nowe konta”. Straty przekroczyły 90 tys. zł; zatrzymany członek grupy wypłacał pieniądze w bankomatach na podstawie podawanych mu kodów (Policja.pl).

Wariant „na BIK” i „pożyczka na Twoje dane”

Bywa, że pierwszy telefon wcale nie jest „z banku”. Związek Banków Polskich ostrzegał 11 grudnia 2025 r. przed wersją, w której najpierw dzwoni „firma pożyczkowa” i urzędowym tonem informuje, że ktoś zaciągnął pożyczkę na Twoje dane, a sprawę zgłoszono już do banku i na policję. Po chwili dzwoni drugi oszust – „pracownik bezpieczeństwa banku” – i przekonuje, że środki trzeba „zabezpieczyć” przelewem na rachunek techniczny. Dla uwiarygodnienia na Twój e-mail trafiają sfałszowana legitymacja pracownika, „Protokół zabezpieczenia środków” i „Zawiadomienie o wszczęciu postępowania karnego przez Policję”; przez cały czas oszuści trzymają Cię na linii i popychają do kolejnych transakcji (ZBP, komunikat z 11 grudnia 2025 r.). CERT Polska już w lutym 2023 r. opisywał dzwoniących, którzy podają się za pracowników banku, Biura Informacji Kredytowej lub KNF i twierdzą, że właśnie w tej chwili ktoś próbuje złożyć wniosek kredytowy na dane rozmówcy; namawiają do instalacji programu AnyDesk, a mając zdalny dostęp, sami zaciągają szybką pożyczkę na dane ofiary i wyprowadzają również te pieniądze (CERT Polska, 14 lutego 2023 r.).

Dlaczego na wyświetlaczu jest numer banku

Bo identyfikator dzwoniącego da się podrobić. Urząd KNF w komunikacie z 16 października 2024 r. pisze wprost, że przestępcy „mogą podszyć się pod dowolny numer telefonu” – oszuści dzwonią nawet z prawdziwych numerów urzędu, udając jego pracowników (KNF, 16 października 2024 r.). Centralne Biuro Zwalczania Cyberprzestępczości i FinCERT.pl przypominają, że „wyświetlony numer telefonu lub nazwa banku nie są gwarancją, że rozmawiasz z prawdziwym przedstawicielem banku” (CBZC, 7 grudnia 2022 r.). Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej nazywa tę technikę CLI spoofingiem: to nieuprawnione posłużenie się numerem wskazującym na inny podmiot, „w szczególności w celu wywołania strachu, poczucia zagrożenia lub nakłonienia odbiorcy” do przekazania danych, rozporządzenia mieniem lub instalacji oprogramowania (art. 3 ust. 1 pkt 3; Dz.U. 2023 poz. 1703). Jak to działa technicznie, wyjaśniamy w poradniku o spoofingu. Z tego samego powodu sprawdzenie numeru w naszej wyszukiwarce pokaże Ci, komu numer przydzielono i co zgłaszali inni – ale nie udowodni, kto naprawdę dzwonił.

Czego bank nigdy nie zrobi

Listy publikowane przez KNF, banki i Policję są zgodne. Pracownik banku nigdy nie poprosi Cię o:

• login i hasło do bankowości internetowej ani kod z SMS-a lub aplikacji autoryzujący operację (KNF);
• dane karty – numer, datę ważności, kod CVV/CVC (KNF) – ani jej PIN (PKO Bank Polski);
• kod BLIK – służy do zainicjowania transakcji, którą zatwierdzasz w aplikacji; nie udostępniaj go nikomu (BLIK, „Dobre nawyki”);
• przelew na „rachunek techniczny” lub „bezpieczne konto” – ZBP pisze, że „prawdziwy doradca nigdy o to nie poprosi” (ZBP);
• zainstalowanie jakiegokolwiek oprogramowania ani przejęcie kontroli nad Twoim komputerem – CERT Polska: „pracownicy banku nigdy tego nie robią” (CERT Polska, „Fałszywi konsultanci”);
• pełne dane osobowe, numer PESEL, serię i numer dowodu „w celu weryfikacji” (KNF).

