Oszustwa internetowe i zmiany w prawie – porady i ostrzeżenia

Oszustwa internetowe stają się coraz bardziej przekonujące. Fałszywa wiadomość może wyglądać jak komunikat banku, firmy kurierskiej, urzędu, platformy sprzedażowej albo osoby, którą znamy. Przestępcy kopiują wygląd popularnych stron, wykorzystują przejęte konta w mediach społecznościowych oraz wywierają presję, aby ofiara podjęła decyzję bez spokojnego sprawdzenia sytuacji.

CERT Polska wskazuje, że wiedza o metodach działania przestępców i umiejętność rozpoznawania zagrożeń pozostają jednymi z najskuteczniejszych sposobów ochrony. Jednocześnie UOKiK ostrzega przed fałszywymi sklepami, podmiotami podszywającymi się pod polskie marki oraz nieuczciwymi pośrednikami ukrywającymi prawdziwe pochodzenie produktów.

Zmieniają się również przepisy. Operatorzy telekomunikacyjni, platformy internetowe, banki i podmioty świadczące kluczowe usługi otrzymują nowe obowiązki związane z zapobieganiem nadużyciom oraz reagowaniem na incydenty. Prawo nie zastępuje jednak ostrożności użytkownika. Nawet najlepsze zabezpieczenia mogą nie zadziałać, gdy sami przekażemy przestępcy kod autoryzacyjny, hasło albo dostęp do telefonu.

Najczęstsze rodzaje oszustw internetowych

Phishing, czyli fałszywe wiadomości i strony

Phishing polega na podszywaniu się pod zaufaną firmę lub instytucję w celu zdobycia danych logowania, informacji o karcie płatniczej, numeru PESEL albo kodu autoryzacyjnego.

Wiadomość może informować o:

• konieczności dopłaty do przesyłki,
• zablokowaniu konta bankowego,
• niezapłaconej fakturze,
• wygranej w konkursie,
• zwrocie podatku,
• problemie z kontem w serwisie społecznościowym,
• obowiązku natychmiastowego potwierdzenia danych.

Fałszywa witryna może niemal idealnie kopiować stronę banku, sklepu lub urzędu. Sam wygląd serwisu nie potwierdza więc jego wiarygodności. Należy przede wszystkim sprawdzić pełny adres domeny, a nie tylko logo, kolory i nazwę wyświetlaną na stronie.

Smishing i fałszywe SMS-y

Smishing jest odmianą phishingu prowadzoną za pomocą wiadomości SMS. Oszust zazwyczaj przesyła krótki komunikat zawierający link oraz informację, która ma wywołać niepokój lub pośpiech.

Podejrzaną wiadomość można przekazać do CERT Polska na bezpłatny numer 8080. Najlepiej użyć funkcji „Przekaż” lub „Prześlij dalej”, zachowując całą treść wiadomości i znajdujący się w niej link.

Oszustwo „na pracownika banku”

Przestępca dzwoni do ofiary i przedstawia się jako pracownik banku, działu bezpieczeństwa, policjant albo przedstawiciel instytucji nadzorującej finanse. Informuje o rzekomym włamaniu na konto i przekonuje, że trzeba szybko zabezpieczyć pieniądze.

W rzeczywistości może nakłaniać do:

• podania kodu autoryzacyjnego,
• zatwierdzenia operacji w aplikacji bankowej,
• wykonania przelewu na „bezpieczne konto”,
• zainstalowania programu do zdalnej obsługi telefonu lub komputera,
• podania numeru karty i kodu CVV/CVC.

Prawdziwy pracownik banku nie powinien żądać przekazania hasła, kodu PIN ani kodów pozwalających zatwierdzić transakcję. W razie podejrzeń należy zakończyć połączenie i samodzielnie zadzwonić na oficjalny numer banku.

Fałszywe sklepy internetowe

Profesjonalny wygląd strony nie jest dowodem uczciwości sprzedawcy. Fałszywe sklepy często wykorzystują zdjęcia skopiowane z innych serwisów, atrakcyjne rabaty i liczniki sugerujące, że promocja kończy się za kilka minut.

Do sygnałów ostrzegawczych należą:

• cena znacznie niższa niż w innych sklepach,
• brak pełnych danych przedsiębiorcy,
• niejasny regulamin lub brak informacji o zwrotach,
• krótko istniejąca domena,
• liczne błędy językowe,
• brak bezpiecznych metod płatności,
• kontakt wyłącznie przez formularz lub bezpłatną skrzynkę e-mail,
• adres strony różniący się jednym znakiem od adresu znanej marki.

