- Jeśli kliknąłeś link z SMS-a „od banku”, „od kuriera” albo „od kupującego z OLX” i niczego nie wpisałeś ani nie zainstalowałeś, zwykle wystarczy zamknąć stronę i zgłosić SMS na bezpłatny numer 8080.
- Jeśli wpisałeś dane karty (numer, datę, CVV), zastrzeż kartę od razu: w aplikacji banku albo pod numerem +48 828 828 828, który działa całą dobę i bezpłatnie.
- Jeśli wpisałeś login, hasło albo kod SMS, zadzwoń do banku i zablokuj bankowość, a hasła zmień z innego, czystego urządzenia. Liczą się minuty: według CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania SMS-a.
- Za transakcję, której nie zleciłeś, bank musi oddać pieniądze do końca następnego dnia roboczego po zgłoszeniu (art. 46 ust. 1). Po zgłoszeniu nie odpowiadasz za kolejne transakcje (art. 46 ust. 4).
- UOKiK przypomina, że wpisanie kodu to nie zgoda na transakcję: autoryzacja i uwierzytelnienie to dwie różne rzeczy. Bank musi udowodnić, że transakcję zleciłeś Ty.
Spis treści · 9 części
Ten poradnik jest dla osoby, która właśnie kliknęła w link z SMS-a i ma złe przeczucie. Może to była „dopłata do paczki”, „blokada konta w banku” albo „kupujący z OLX”, który przysłał link do „odbioru płatności”. Nie musisz od razu panikować, ale musisz działać w dobrej kolejności. To, co zrobisz w najbliższych 30 minutach, często decyduje o tym, czy pieniądze w ogóle znikną z konta.
Najpierw lista kroków z czasem. Potem tabela: co podałeś na fałszywej stronie i co z tym zrobić. Na końcu wyjaśniamy, kiedy bank musi oddać pieniądze i jak zgłosić sprawę do CERT Polska i na policję. Fakty sprawdziliśmy 15.10.2026 w raporcie rocznym CERT Polska za 2025 rok, raporcie CSIRT KNF, komunikacie UOKiK i w tekście jednolitym ustawy o usługach płatniczych.
Kliknąłem w link z SMS-a: co robić w pierwszych 30 minutach?
Zrób te kroki w tej kolejności. Nie wszystkie będą Ci potrzebne, bo zależy to od tego, co wpisałeś na stronie. Ale żaden nie zaszkodzi, a pierwsze trzy mają największe znaczenie dla Twoich pieniędzy.
- Minuta 0–2: zamknij stronę i nic więcej nie wpisujNie dokańczaj formularza, nie odpisuj na SMS-a i nie dzwoń na numer z wiadomości. Jeśli strona kazała pobrać aplikację albo plik, nie otwieraj go. Jeśli już go zainstalowałeś, wyłącz internet w telefonie (tryb samolotowy) i przejdź do kroku 2.
- Minuta 2–10: zablokuj kartę i bankowośćNajszybciej zrobisz to w aplikacji banku: zastrzeżenie albo czasowa blokada karty to kilka kliknięć. Jeśli wpisałeś login, hasło albo kod SMS, zadzwoń na infolinię banku z numeru na karcie lub ze strony banku, nigdy z SMS-a. Kartę zastrzeżesz też całodobowo pod numerem +48 828 828 828 (System Zastrzegania Kart). Poproś o numer zgłoszenia.
- Minuta 10–15: sprawdź historię i ustawienia kontaPrzejrzyj ostatnie transakcje, także oczekujące (blokady na karcie). Sprawdź listę zaufanych urządzeń, limity i nowych odbiorców przelewów. Jeśli coś wyszło bez Twojej wiedzy, powiedz o tym konsultantowi od razu, w tej samej rozmowie.
- Minuta 15–20: zmień hasła z innego urządzeniaNajpierw do bankowości (jeśli bank jej nie zablokował) i poczty e-mail, potem do OLX, Allegro i innych serwisów, gdzie używasz tego samego hasła. CERT Polska zaleca zmianę haseł z urządzenia, co do którego nie podejrzewasz infekcji. Włącz logowanie dwuskładnikowe tam, gdzie się da.
