STALOWY MENTAL / BIBLIOTEKA WIEDZY

Podszywanie się pod bank lub urząd: jak sprawdzić, kto naprawdę dzwoni?

Na ekranie wyświetla się numer banku. Rozmówca zna Twoje imię, mówi spokojnie i informuje o rzekomym zagrożeniu konta. Prosi o szybkie potwierdzenie danych albo wykonanie instrukcji w aplikacji. Numer wygląda znajomo, ale to nie wystarcza, by uznać rozmowę za autentyczną.

Podszywanie się pod numer telefonu, czyli spoofing, pozwala oszustowi wyświetlić numer przypisany do innej osoby lub instytucji. Centralne Biuro Zwalczania Cyberprzestępczości ostrzega, że przestępcy mogą podszywać się pod banki, policję, ZUS, członków rodziny i inne zaufane osoby. Dlatego numer widoczny na ekranie nie jest samodzielnym potwierdzeniem tożsamości. CBZC — Spoofing, czyli podszywanie się pod inny numer telefonu.

Najkrótsza odpowiedź

Jeżeli nieoczekiwany rozmówca podaje się za bank, urząd lub bliską osobę i prosi o pieniądze, kody, dane logowania albo instalację programu, nie wykonuj poleceń w trakcie połączenia. Zakończ rozmowę i samodzielnie skontaktuj się z instytucją przez oficjalną aplikację, stronę lub numer znaleziony niezależnie.

Nie oddzwaniaj na numer z historii połączeń jako jedyny sposób weryfikacji. Nie klikaj linków otrzymanych od rozmówcy. Nie podawaj kodów autoryzacyjnych ani haseł.

Jak działa podszywanie się pod zaufaną osobę?

W spoofingu oszust manipuluje informacją o nadawcy lub numerze, aby kontakt wyglądał wiarygodnie. Może wykorzystać numer banku, instytucji publicznej albo osoby, którą znasz. KNF opisuje spoofing jako podszywanie się pod inne urządzenie lub użytkownika w sieci, między innymi w celu kradzieży danych, instalacji złośliwego oprogramowania lub ominięcia kontroli dostępu. Wskazuje też na podszywanie się pod numery banków i instytucji publicznych. KNF — Spoofing.

Sam numer to tylko jeden element komunikatu. Oszust może dodatkowo:

podać się za pracownika banku, policjanta, urzędnika albo pomoc techniczną;
powołać się na rzekome zagrożenie konta lub problem prawny;
wykorzystać dane, które wcześniej znalazł w internecie albo pozyskał z innego źródła;
naciskać na natychmiastowe działanie;
poprosić o kod, przelew, instalację aplikacji lub zdalny dostęp do urządzenia.

W przypadku oszustwa telefonicznego używa się też terminu vishing, czyli phishingu prowadzonego przez połączenie głosowe. Gov.pl opisuje scenariusze, w których rozmówca podszywa się pod bank, firmę, policję lub członka rodziny, wywołuje strach i nakłania do wykonania instrukcji. Gov.pl — Uważaj na vishing.

Przykład z 26 października 2026 r.

CERT Polska opisał kampanię, w której oszuści podszywali się pod komunikację bankową skierowaną do klientów biznesowych. Wiadomość informowała o rzekomej konieczności aktualizacji dokumentacji firmy i nakłaniała do pilnego zalogowania się do bankowości elektronicznej. Link prowadził do strony udającej serwis banku. Celem było przejęcie danych logowania. CERT Polska — komunikat 203/2026 z 26.10.2026.

Treść wiadomości może się zmieniać. Raz chodzi o aktualizację danych, innym razem o podejrzany przelew, blokadę konta albo dokument do podpisu. Wspólny mechanizm polega na wykorzystaniu zaufania do instytucji i skłonieniu odbiorcy do przejścia na wskazaną przez nadawcę ścieżkę.

Dlatego nie wystarczy sprawdzić, czy wiadomość wygląda profesjonalnie. Trzeba niezależnie potwierdzić, czy instytucja rzeczywiście się kontaktuje i czy żądana czynność jest prawdziwa.

Jak zweryfikować rozmówcę krok po kroku?