UOKiK ostrzega również przed sklepami udającymi polskie przedsiębiorstwa, które w rzeczywistości pośredniczą w zakupie towaru wysyłanego z państw poza Unią Europejską. Może to oznaczać długi czas dostawy, utrudniony zwrot i ograniczone możliwości dochodzenia roszczeń.

Fałszywe inwestycje

Oszustwa inwestycyjne są często promowane za pomocą reklam przedstawiających znane osoby, logotypy popularnych firm albo rzekome artykuły prasowe. Po wypełnieniu formularza do ofiary dzwoni „doradca”, który obiecuje szybki i niemal pewny zysk.

Należy uważać szczególnie wtedy, gdy rozmówca:

• gwarantuje wysoką stopę zwrotu,
• nie informuje o ryzyku,
• wywiera presję na szybką wpłatę,
• proponuje instalację programu do zdalnej obsługi urządzenia,
• żąda kolejnych przelewów w celu „odblokowania wypłaty”,
• poleca zaciągnięcie kredytu na inwestycję.

Im wyższy obiecywany zysk i mniejsze deklarowane ryzyko, tym dokładniej należy sprawdzić ofertę oraz podmiot, który ją przedstawia.

Oszustwo na kod szybkiej płatności

Przestępcy przejmują konta w mediach społecznościowych i wysyłają do znajomych właściciela profilu prośby o pilną pomoc finansową. Wiadomość może dotyczyć zapłaty za zakupy, biletu, lekarstw albo niespodziewanej awarii.

Przed przekazaniem kodu należy skontaktować się z daną osobą innym kanałem, najlepiej telefonicznie. Trzeba również dokładnie przeczytać komunikat wyświetlany podczas zatwierdzania operacji.

Co zmieniło się w prawie?

Blokowanie fałszywych SMS-ów i połączeń

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej weszła w życie 25 września 2023 roku. Wprowadziła rozwiązania pozwalające skuteczniej przeciwdziałać fałszywym SMS-om, podszywaniu się pod nadawców oraz innym nadużyciom telekomunikacyjnym. Operatorzy zostali zobowiązani między innymi do stosowania mechanizmów blokowania wiadomości zgodnych ze wzorcami oszustw oraz ochrony zastrzeżonych nazw nadawców.

Nie oznacza to, że każdy niebezpieczny SMS zostanie automatycznie zatrzymany. Przestępcy zmieniają treść wiadomości, używają nowych domen i próbują omijać filtry. Każdy podejrzany komunikat nadal wymaga ostrożnej oceny.

Zastrzeżenie numeru PESEL

Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać, czy numer PESEL klienta jest zastrzeżony, między innymi przed zawarciem umowy kredytu lub pożyczki. Rozwiązanie ma ograniczać skutki kradzieży tożsamości i wykorzystywania cudzych danych do zaciągania zobowiązań.

PESEL można zastrzec w aplikacji mObywatel, przez serwis internetowy mObywatel lub w urzędzie gminy. Zastrzeżenie nie blokuje codziennego korzystania z rachunku, płatności kartą, realizacji recept ani załatwiania większości spraw urzędowych.

Większa odpowiedzialność platform internetowych

Unijny akt o usługach cyfrowych, czyli DSA, nakłada na platformy internetowe obowiązki związane między innymi z przyjmowaniem zgłoszeń dotyczących nielegalnych treści, usług i produktów. Przepisy mają również zwiększać przejrzystość reklam oraz ułatwiać identyfikowanie sprzedawców działających na platformach handlowych.

Użytkownik powinien korzystać z dostępnych w serwisach funkcji zgłaszania fałszywych reklam, profili, sklepów i ofert. Samo opublikowanie reklamy na dużej platformie społecznościowej nie oznacza jednak, że oferta została dokładnie sprawdzona lub otrzymała gwarancję bezpieczeństwa.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa

W kwietniu 2026 roku weszły w życie przepisy nowelizujące ustawę o krajowym systemie cyberbezpieczeństwa. Regulacje wdrażające rozwiązania wynikające z dyrektywy NIS2 rozszerzyły obowiązki podmiotów kluczowych i ważnych, w tym wymagania dotyczące zarządzania ryzykiem, zabezpieczania systemów oraz raportowania incydentów.