Czytaj też każdy SMS i każde powiadomienie z aplikacji w trakcie takiej rozmowy: z ich treści może wynikać, że właśnie zatwierdzasz przelew albo dodajesz nowe zaufane urządzenie do swojego konta (CBZC).

Jak zweryfikować rozmówcę w pół minuty

1. Rozłącz się. Nie tłumacz się i nie negocjuj – oszust jest w tej rozmowie zawodowcem, Ty nie.
2. Odczekaj co najmniej 30 sekund i wybierz numer infolinii ręcznie, z odwrotu karty lub z oficjalnej strony banku. Nie oddzwaniaj z listy połączeń (CBZC). CERT Polska odradza też oddzwanianie na wyświetlony numer, bo często należy on do przypadkowej, niczego nieświadomej osoby (CERT Polska).
3. Skorzystaj z weryfikacji w aplikacji, jeśli Twój bank ją oferuje. W PKO Banku Polskim wystarczy powiedzieć rozmówcy, że chcesz go zweryfikować w aplikacji mobilnej PKO: w aplikacji pojawia się powiadomienie z danymi pracownika, które porównujesz z tym, co mówi (imię, nazwisko, stanowisko, miejsce, z którego dzwoni); jeśli odmawia albo podaje błędne dane, rozłączasz się i dzwonisz na infolinię (PKO Bank Polski). CERT Polska potwierdza, że taki mechanizm ma część banków (CERT Polska).
4. „Dzwonię z KNF”? Urząd podkreśla, że nadzór „nigdy nie wiąże się z telefonicznym udziałem pracowników UKNF w bezpośrednich relacjach z klientami ani w transakcjach finansowych” (KNF, 13 lutego 2024 r.). Ten sam mechanizm ma oszustwo „na policjanta”.

Zastrzeż PESEL i włącz alerty

Strach przed kredytem wziętym na Twoje dane można realnie zmniejszyć. Od 1 czerwca 2024 r. instytucje finansowe mają obowiązek sprawdzać przy zawieraniu umowy kredytu lub pożyczki, czy Twój numer PESEL jest zastrzeżony. Zastrzeżenie włączysz bezpłatnie i od ręki w serwisie mObywatel.gov.pl (logowanie profilem zaufanym, e-dowodem albo przez bankowość) lub w dowolnym urzędzie gminy. Z zastrzeżonym numerem nadal wypłacisz gotówkę z bankomatu, zlecisz przelew czy zrealizujesz receptę, a przed własnym wnioskiem kredytowym zastrzeżenie cofasz – bezterminowo albo z datą ponownego zastrzeżenia (gov.pl, „Zastrzeż swój numer PESEL”).

Drugie narzędzie to Alerty BIK – płatna usługa Biura Informacji Kredytowej. Gdy na Twoje dane składany jest wniosek kredytowy, dostajesz SMS z nazwą instytucji, która przekazała dane do BIK, i powodem zapytania. Jeśli to nie Ty, BIK radzi zadzwonić pod 22 348 4444; przekaże też wzór dokumentu na policję (BIK, „Alerty BIK”; BIK, „Pomoc”). BIK zaznacza, że zastrzeżenie PESEL blokuje finansowanie tylko wtedy, gdy jest aktywne, a przy zakupach na raty trzeba je wyłączyć – dlatego traktuje alerty jako uzupełnienie, nie zamiennik.

