Oszustwo, które opróżnia konto w kilka sekund – Policja bije na alarm

Komenda Stołeczna Policji wydała alarmujący komunikat dotyczący nowego, niezwykle niebezpiecznego typu cyberprzestępstwa, które błyskawicznie rozprzestrzenia się w Polsce. Oszustwo wykorzystujące technologię NFC pozwala przestępcom na opróżnienie konta bankowego ofiary w zaledwie kilka minut, bez pozostawiania standardowych śladów włamania. Co najgroźniejsze, ten wyrafinowany atak wykorzystuje zarówno socjotechnikę, jak i zaawansowane metody technologiczne, przez co jest wyjątkowo trudny do wykrycia dla przeciętnego użytkownika.

fot. Warszawa w Pigułce

Mechanizm działania przestępców jest precyzyjnie zaplanowany i składa się z kilku etapów, które razem tworzą pułapkę niemal niemożliwą do wykrycia dla osoby nieświadomej zagrożenia. Wszystko zaczyna się od pozornie niewinnego telefonu. Oszust dzwoni do potencjalnej ofiary, przedstawiając się najczęściej jako przedstawiciel atrakcyjnego funduszu inwestycyjnego lub doradca finansowy oferujący wyjątkową okazję do pomnożenia oszczędności. Ten pierwszy kontakt służy wyłącznie zbudowaniu zaufania i wzbudzeniu zainteresowania ofiary perspektywą szybkiego zysku.

Po nawiązaniu wstępnej relacji przestępca przechodzi do drugiego etapu oszustwa. Nakłania rozmówcę do zainstalowania na telefonie komórkowym specjalnej aplikacji, która rzekomo ma umożliwić dostęp do platformy inwestycyjnej lub usługi bankowej. W rzeczywistości jest to starannie przygotowane złośliwe oprogramowanie, zaprojektowane tak, aby wyglądało identycznie jak oficjalna aplikacja znanego banku lub popularnej usługi Revolut. Nieprzygotowany użytkownik nie jest w stanie odróżnić fałszywej aplikacji od oryginału.

Kluczowy i najbardziej niebezpieczny moment oszustwa następuje, gdy przestępca, ciągle utrzymując kontakt telefoniczny z ofiarą, prosi o wykonanie „rutynowej weryfikacji”. W tym celu nakłania rozmówcę do przyłożenia karty płatniczej do telefonu oraz podania kodu PIN, rzekomo w celu potwierdzenia tożsamości. To właśnie ta czynność stanowi sedno ataku, gdyż wykorzystuje technologię NFC (Near Field Communication), czyli bezprzewodową komunikację bliskiego zasięgu, którą wszyscy znamy z płatności zbliżeniowych.

Technologia NFC umożliwia wymianę danych między urządzeniami znajdującymi się blisko siebie – dokładnie tak samo, jak dzieje się to podczas płacenia kartą w sklepie przy użyciu terminala płatniczego. W tym przypadku jednak rolę terminala przejmuje telefon ofiary z zainstalowaną złośliwą aplikacją. W momencie przyłożenia karty i wprowadzenia PIN-u, aplikacja przesyła wszystkie dane karty bezpośrednio do oszusta, dając mu pełny dostęp do środków zgromadzonych na koncie.

Posiadając komplet informacji o karcie, przestępca może natychmiast przystąpić do wypłacania pieniędzy z bankomatu. Co szczególnie niepokojące, takie operacje są przez systemy bankowe traktowane jako standardowe wypłaty dokonywane dzięki technologii zbliżeniowej, a nie jako nieautoryzowany dostęp do konta. Sprawia to, iż transakcje nie wzbudzają podejrzeń systemów bezpieczeństwa banku, a ofiara często dowiaduje się o kradzieży dopiero po otrzymaniu powiadomienia o dokonanej operacji lub przy następnym sprawdzeniu stanu konta.

Policja podkreśla, iż oszustwo malware NFC jest stosunkowo nowym zagrożeniem w Polsce. Po raz pierwszy o tego typu atakach CSIRT KNF (sektorowy zespół cyberbezpieczeństwa dla rynku finansowego) informował w lutym 2025 roku, kiedy to odkryto fałszywą aplikację podszywającą się pod PKO BP, wykorzystującą właśnie technologię NFC. Wówczas jednak nie było jeszcze wiadomo, iż przestępcy wykorzystują tę metodę w połączeniu z oszustwami telefonicznymi, co czyni ją znacznie bardziej skuteczną.

Funkcjonariusze przypominają, iż pracownicy instytucji finansowych nigdy nie proszą klientów o weryfikację poprzez podanie wrażliwych danych, takich jak PIN do karty czy hasło dostępu do konta bankowego. Żaden bank nie wymaga również instalacji aplikacji podczas rozmowy telefonicznej ani nie prosi o przykładanie karty do telefonu w celu weryfikacji. Takie prośby powinny natychmiast wzbudzić podejrzenia i być sygnałem do przerwania rozmowy.

Ponadto, stołeczna policja zaleca daleko idącą ostrożność wobec wszelkich obietnic wysokich zysków składanych przez nieznajome osoby, zarówno podczas rozmów telefonicznych, jak i przez internet. Funkcjonariusze podkreślają, iż wszelkie umowy finansowe najlepiej podpisywać osobiście w placówkach bankowych, gdzie można zweryfikować tożsamość konsultanta i autentyczność oferowanych usług.

Eksperci ds. cyberbezpieczeństwa zwracają uwagę, iż oszustwo malware NFC jest szczególnie niebezpieczne, ponieważ łączy elementy klasycznego phishingu z nowoczesnymi technologiami mobilnymi. Ofiarami najczęściej padają osoby starsze, mniej obeznane z nowoczesną technologią, ale ataki są coraz częściej kierowane również do młodszych użytkowników, którzy przyzwyczajeni są do korzystania z bankowości mobilnej i płatności zbliżeniowych.

Warto również pamiętać, iż aplikacje bankowe należy pobierać wyłącznie z oficjalnych sklepów, takich jak Google Play czy App Store, i zawsze sprawdzać, kto jest wydawcą aplikacji. Legalne aplikacje bankowe są zawsze publikowane przez oficjalne podmioty powiązane z bankiem, a nie przez osoby prywatne czy nieznane firmy.

Oprócz oszustwa malware NFC, w ostatnim czasie powrócił również inny niebezpieczny przekręt, znany jako „polski sklep”, w którym ofiary traciły znaczne sumy pieniędzy. Świadczy to o rosnącej aktywności cyberprzestępców i konieczności zachowania szczególnej czujności podczas korzystania z urządzeń mobilnych i usług bankowych.

Technologia NFC, choć niezwykle wygodna w codziennym życiu, może stać się narzędziem w rękach przestępców, jeżeli użytkownicy nie będą przestrzegać podstawowych zasad bezpieczeństwa. Dlatego tak ważne jest, aby nie instalować aplikacji z nieznanych źródeł, nie podawać danych wrażliwych podczas rozmów telefonicznych i zawsze weryfikować tożsamość osób kontaktujących się w sprawach finansowych.

Warto również regularnie sprawdzać stan konta oraz włączyć powiadomienia o wykonywanych transakcjach, co pozwoli na szybką reakcję w przypadku nieautoryzowanych operacji. Banki oferują również możliwość ustawienia limitów dziennych dla transakcji zbliżeniowych i internetowych, co może znacząco ograniczyć ewentualne straty w przypadku padnięcia ofiarą oszustwa.