Kliknąłeś „zatwierdź” i straciłeś pieniądze? Bank nie zawsze może obarczyć Cię winą

Samo wpisanie kodu SMS lub zatwierdzenie operacji w aplikacji nie przesądza jeszcze, iż klient świadomie zgodził się na przelew albo zaciągnięcie kredytu. Rzecznik Finansowy przeanalizował prawomocne wyroki z lat 2023–2025. Sądy coraz częściej sprawdzają, czy ofiara rozumiała znaczenie wykonywanej czynności i czy rzeczywiście chciała przekazać pieniądze lub zawrzeć umowę. To ważna wiadomość dla osób, którym bank odmówił zwrotu środków, ograniczając uzasadnienie do stwierdzenia: „operacja została prawidłowo zatwierdzona”.

Fot. Warszawa w Pigułce

Oszust dzwoni z numeru wyglądającego jak infolinia banku. Informuje o próbie kradzieży, zaciągniętym kredycie albo konieczności natychmiastowego „zabezpieczenia” oszczędności. Ofiara działa pod presją, wpisuje kod, zatwierdza komunikat lub instaluje wskazaną aplikację.

Dopiero później odkrywa, iż zamiast zatrzymać przestępców, pomogła im wykonać przelew albo zaciągnąć kredyt.

Bank odrzuca reklamację, ponieważ użyto prawidłowego loginu, hasła, kodu SMS lub potwierdzenia mobilnego. Najnowsza analiza Rzecznika Finansowego pokazuje jednak, iż taki argument nie zawsze kończy sprawę.

Rzecznik Finansowy przeanalizował prawomocne wyroki

22 września 2026 roku Rzecznik Finansowy opublikował analizę prawomocnych orzeczeń z lat 2023–2025. Dotyczyła ona spraw o nieautoryzowane transakcje oraz tak zwane kredyty na klik, w których Rzecznik uczestniczył albo sam wytoczył powództwo.

Z opracowania wynikają trzy ważne wnioski:

• techniczne zatwierdzenie operacji nie zawsze oznacza świadomą zgodę klienta,
• działanie pod wpływem manipulacji nie jest automatycznie rażącym niedbalstwem,
• bank powinien analizować nietypowe operacje i uwzględniać znane schematy oszustw.

Nie oznacza to, iż każda ofiara oszustwa automatycznie wygra z bankiem. Każda sprawa wymaga oceny jej konkretnych okoliczności. Bank nie powinien jednak kończyć postępowania tylko dlatego, iż system zarejestrował poprawny kod lub kliknięcie w aplikacji.

Uwierzytelnienie to nie to samo co autoryzacja

To najważniejsza różnica w całej sprawie.

Uwierzytelnienie jest czynnością techniczną. System banku sprawdza, czy użyto adekwatnego loginu, hasła, kodu SMS, aplikacji albo innego ustalonego zabezpieczenia.

Autoryzacja oznacza świadome wyrażenie przez klienta zgody na konkretną transakcję.

Operacja może więc zostać prawidłowo uwierzytelniona, ponieważ użyto poprawnych danych, ale jednocześnie pozostawać nieautoryzowana, o ile klient nie wyraził świadomej zgody na jej wykonanie.

Przykładem jest sytuacja, w której oszust zdobywa login i hasło, a następnie sam wykonuje przelew. System rozpoznaje prawidłowe dane, ale właściciel konta nie zgadzał się na przekazanie pieniędzy.

Sytuacja jest bardziej skomplikowana, gdy klient sam wpisuje kod lub zatwierdza komunikat. Wtedy trzeba ustalić, co faktycznie widział, co mówił oszust i czy klient rozumiał rzeczywisty skutek swojego działania.

Sam kod SMS nie przesądza o wszystkim

Bank może posiadać dowód, iż operację potwierdzono kodem SMS albo w aplikacji. Zgodnie ze stanowiskiem Rzecznika Finansowego samo zarejestrowane użycie instrumentu płatniczego nie wystarcza jednak do udowodnienia, iż klient świadomie autoryzował transakcję.