Podałeś dane albo wysłałeś pieniądze? Działaj w tej kolejności

1. Bank – natychmiast. Zadzwoń na infolinię z karty i poproś o zablokowanie wszystkich kanałów dostępu (ZBP, kampania z 8 lutego 2024 r.) oraz zmień hasło do bankowości internetowej (CERT Polska).
2. Policja lub prokuratura. Zawiadomienie złożysz w dowolnej jednostce policji albo w prokuraturze – ustnie do protokołu lub pisemnie, bezpłatnie i „jak najszybciej” (gov.pl, „Zgłoś przestępstwo”). Na 112 dzwoń tylko w sytuacji nagłej, wymagającej natychmiastowej interwencji służb – numer alarmowy nie służy do zasięgania porad (gov.pl, MSWiA o numerze 112).
3. CERT Polska. Podejrzany SMS z linkiem prześlij na 8080 – numer działa na podstawie art. 5 ustawy z 2023 r., a operator ma zapewnić, że wysyłka jest bezpłatna (Dz.U. 2023 poz. 1703). Pozostałe incydenty, w tym sam telefon od fałszywego konsultanta, zgłoś przez formularz incydent.cert.pl, wybierając kategorię „Osoba fizyczna / inne podmioty”.
4. PESEL i BIK. Jeśli oszust mógł poznać Twoje dane, zastrzeż PESEL i sprawdź w BIK, czy nie złożono wniosków kredytowych na Twoje nazwisko.

Co zachować do zgłoszenia: numer, z którego dzwoniono, godziny połączeń, zrzuty ekranu SMS-ów i e-maili z „dokumentami”, numery rachunków, na które przelałeś pieniądze, potwierdzenia przelewów i nazwę aplikacji, którą kazano Ci zainstalować. W zawiadomieniu opisujesz, co się stało, jak, kiedy i gdzie (gov.pl). Zostaw też relację przy numerze w naszej wyszukiwarce – bez swoich danych i bez nazwisk – żeby ostrzec kolejne osoby.

Co mówi prawo

Oszustwo z art. 286 § 1 Kodeksu karnego – doprowadzenie innej osoby do niekorzystnego rozporządzenia mieniem przez wprowadzenie jej w błąd – jest zagrożone karą pozbawienia wolności od 6 miesięcy do lat 8; w wypadku mniejszej wagi grozi grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2 (Kodeks karny, Dz.U. 2026 poz. 1342). Ustawa z 28 lipca 2023 r. dodała osobne przestępstwa: kto przy wywoływaniu połączenia głosowego posługuje się cudzym numerem, aby podszyć się pod inny podmiot i nakłonić odbiorcę do przekazania danych, rozporządzenia mieniem, instalacji oprogramowania lub przekazania haseł, podlega karze od 3 miesięcy do 5 lat pozbawienia wolności (art. 31); tak samo karany jest smishing w SMS-ach i komunikatorach (art. 30). Operatorzy muszą blokować połączenia ze sfałszowanym numerem albo ukrywać taki numer przed odbiorcą (art. 16), a Prezes UKE prowadzi wykaz numerów służących wyłącznie do odbierania połączeń: banki, SKOK-i, firmy inwestycyjne, instytucje płatnicze czy zakłady ubezpieczeń mogą wpisać do niego numery infolinii, a operatorzy w ciągu 3 dni od wpisu blokują połączenia przychodzące z takich numerów (art. 17; Dz.U. 2023 poz. 1703). Informacje w tej sekcji mają charakter ogólny i nie zastępują porady prawnej w konkretnej sprawie.

W danych tego serwisu

W danych tego serwisu – a nie w statystyce krajowej – próby oszustwa są najczęściej zgłaszaną kategorią. W ostatnich 30 pełnych dniach (5 października – 3 listopada 2026 r.) użytkownicy przesłali 90 zgłoszeń, z których po moderacji opublikowaliśmy 38; kategorię „Próba oszustwa” wybrano w 52 przesłanych zgłoszeniach, a 18 z nich trafiło na strony numerów. W opublikowanych relacjach powtarza się motyw telefonów o rzekomej pożyczce zaciągniętej na dane rozmówcy i o weryfikacji w BIK. Zgłoszenia czyta i zatwierdza człowiek według zasad opisanych w metodologii, a bieżące trendy pokazuje barometr spamu. Pamiętaj: wyświetlony numer mógł zostać podrobiony, więc zgłoszenia przy numerze mówią o tym, kto się nim posłużył, a nie o jego właścicielu. Fałszywe SMS-y opisujemy w poradniku o smishingu, a filtry i blokady – w tekście o blokowaniu niechcianych połączeń.