- Minuta 20–25: zgłoś SMS i stronę do CERT PolskaPrzekaż podejrzany SMS bezpłatnie na numer 8080, a adres strony zgłoś przez formularz incydent.cert.pl albo w mObywatelu (usługa „Bezpiecznie w sieci”). Dzięki temu strona szybciej trafi na Listę Ostrzeżeń i operatorzy zablokują ją innym.
- Minuta 25–30: zabezpiecz dowodyZrób zrzuty ekranu SMS-a, strony (z adresem), rozmowy na OLX czy WhatsAppie i SMS-ów z banku. Zapisz godziny: kliknięcia, wpisania danych, zgłoszenia w banku. Nie kasuj niczego z telefonu.
- Tego samego dnia: policja i reklamacjaJeśli zniknęły pieniądze, złóż zawiadomienie na policji i pisemną reklamację w banku. Jeśli podałeś zdjęcie dowodu albo PESEL, zastrzeż dowód i PESEL w mObywatelu.
Oszuści, którzy mają już Twoje dane, często dzwonią chwilę później jako „dział bezpieczeństwa banku”. Mówią, że widzą podejrzaną transakcję, i proszą o kod, instalację aplikacji albo przelew na „bezpieczne konto”. CSIRT KNF opisuje dokładnie taki scenariusz wielokanałowy: SMS, potem telefon od rzekomego pracownika instytucji finansowej, potem link do fałszywego logowania. Rozłącz się i oddzwoń sam na numer z karty.
Co podałeś na fałszywej stronie i co z tym zrobić
Najważniejsze pytanie brzmi: jakie dane trafiły do oszusta. Od tego zależy, czy wystarczy zmiana hasła, czy trzeba zastrzegać kartę, dowód i PESEL. Tabela opiera się na rekomendacjach CERT Polska po phishingu i wycieku danych.
| Co wpisałeś lub zrobiłeś | Ryzyko | Co zrobić od razu |
|---|---|---|
| Tylko kliknąłeś, nic nie wpisałeś | niskie | Zamknij stronę, zgłoś SMS na 8080. Obserwuj konto przez kilka dni. |
| Numer karty, data ważności, CVV | wysokie | Zastrzeż kartę w aplikacji albo pod +48 828 828 828. Zastrzeżenie jest nieodwracalne, bank wyda nową kartę. |
| Kod 3D Secure z SMS-a albo potwierdzenie w aplikacji | wysokie | Zadzwoń do banku, zgłoś transakcję jako nieautoryzowaną, zastrzeż kartę. |
| Login i hasło do bankowości | wysokie | Zablokuj bankowość przez infolinię, sprawdź zaufane urządzenia i odbiorców, zmień hasło z innego urządzenia. |
| Kod SMS do „dodania urządzenia” albo „weryfikacji” | bardzo wysokie | Infolinia banku natychmiast: oszust mógł dodać swój telefon jako zaufane urządzenie. |
| Hasło do poczty, OLX, Allegro | średnie | Zmień hasło w tym serwisie i wszędzie, gdzie było takie samo. Wyloguj inne sesje. |
| Zdjęcie dowodu, numer dowodu, PESEL | średnie | Zastrzeż dowód i PESEL w mObywatelu, rozważ nowy dowód. |
| Zainstalowana aplikacja z linku (plik APK, „aktualizacja”) | bardzo wysokie | Tryb samolotowy, infolinia banku, odinstaluj aplikację. Hasła zmieniaj z innego urządzenia, a telefon przywróć do ustawień fabrycznych. |
Jeśli nie pamiętasz dokładnie, co wpisałeś, przyjmij gorszy wariant. Zastrzeżenie karty kosztuje Cię kilka dni bez plastiku, a ustawa zabrania bankowi pobierania za samo zgłoszenie opłat (art. 43 ust. 1 pkt 4a). Za nową kartę bank może pobrać najwyżej tyle, ile bezpośrednio kosztuje jej wydanie.
Kliknąłem, ale nic nie wpisałem. Czy to groźne?
W większości przypadków samo otwarcie strony nie daje oszustowi dostępu do Twojego konta. Fałszywa strona banku czy kuriera to zwykle tylko formularz: działa dopiero wtedy, gdy coś w niego wpiszesz. Wyjątkiem jest sytuacja, w której strona namówiła Cię do pobrania i zainstalowania pliku. Wtedy traktuj telefon jak zainfekowany. Kolejność blokowania aplikacji, kart i karty SIM jest wtedy podobna jak po utracie urządzenia: opisujemy ją w tekście o kradzieży telefonu z aplikacją bankową.
