Klienci czołowych banków w Polsce pozbawieni wszystkich pieniędzy. Z przerażeniem odkryli, iż stali się biedni z dnia na dzień

CERT Orange Polska ostrzega przed nową falą oszustw wymierzonych w klientów największych banków w kraju. Przestępcy rozsyłają fałszywe wiadomości SMS informujące o rzekomym wygasaniu dostępu do konta. Wystarczy jedno kliknięcie w link, by stracić wszystkie oszczędności. Na celowniku są miliony Polaków korzystający z bankowości internetowej.

Fot. Warszawa w Pigułce

„Twoje konto wygasa. Kliknij tutaj”

Wiadomość przychodzi z pozoru od banku. Treść brzmi alarmująco – konto zostanie zablokowane, dostęp do aplikacji wygaśnie za kilka godzin. Jedyny sposób na uniknięcie problemów to natychmiastowa weryfikacja przez podany link. Większość odbiorców działa w pośpiechu, nie analizując szczegółów. A to właśnie na tym liczą oszuści.

CERT Orange Polska opublikował przykłady fałszywych wiadomości, które w tej chwili krążą w sieci.

• „ALIOR BANK: Twoje Alior-Mobile kontó wygaśa dnia 17\09\2024, ukończ weryfikację aby uniknąć źáblokowania konta. Link: hxxps://alior.016***[.]com”
• „BNP: Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044***[.]com”
• „SANTANDER: Twoje Santánder-Mobile kontó wygasa dnía 16\09\2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link: SnataBiomb***[.]com”
• „PEKAO: Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka***[.]com/l/logowanie/e”

Każda z tych wiadomości zawiera link prowadzący do strony łudząco przypominającej oficjalną witrynę banku. Po kliknięciu użytkownik trafia na fałszywy panel logowania. Wpisuje login i hasło, nieświadomie przekazując je przestępcom. Ci w ciągu kilku minut mogą wyprowadzić wszystkie środki z konta.

Screen przedstawiający wiadomość SMS. Fot. Warszawa w Pigułce.

Literówki to nie przypadek

Zauważyłeś dziwne znaki w SMS-ie? „Santánder-Mobile”, „źáblokowania”, „wygaśa dnía”? To nie przypadek ani błąd tłumaczenia. Oszuści celowo wprowadzają nietypowe znaki diakrytyczne i literówki, by ominąć filtry antyspamowe operatorów telekomunikacyjnych.

Podobne wiadomości SMS trafiły też do redakcji Warszawa w Pigułce, co potwierdza szeroką skalę oszustwa. Przestępcy modyfikują treść komunikatów, stosując różne warianty zapisu, aby każda kolejna kampania omijała zabezpieczenia. Gdy operatorzy blokują jedną wersję wiadomości, pojawia się następna z subtelnymi zmianami.

Fałszywe strony internetowe są przygotowane profesjonalnie. Kopiują układ graficzny, logo, kolory oficjalnych witryn bankowych. Różni się tylko adres – zamiast nazwy banku pojawiają się przypadkowe ciągi cyfr i liter. Ale wielu użytkowników tego nie zauważa, działając w pośpiechu.

Co to oznacza dla ciebie

Jeśli korzystasz z bankowości internetowej, jesteś potencjalnym celem ataku. Nie musisz być osobą starszą ani mało obeznana z technologią – oszuści stosują metody, które działają choćby na doświadczonych użytkowników. Według raportu „Postawy Polaków wobec cyberbezpieczeństwa 2025” aż 21% ankietowanych miało już do czynienia z phishingiem.

Po uzyskaniu dostępu do twojego konta przestępcy działają błyskawicznie. W ciągu kilku minut mogą przelać wszystkie środki na własne konta lub wypłacić je dzięki kodów BLIK. Banki zwykle odmawiają zwrotu pieniędzy, twierdząc iż klient sam autoryzował transakcję podając dane logowania.

Zgodnie z prawem bankowym to na banku spoczywa obowiązek zwrotu kwoty nieautoryzowanej transakcji. Jednak w praktyce instytucje często argumentują, iż przekazanie danych oszustom świadczy o niedbalstwie klienta. Odzyskanie środków wymaga wtedy długiej batalii prawnej bez gwarancji sukcesu.

Jak rozpoznać fałszywy SMS

Przestępcy liczą na to, iż będziesz działać szybko, bez zastanowienia. Dlatego każdy SMS informujący o pilnej potrzebie działania powinien wzbudzić twoją czujność. Banki dbają o poprawność swoich komunikatów – jeżeli widzisz błędy językowe, literówki czy nietypowe znaki diakrytyczne, to prawie pewny sygnał oszustwa.

Sprawdź adres strony internetowej zanim wpiszesz jakiekolwiek dane. Zamiast oficjalnej domeny bankowej zobaczysz dziwny adres z przypadkowymi cyframi. Prawdziwa strona Santandera to santander.pl, fałszywa może brzmieć „SnataBiombile.com” lub „santander.044008.com”.

Banki nigdy nie wysyłają SMS-ów z linkami prowadzącymi do stron logowania. Nigdy nie proszą klientów o podawanie haseł czy kodów autoryzacyjnych przez wiadomości tekstowe. Każdy taki komunikat to próba oszustwa, bez wyjątku.

Banki wdrażają nowe zabezpieczenia

Instytucje finansowe odpowiadają na rosnącą falę cyberataków wprowadzając zaawansowane systemy ochrony. Podwójna autoryzacja, analiza behawioralna, ostrzeżenia w aplikacjach mobilnych – to standardowe już rozwiązania w większości banków.