Źródła

• KNF – „Vishing” (schematy oszustw, aktualizacja 26 stycznia 2024 r.) – cztery kroki scenariusza i lista rzeczy, o które pracownik banku nigdy nie prosi.
• KNF – komunikat „Uwaga! Oszuści wykorzystują numery telefonów UKNF” (16 października 2024 r.) – „przestępcy mogą podszyć się pod dowolny numer telefonu”.
• KNF – komunikat o oszustach wykorzystujących numery UKNF (13 lutego 2024 r.) – nadzór nie wiąże się z telefonicznym udziałem pracowników UKNF w relacjach z klientami.
• Policja.pl – „Policjanci zatrzymali oszusta działającego metodą «na pracownika banku»” (23 sierpnia 2024 r.) – przebieg sprawy, kody BLIK, straty ponad 90 tys. zł.
• CBZC i FinCERT.pl – „Zagrożenie spoofingiem” (7 grudnia 2022 r.) – odczekaj 30 sekund, wybierz numer ręcznie, czytaj powiadomienia, numer na wyświetlaczu nie jest gwarancją.
• ZBP – „Kolejne oszustwo na «pracownika banku»” (11 grudnia 2025 r.) – wariant z „firmą pożyczkową”, sfałszowane dokumenty, „bezpieczne konto”.
• ZBP – „Uważaj na połączenia z numerów telefonów podszywających się pod banki!” (8 lutego 2024 r.) – po oszustwie natychmiast kontakt z bankiem i blokada wszystkich kanałów dostępu.
• CERT Polska – „Ataki socjotechniczne” (14 lutego 2023 r.) – podszywanie się pod bank, BIK i KNF, AnyDesk, pożyczka na dane ofiary, kroki po wyłudzeniu, 8080 i incydent.cert.pl.
• CERT Polska – „Fałszywi konsultanci” (baza wiedzy) – pracownicy banku nie przejmują kontroli nad komputerem; część banków weryfikuje konsultanta w aplikacji.
• incydent.cert.pl – formularz zgłoszenia do CSIRT NASK – kategoria „Osoba fizyczna / inne podmioty”.
• gov.pl – „Zastrzeż swój numer PESEL lub cofnij zastrzeżenie” – obowiązek weryfikacji od 1 czerwca 2024 r., bezpłatna usługa, mObywatel lub urząd gminy, cofnięcie czasowe.
• BIK – „Alerty BIK” i BIK – „Pomoc” – treść alertu, numer 22 348 4444, relacja do zastrzeżenia PESEL.
• BLIK – „Dobre nawyki” – kod BLIK inicjuje transakcję zatwierdzaną w aplikacji; nie udostępniaj go nikomu.
• PKO Bank Polski – „Weryfikacja pracownika banku w Twojej aplikacji mobilnej PKO” – przebieg weryfikacji; dane karty i PIN, o które pracownik banku nigdy nie prosi.
• gov.pl – „Zgłoś przestępstwo” – gdzie i jak złożyć zawiadomienie, co opisać.
• gov.pl (MSWiA) – „Kiedy dzwonić i NIE dzwonić na numer alarmowy 112?” – 112 tylko w nagłych sytuacjach.
• Dz.U. 2023 poz. 1703 – ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej – art. 3 (definicja CLI spoofingu), art. 5 (numer 8080), art. 16–17 (blokowanie, wykaz numerów), art. 30–31 (kary).
• Dz.U. 2026 poz. 1342 – Kodeks karny, tekst jednolity (obwieszczenie z 2 października 2026 r.) – art. 286 § 1 i § 3 (oszustwo, wymiar kary).

Źródła sprawdzone 4 listopada 2026 r.