Jest też drugi, mniej oczywisty skutek kliknięcia. Oszust wie, że Twój numer jest aktywny i że reagujesz na SMS-y. Spodziewaj się kolejnych wiadomości i telefonów, także „z banku” czy „z policji”. CERT Polska zauważa, że w 2025 roku rosła liczba oszustw, w których SMS jest tylko przynętą do nawiązania rozmowy, a nie linkiem do strony.
Spójrz na adres w historii przeglądarki. Oszuści używają literówek i nietypowych końcówek (np. dodatkowe słowo przed nazwą banku albo inna domena niż .pl). Prawdziwy bank nie wysyła linków do logowania w SMS-ach. Jeśli masz wątpliwości, przekaż SMS na 8080: CERT Polska sprawdzi adres i w razie potrzeby doda go do Listy Ostrzeżeń.
Fałszywy link z OLX: „kupujący już zapłacił, odbierz pieniądze”
Schemat na OLX, Vinted czy Allegro Lokalnie jest od lat podobny. Wystawiasz przedmiot, „kupujący” pisze na WhatsAppie albo w komunikatorze, że już zapłacił i wysłał link do odbioru pieniędzy. Strona wygląda jak OLX, InPost albo bank. Prosi o dane karty „do zwrotu”, a potem o kod z SMS-a „do potwierdzenia wypłaty”. W rzeczywistości kod zatwierdza płatność z Twojej karty albo dodanie karty do portfela oszusta.
Prosta zasada pozwala to rozpoznać: żeby otrzymać pieniądze, nie musisz podawać CVV ani żadnego kodu z banku. Te dane służą do płacenia, nie do odbierania przelewów. Jeśli strona „wypłaty” prosi o kod, to strona płatności.
Pod kogo najczęściej podszywali się oszuści w 2025 roku
Liczba incydentów phishingowych zarejestrowanych przez CERT Polska w wybranych kampaniach
Te liczby to tylko incydenty, które ktoś zgłosił. Skala problemu jest większa: CERT Polska przyjął w 2025 roku 295 169 zgłoszeń podejrzanych SMS-ów, a operatorzy na podstawie wzorców CERT zablokowali 1 883 610 złośliwych wiadomości. CSIRT KNF, zespół bezpieczeństwa przy Komisji Nadzoru Finansowego, zidentyfikował w 2025 roku ponad 41 tys. domen phishingowych związanych z sektorem finansowym.
Jeśli po takiej akcji z karty zeszła płatność, której nie zlecałeś, zgłoś ją jako nieautoryzowaną. Gdy płaciłeś kartą w sklepie, który nie dostarczył towaru, drogą jest chargeback. Opisaliśmy go w poradniku chargeback i reklamacja BLIK: wzór pisma.
Czy bank odda pieniądze po phishingu?
To zależy od tego, kto wykonał transakcję. Jeśli przelew albo płatność kartą zrobił oszust Twoimi danymi, to zgodnie z ustawą o usługach płatniczych jest to transakcja nieautoryzowana: nie wyraziłeś na nią zgody. Jeśli przelew zrobiłeś sam, bo dałeś się namówić, transakcja jest co do zasady autoryzowana, a o zwrot jest dużo trudniej.