1. Zatrzymaj rozmowę

Nie musisz rozstrzygać, czy rozmówca jest oszustem. Powiedz: „Zakończę teraz połączenie i samodzielnie skontaktuję się z instytucją”. Nie wykonuj w tym czasie przelewów, nie przekazuj kodów i nie instaluj oprogramowania.

2. Znajdź oficjalny kanał niezależnie

Otwórz aplikację banku, wpisz adres oficjalnej strony ręcznie albo skorzystaj z numeru kontaktowego z karty lub dokumentów. W przypadku urzędu użyj danych kontaktowych z jego oficjalnej strony. Nie korzystaj z linku, numeru ani instrukcji, które przekazał nieoczekiwany rozmówca.

3. Zadaj instytucji konkretne pytanie

Zapytaj, czy rzeczywiście próbowano się z Tobą skontaktować, czy istnieje zgłoszone zagrożenie i czy instytucja prosiła o wykonanie wskazanej czynności. Jeśli nie ma potwierdzenia, nie wracaj do instrukcji z podejrzanego połączenia.

4. Potwierdź prośbę o przelew innym kanałem

W firmie zmiana rachunku kontrahenta lub pilny przelew powinny być potwierdzane zgodnie z procedurą, na przykład przez znany wcześniej numer telefonu i drugą osobę zatwierdzającą. KNF opisuje oszustwa BEC, w których przestępcy podszywają się pod członków zarządu, pracowników, prawników lub dostawców, aby wymusić przelew na wskazane konto. KNF — Business e-mail compromise.

5. Zgłoś podejrzaną wiadomość

Podejrzane SMS-y można przekazywać do CERT Polska na bezpłatny numer 8080. Inne incydenty można zgłosić przez formularz na stronie incydent.cert.pl. Jeżeli doszło do utraty pieniędzy lub ujawnienia danych, skontaktuj się niezwłocznie z bankiem i postępuj według jego instrukcji.

Co powinno wzbudzić czujność?

Sygnał	Co sprawdzić
Numer wygląda jak numer banku	Czy bank potwierdza kontakt przez oficjalny kanał?
Rozmówca żąda kodu SMS lub hasła	Nie przekazuj kodu ani hasła. Skontaktuj się z bankiem niezależnie.
Ktoś każe zainstalować aplikację	Nie instaluj programu na polecenie nieoczekiwanego rozmówcy.
Pojawia się groźba blokady konta lub konsekwencji prawnych	Sprawdź, czy istnieje oficjalny komunikat i procedura.
Wiadomość zawiera link do logowania	Otwórz bankowość przez własną aplikację lub wpisany samodzielnie adres.
Bliska osoba prosi o pilne pieniądze	Zadzwoń do niej na zapisany wcześniej numer lub skontaktuj się z innym członkiem rodziny.

Pojedynczy sygnał nie pozwala zawsze ustalić, kto stoi za kontaktem. Wystarczy jednak, by wstrzymać ryzykowną czynność i przeprowadzić niezależną weryfikację.

Najczęstsze pytania

Czy numer telefonu banku może zostać podrobiony?

Tak. CBZC i KNF opisują spoofing, w którym na ekranie odbiorcy może pojawić się numer przypisany do banku lub innej zaufanej instytucji. Sam numer nie potwierdza tożsamości rozmówcy.

Czy bank może prosić o kod SMS przez telefon?

Nie przekazuj rozmówcy kodów autoryzacyjnych, haseł ani danych logowania. Jeśli ktoś twierdzi, że potrzebuje takiego kodu do zabezpieczenia konta, zakończ połączenie i skontaktuj się z bankiem oficjalnym kanałem.

Co zrobić, jeśli rozmówca zna moje dane?

Znajomość imienia, nazwiska lub innych szczegółów nie potwierdza tożsamości. Dane mogły pochodzić z wcześniejszego wycieku, publicznego profilu albo innego źródła. Weryfikuj kontakt niezależnie.

Co zrobić, jeśli już wykonałem przelew lub podałem kod?

Niezwłocznie skontaktuj się z bankiem przez oficjalny kanał, opisz zdarzenie i poproś o zabezpieczenie rachunku lub instrumentu płatniczego. Zmień dane dostępowe zgodnie z zaleceniami banku i zgłoś incydent odpowiednim służbom.