Zmiany te dotyczą przede wszystkim przedsiębiorstw i instytucji działających w ważnych sektorach gospodarki. Dla przeciętnego użytkownika ich znaczenie jest pośrednie: mają poprawiać odporność usług cyfrowych, telekomunikacyjnych, finansowych, medycznych oraz infrastrukturalnych. Nie gwarantują jednak automatycznego odzyskania pieniędzy utraconych wskutek indywidualnego oszustwa.

Czy bank musi zwrócić skradzione pieniądze?

W przypadku nieautoryzowanej transakcji płatniczej bank powinien co do zasady zwrócić środki niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia. Każda sprawa wymaga jednak indywidualnej analizy, szczególnie gdy występuje podejrzenie oszustwa ze strony klienta albo spór dotyczący jego umyślnego działania lub rażącego niedbalstwa. Sam fakt zastosowania przez bank prawidłowego uwierzytelniania nie musi automatycznie przesądzać, że klient autoryzował operację.

Nie należy zwlekać ze zgłoszeniem. UOKiK wskazuje, że klient ma na powiadomienie instytucji finansowej maksymalnie 13 miesięcy, lecz natychmiastowa reakcja zwiększa szanse na zatrzymanie kolejnych operacji i zabezpieczenie środków.

Jeżeli bank odrzuci reklamację, konsument może zwrócić się o pomoc do Rzecznika Finansowego albo miejskiego lub powiatowego rzecznika konsumentów.

Co zrobić po oszustwie internetowym?

Najważniejsze są pierwsze minuty i godziny. Po stwierdzeniu oszustwa należy:

1. Natychmiast skontaktować się z bankiem przez oficjalną infolinię. Trzeba zgłosić podejrzane transakcje, zablokować kartę i — gdy jest to konieczne — czasowo zablokować rachunek.
2. Zmienić hasła do bankowości, poczty elektronicznej, mediów społecznościowych i innych usług, w których używano podobnych danych logowania.
3. Zastrzec numer PESEL, jeżeli przestępca mógł zdobyć dane osobowe lub kopię dokumentu.
4. Zabezpieczyć dowody: wiadomości, numery telefonów, adresy stron, potwierdzenia przelewów, numery rachunków, korespondencję oraz zrzuty ekranu.
5. Zawiadomić Policję. Zgłoszenie można złożyć w każdej jednostce. Warto zabrać komplet zgromadzonych materiałów.
6. Zgłosić stronę lub wiadomość do CERT Polska. Podejrzane SMS-y można przekazywać na numer 8080.
7. Ostrzec znajomych, gdy przestępcy przejęli konto w mediach społecznościowych lub wykorzystują dane ofiary do kontaktowania się z kolejnymi osobami.

Takie postępowanie zaleca również Centralne Biuro Zwalczania Cyberprzestępczości. Policja podkreśla, aby zachować między innymi kopię korespondencji, adres fałszywej witryny, numer rachunku odbiorcy oraz potwierdzenie płatności.

Jak chronić się przed oszustami?

Podstawową zasadą jest ograniczone zaufanie. Presja czasu, groźba utraty pieniędzy albo obietnica wyjątkowej okazji powinny skłaniać do przerwania rozmowy i sprawdzenia informacji.

W codziennym korzystaniu z internetu warto:

• używać różnych haseł do najważniejszych kont,
• włączyć uwierzytelnianie dwuskładnikowe,
• regularnie aktualizować system i aplikacje,
• nie instalować programów na polecenie telefonicznego „konsultanta”,
• nie logować się do banku przez link otrzymany w wiadomości,
• samodzielnie wpisywać adres banku lub korzystać z oficjalnej aplikacji,
• sprawdzać treść każdego komunikatu autoryzacyjnego,
• weryfikować dane sprzedawcy w publicznych rejestrach,
• unikać wykonywania przelewów pod wpływem presji,
• mieć stale zastrzeżony PESEL i cofać zastrzeżenie tylko wtedy, gdy jest to potrzebne.

Podsumowanie

Prawo zapewnia coraz więcej narzędzi służących ograniczaniu oszustw internetowych. Operatorzy mogą blokować fałszywe wiadomości, instytucje finansowe sprawdzają zastrzeżenia numerów PESEL, platformy otrzymały dodatkowe obowiązki, a podmioty kluczowe muszą skuteczniej zarządzać ryzykiem cybernetycznym.

Żaden system nie jest jednak całkowicie odporny na manipulację. Najlepszą ochroną pozostaje połączenie zabezpieczeń technicznych, znajomości praw konsumenta i spokojnego sprawdzania każdej nietypowej prośby o pieniądze, dane albo instalację programu.

Materiał ma charakter informacyjny i nie stanowi indywidualnej porady prawnej.