PKO BP wykorzystuje algorytmy analizujące styl pisania na klawiaturze i sposób poruszania kursorem. System rozpoznaje charakterystyczne wzorce użytkownika i wykrywa anomalie mogące wskazywać na nieautoryzowany dostęp. jeżeli ktoś zaloguje się na twoje konto z innego urządzenia, bank automatycznie wstrzyma podejrzane operacje.

Niektóre banki wysyłają powiadomienia push do aplikacji mobilnej przy każdej próbie logowania. jeżeli to nie ty próbujesz się zalogować, możesz natychmiast zablokować dostęp. To skuteczna ochrona, ale działa tylko jeżeli masz zainstalowaną i aktywną aplikację bankową.

Praktyczne zasady ochrony

Nigdy nie klikaj w linki otrzymane w SMS-ach od banku. Zamiast tego otwórz przeglądarkę i wpisz adres strony banku manualnie albo skorzystaj z oficjalnej aplikacji mobilnej. To jedyne bezpieczne sposoby logowania się do bankowości internetowej.

Nie podawaj danych logowania na stronach otwartych z linków w wiadomościach. Banki nigdy nie proszą klientów o logowanie się w ten sposób. jeżeli masz jakiekolwiek wątpliwości dotyczące otrzymanej wiadomości, zadzwoń do banku przez oficjalną infolinię podaną na stronie internetowej lub karcie płatniczej.

Regularnie sprawdzaj stan swojego konta. Szybkie wykrycie podejrzanych transakcji zwiększa szanse na odzyskanie skradzionych środków. Ustaw powiadomienia push o każdej operacji na koncie – dostaniesz alert natychmiast po wykonaniu przelewu.

Włącz dwuskładnikowe uwierzytelnianie we wszystkich serwisach, które je oferują. choćby jeżeli oszust zdobędzie twoje hasło, nie będzie mógł zalogować się bez dodatkowego kodu wysyłanego na telefon lub generowanego przez aplikację.

Co zrobić jeżeli padłeś ofiarą oszustwa

Jeśli kliknąłeś w link i podałeś swoje dane, działaj natychmiast. Każda minuta zwłoki zwiększa szanse przestępców na wyprowadzenie twoich pieniędzy. Zadzwoń do banku i zablokuj dostęp do konta telefonicznie. Większość banków ma całodobowe infolinie dostępne 24/7.

Zmień hasło do bankowości internetowej zaraz po zablokowaniu konta. jeżeli nie możesz się zalogować bo oszuści już zmienili hasło, powiadom o tym bank – pracownicy pomogą odzyskać dostęp. Zgłoś sprawę na policję składając zawiadomienie o przestępstwie. To ważne dla ewentualnego dochodzenia roszczeń.

Poinformuj CERT Polska o incydencie. Zgłoszenia oszustw pomagają w walce z cyberprzestępcami i ostrzegają innych użytkowników. Możesz to zrobić przez stronę cert.pl lub wysyłając podejrzany SMS na numer 8080.

Skala zagrożenia rośnie

Według danych z raportu „Postawy Polaków wobec cyberbezpieczeństwa 2025” phishing jest najczęściej wymienianym zagrożeniem w przestrzeni cyfrowej. Zdecydowana większość ankietowanych obawia się właśnie wyłudzenia danych osobowych i pieniędzy. Drugie miejsce zajmuje kradzież tożsamości w mediach społecznościowych.

Ataki phishingowe mogą mieć poważne konsekwencje wykraczające poza samą stratę finansową. Po uzyskaniu dostępu do konta bankowego przestępcy często próbują wyłudzić kredyty lub pożyczki na dane ofiary. Odzyskanie dobrego imienia i spłata długów zaciągniętych przez oszustów to proces trwający miesiące, a czasem lata.

Szczególnie narażone są osoby starsze i mniej obeznane z technologią, ale to błędne przekonanie iż tylko one padają ofiarą oszustw. Z badania wynika, iż oszustwa inwestycyjne przeprowadzane telefonicznie najczęściej dotykają osoby w wieku 35-44 lata, a deepfake’i najmłodszych w wieku od 18 do 24 lat.

Kampanie w mediach społecznościowych

Oszuści nie ograniczają się tylko do SMS-ów. Wykorzystują również reklamy na Facebooku podszywające się pod banki. Jak informuje Centrum Bezpieczeństwa Rozwiązań Finansowych KNF, w 2025 roku miały miejsce kampanie wykorzystujące wizerunki Santander Banku Polska, Banku Pekao i PKO BP.

Pod pretekstem rzekomej możliwości otrzymania nagrody pieniężnej przestępcy wyłudzają dane uwierzytelniające do bankowości elektronicznej. Reklamy prowadzą do stron przypominających oficjalne witryny bankowe lub sklep Google Play. Po kliknięciu „zainstaluj aplikację” użytkownik trafia na stronę phishingową.

Niektóre fałszywe aplikacje po uruchomieniu próbują nakłonić ofiarę do przyłożenia karty płatniczej do interfejsu NFC w telefonie. Rzekomo służy to weryfikacji tożsamości, w rzeczywistości oszuści wykradają w ten sposób dane karty.

Przestępcy stale doskonalą swoje metody, dlatego najważniejsze jest zachowanie czujności i przestrzeganie podstawowych zasad bezpieczeństwa. Każdy użytkownik bankowości internetowej powinien pamiętać, iż bank nigdy nie prosi o podawanie danych logowania przez linki w wiadomościach SMS. jeżeli otrzymasz podejrzaną wiadomość, najlepiej ją zignorować i powiadomić bank o próbie oszustwa.