Znaczenie może mieć treść komunikatu wyświetlonego podczas zatwierdzania. Należy sprawdzić, czy jasno wskazywał:

• rodzaj wykonywanej czynności,
• kwotę przelewu albo kredytu,
• odbiorcę pieniędzy,
• informację o zawieraniu umowy,
• konsekwencje potwierdzenia operacji.

Jeżeli klient był przekonany, iż blokuje przestępczą operację, a w rzeczywistości uruchamiał kredyt lub przelew, sąd może badać jego rzeczywisty zamiar, a nie wyłącznie zapis w systemie bankowym.

Szczególnie ważne są „kredyty na klik”

Analiza Rzecznika obejmuje również przypadki, w których przestępcy doprowadzili do zaciągnięcia kredytów za pośrednictwem bankowości elektronicznej.

Sądy wskazywały, iż samo techniczne potwierdzenie kolejnych ekranów nie przesądza jeszcze o świadomym złożeniu oświadczenia woli. Trzeba ustalić, czy klient wiedział, iż zawiera umowę kredytową, i czy rzeczywiście chciał zaciągnąć zobowiązanie.

To najważniejsze dla osoby, która nie tylko straciła oszczędności, ale została również z długiem, którego nigdy świadomie nie chciała zaciągnąć.

Rzecznik zwraca uwagę także na obowiązki banków. Procedury powinny ograniczać ryzyko zawarcia zobowiązania wbrew woli klienta. Znaczenie może mieć również brak reakcji na kredyt i natychmiastowy przelew pieniędzy, które zupełnie nie pasują do wcześniejszej aktywności właściciela rachunku.

Manipulacja nie oznacza automatycznie rażącego niedbalstwa

Banki często argumentują, iż klient sam przekazał dane albo zatwierdził operację, a więc dopuścił się rażącego niedbalstwa.

Sądy analizowane przez Rzecznika nie przyjmowały jednak takiego założenia automatycznie. Oceniały między innymi:

• wiek klienta,
• jego doświadczenie w korzystaniu z bankowości elektronicznej,
• sposób działania przestępcy,
• wywołaną presję czasu,
• podszywanie się pod bank lub inną instytucję,
• treść komunikatów widocznych podczas zatwierdzania,
• to, czy klient rozumiał rzeczywisty skutek wykonywanych czynności.

Oszuści wykorzystują strach, autorytet instytucji i przekonanie, iż pieniądze trzeba natychmiast zabezpieczyć. Sam fakt wykonania ich poleceń nie wystarcza więc jeszcze do uznania, iż klient rażąco zaniedbał swoje obowiązki.

Nie oznacza to jednak całkowitego zwolnienia użytkowników z odpowiedzialności. Świadome przekazanie karty razem z PIN-em, przechowywanie kodu obok karty albo celowe udostępnianie danych osobom trzecim może zostać ocenione inaczej.

Bank powinien oddać pieniądze najpóźniej następnego dnia roboczego

W przypadku zgłoszenia nieautoryzowanej transakcji obowiązuje zasada D+1. Bank powinien zwrócić jej kwotę niezwłocznie, nie później niż do końca następnego dnia roboczego po wykryciu operacji lub otrzymaniu zgłoszenia od klienta.

Rzecznik Finansowy podkreśla, iż wstrzymanie zwrotu jest dopuszczalne, gdy bank ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa ze strony klienta oraz pisemnie zawiadomi o tym organy ścigania.

Samo powołanie się na prawidłowe zalogowanie, kod SMS albo użycie aplikacji nie powinno wystarczyć.

Trzeba jednak rozróżnić dwie kwestie:

• obowiązek szybkiego zwrotu pieniędzy,
• ostateczne ustalenie, kto ponosi odpowiedzialność.

Bank może najpierw zwrócić środki, a następnie dochodzić ich od klienta, o ile uważa, iż ten działał umyślnie albo dopuścił się rażącego niedbalstwa. Ostatecznie spór może zostać rozstrzygnięty przez sąd.

Co zrobić natychmiast po odkryciu kradzieży?