| Przepis | Co oznacza po phishingu |
|---|---|
| art. 46 ust. 1 | Bank zwraca kwotę transakcji nieautoryzowanej niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu. Odmówić może tylko przy udokumentowanym podejrzeniu oszustwa z Twojej strony i po pisemnym zawiadomieniu organów ścigania. |
| art. 45 ust. 1–2 | To bank musi udowodnić, że transakcja była autoryzowana. Samo zarejestrowane użycie karty czy kodu nie wystarcza do wykazania autoryzacji ani rażącego niedbalstwa. |
| art. 46 ust. 3 | Odpowiadasz w pełnej wysokości, jeśli doprowadziłeś do transakcji umyślnie albo przez rażące niedbalstwo w ochronie danych. |
| art. 46 ust. 4 | Po zgłoszeniu nie odpowiadasz za kolejne nieautoryzowane transakcje (chyba że działałeś umyślnie). |
| art. 42 ust. 1 pkt 2 | Masz obowiązek niezwłocznie zgłosić nieuprawniony dostęp do karty lub danych. Szybkie zgłoszenie chroni Cię przed zarzutem zwłoki. |
| art. 44 ust. 2 | Na zgłoszenie nieautoryzowanej transakcji masz najwyżej 13 miesięcy od obciążenia rachunku. |
Banki często odmawiają zwrotu z argumentem, że klient „sam wpisał kod”. UOKiK zakwestionował taką praktykę. W komunikacie z 7.09.2026 o decyzjach wobec Aliora, mBanku, BNP Paribas i Millennium urząd napisał wprost: „Autoryzacja i uwierzytelnienie to nie to samo”. Samo wpisanie kodu czy zatwierdzenie w aplikacji nie przesądza, że świadomie zgodziłeś się na konkretną transakcję. Szczegóły decyzji, wyroki sądów i wzór reklamacji opisaliśmy w poradniku oszustwo na BLIK lub „na pracownika banku”: jak odzyskać pieniądze.
Gdy SMS z banku jasno pokazywał kwotę i odbiorcę, a Ty mimo to wpisałeś kod, bank może argumentować rażące niedbalstwo. Dlatego w reklamacji opisz dokładnie, co widziałeś na ekranie i co mówiła fałszywa strona. Zachowaj treść SMS-ów z banku: to najważniejszy dowód dla obu stron.
Jak zgłosić phishing do CERT Polska i na policję
Zgłoszenie do CERT Polska nie odzyska Twoich pieniędzy, ale chroni innych i bywa przydatnym dowodem. Zgłoszenie na policję jest potrzebne, gdy straciłeś pieniądze albo ktoś może użyć Twoich dokumentów.
- SMS na 8080Przekaż podejrzany SMS w całości na numer 8080. Usługa jest bezpłatna i działa od listopada 2023 roku. CERT Polska tworzy na tej podstawie wzorce, a operatorzy w ciągu 5 minut zaczynają blokować pasujące wiadomości.
- Formularz incydent.cert.plTu zgłosisz fałszywą stronę, e-mail albo opiszesz cały incydent. Złośliwą domenę możesz zgłosić osobno pod adresem incydent.cert.pl/domena.
- mObywatel, usługa „Bezpiecznie w sieci”Zgłoszenie złośliwej strony albo oszustwa prosto z telefonu, bez szukania formularza.
- PolicjaZawiadomienie o przestępstwie złożysz na dowolnym komisariacie. Zabierz zrzuty ekranu, numer zgłoszenia z banku i historię transakcji. Poproś o potwierdzenie przyjęcia zawiadomienia: przyda się w reklamacji.
- Reklamacja w bankuNawet jeśli zgłosiłeś sprawę telefonicznie, złóż pisemną reklamację i powołaj się na art. 46 ust. 1 ustawy o usługach płatniczych. Na żądanie bank musi dać Ci dowód zgłoszenia (art. 43 ust. 1 pkt 4).
Podałem zdjęcie dowodu albo PESEL. Co dalej?
Fałszywe strony „weryfikacji konta” coraz częściej proszą o zdjęcie dowodu albo selfie z dokumentem. Z takimi danymi oszust może próbować założyć konto lub wziąć pożyczkę na Twoje nazwisko. CERT Polska zaleca w takiej sytuacji niezwłoczne zastrzeżenie dokumentu i wyrobienie nowego oraz zastrzeżenie numeru PESEL. Gdy w BIK pojawi się już kredyt, którego nie brałeś, sprawdź, jak udowodnić bankowi wyłudzenie kredytu. Czym zastrzeżenie różni się od unieważnienia i jak je cofnąć, wyjaśniamy w tekście o zastrzeżeniu dowodu osobistego w mObywatelu lub w banku.
Oba zastrzeżenia zrobisz w aplikacji mObywatel. Zastrzeżony PESEL banki muszą sprawdzić przed zawarciem umowy kredytu lub rachunku. Jak to działa i jak cofnąć zastrzeżenie, gdy sam będziesz chciał otworzyć konto, opisaliśmy w tekście zastrzeżenie PESEL a założenie konta w banku.