Pierwsze minuty mają znaczenie. Należy:

1. Zadzwonić do banku, korzystając z oficjalnego numeru, a nie numeru podanego w podejrzanej wiadomości.
2. Zablokować bankowość elektroniczną, kartę oraz dostęp do aplikacji, o ile mogły zostać przejęte.
3. Zażądać zatrzymania przelewów, o ile przez cały czas znajdują się w realizacji.
4. Zmienić dane logowania z bezpiecznego urządzenia.
5. Zgłosić sprawę policji.
6. Zabezpieczyć SMS-y, wiadomości, historię połączeń, adresy stron i zrzuty ekranu.
7. Złożyć reklamację dotyczącą nieautoryzowanych transakcji.

W zgłoszeniu warto wyraźnie zaznaczyć, iż klient nie wyraził świadomej zgody na daną operację, oraz zażądać przywrócenia rachunku do stanu sprzed transakcji.

Nie wystarczy ogólne zdanie „zostałem oszukany”. Trzeba dokładnie opisać kolejność zdarzeń, słowa przestępcy, widoczne komunikaty i moment, w którym klient zrozumiał, iż doszło do kradzieży.

Nie usuwaj wiadomości od oszusta

Dowodami mogą być:

• numery telefonów i godziny połączeń,
• SMS-y z kodami oraz pełną treścią komunikatów,
• wiadomości z komunikatorów,
• odnośniki do fałszywych stron,
• zrzuty ekranu,
• potwierdzenia wykonanych operacji,
• dokumenty dotyczące zaciągniętego kredytu,
• nagrania rozmów, jeżeli zostały legalnie wykonane,
• zawiadomienie złożone na policji.

W przypadku kredytu warto zażądać od banku pełnej dokumentacji: umowy, czasu wykonania poszczególnych czynności, sposobu potwierdzenia, adresów IP oraz informacji o urządzeniach wykorzystanych podczas operacji.

Na zgłoszenie nie warto czekać

Klient powinien poinformować bank niezwłocznie po wykryciu nieautoryzowanej transakcji. Maksymalny ustawowy termin wynosi 13 miesięcy od dnia obciążenia rachunku, ale czekanie działa na niekorzyść poszkodowanego i zmniejsza szanse na zatrzymanie pieniędzy.

Termin 13 miesięcy nie oznacza, iż można spokojnie odkładać sprawę. Brak szybkiej reakcji może utrudnić ustalenie przebiegu zdarzenia i zabezpieczenie dowodów.

Bank ma 15 dni roboczych na odpowiedź

Reklamacje dotyczące usług płatniczych powinny być rozpatrywane w terminie 15 dni roboczych. W szczególnie skomplikowanej sprawie bank może przedłużyć termin do 35 dni roboczych, ale powinien poinformować klienta o przyczynie opóźnienia.

Nie należy mylić terminu odpowiedzi na reklamację z zasadą D+1 dotyczącą zwrotu kwoty nieautoryzowanej transakcji. Są to dwa różne obowiązki.

Odmowa banku nie musi kończyć sprawy

Jeżeli bank odrzuci reklamację, klient powinien zażądać szczegółowego uzasadnienia. Warto sprawdzić, czy instytucja:

• wykazała świadomą zgodę na transakcję,
• ograniczyła się jedynie do informacji o prawidłowym uwierzytelnieniu,
• wyjaśniła, na czym konkretnie miało polegać rażące niedbalstwo,
• przeanalizowała nietypowy charakter operacji,
• odniosła się do sposobu działania oszusta.

Po wykorzystaniu procedury reklamacyjnej można zwrócić się do Rzecznika Finansowego o postępowanie interwencyjne lub polubowne. Rzecznik może też przedstawić istotny pogląd w sprawie, o ile spór trafi do sądu.

Najnowsza analiza nie gwarantuje zwycięstwa każdej ofierze. Pokazuje jednak, iż zdanie banku „sam zatwierdziłeś, więc sam odpowiadasz” nie zawsze jest prawidłowym zakończeniem sprawy.

Kliknięcie może potwierdzać wykonanie technicznej czynności. Nie zawsze dowodzi, iż klient rozumiał jej prawdziwy cel i świadomie zgodził się na utratę pieniędzy albo zaciągnięcie kredytu.