- Kliknąłeś, ale nic nie wpisałeś ani nie zainstalowałeś
- Podałeś dane karty, ale zastrzegłeś ją, zanim zeszła jakakolwiek płatność
- Podałeś hasło do OLX czy poczty i zmieniłeś je, a w historii nie ma obcych logowań
- Z konta albo karty zeszły pieniądze bez Twojej zgody
- Oszust dodał swoje urządzenie albo zmienił limity
- Podałeś zdjęcie dowodu lub PESEL i widzisz zapytania kredytowe, których nie składałeś
- Zainstalowałeś aplikację z linku
Najczęstsze pytania
Kliknąłem w link z SMS-a, co robić?
Zamknij stronę i nic więcej nie wpisuj. Jeśli podałeś dane karty, zastrzeż ją w aplikacji albo pod numerem +48 828 828 828. Jeśli podałeś login, hasło lub kod SMS, zadzwoń do banku i zablokuj bankowość. Na koniec przekaż SMS na bezpłatny numer 8080 do CERT Polska.
Czy samo kliknięcie w link jest niebezpieczne?
Zwykle nie, jeśli niczego nie wpisałeś i nie zainstalowałeś. Fałszywa strona działa dopiero wtedy, gdy podasz na niej dane. Groźna jest instalacja pliku z linku, a także kolejne wiadomości i telefony, bo oszust wie, że Twój numer jest aktywny.
Podałem dane karty na fałszywej stronie. Czy bank odda pieniądze?
Jeśli płatność wykonał oszust, jest to transakcja nieautoryzowana i bank powinien zwrócić pieniądze do końca następnego dnia roboczego po zgłoszeniu (art. 46 ust. 1 ustawy o usługach płatniczych). Bank może później próbować wykazać rażące niedbalstwo, ale ciężar dowodu spoczywa na nim. Zgłoś sprawę jak najszybciej.
Jak zgłosić phishing do CERT Polska?
Podejrzany SMS przekaż na bezpłatny numer 8080. Fałszywą stronę lub e-mail zgłoś przez formularz incydent.cert.pl albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. CERT Polska analizuje zgłoszenie i może dodać stronę do Listy Ostrzeżeń.
Czy kupujący z OLX może wysłać link do odbioru pieniędzy?
Takie linki to typowe oszustwo. Do otrzymania pieniędzy nie potrzebujesz podawać kodu CVV ani kodu z SMS-a od banku, bo te dane służą do płacenia. CERT Polska zarejestrował w 2025 roku 28 462 incydenty z nieuprawnionym użyciem wizerunku OLX.
Ile mam czasu na zgłoszenie nieautoryzowanej transakcji?
Ustawa daje 13 miesięcy od obciążenia rachunku, ale masz obowiązek zgłosić sprawę niezwłocznie. Po zgłoszeniu nie odpowiadasz za kolejne nieautoryzowane transakcje. Zwłoka może zostać uznana za Twoje zaniedbanie, więc zgłaszaj od razu.
Źródła
- CERT Polska, raport roczny 2025 (statystyki incydentów, Lista Ostrzeżeń, numer 8080, rekomendacje po wycieku danych), dostęp 15.10.2026: cert.pl
- CERT Polska, formularz zgłoszenia incydentu: incydent.cert.pl
- CSIRT KNF, „Krajobraz cyberzagrożeń w polskim sektorze finansowym – 2026”, dostęp 15.10.2026: knf.gov.pl
- UOKiK, „Nieautoryzowane transakcje płatnicze: cztery banki zmieniają praktyki po decyzjach Prezesa UOKiK”, 7.09.2026: uokik.gov.pl
- Ustawa o usługach płatniczych, t.j. Dz.U. 2026 poz. 623, art. 42–46, dostęp 15.10.2026: api.sejm.gov.pl
- System Zastrzegania Kart, numer +48 828 828 828: zastrzegam.pl
- Zastrzeżenie numeru PESEL: gov.pl
Stan na 15.10.2026. Przepisy sprawdzone w tekście jednolitym ustawy o usługach płatniczych, statystyki z raportu rocznego CERT Polska za 2025 rok i raportu CSIRT KNF. Tekst ma charakter informacyjny i nie zastępuje porady prawnej. W razie utraty pieniędzy zgłoś sprawę bankowi i policji jak najszybciej.
