Podszywanie się pod bank lub firmę – jak zgłosić phishing?

Podszywanie się pod bank lub firmę – jak zgłosić phishing? – najważniejsze informacje

Phishing polega na takim przygotowaniu wiadomości, strony internetowej albo innego kanału kontaktu, aby odbiorca uznał go za prawdziwy komunikat znanej instytucji. Oszust może wykorzystać nazwę i logo banku, firmy kurierskiej, operatora, sklepu, urzędu albo serwisu płatniczego. Celem może być skłonienie odbiorcy do wejścia na fałszywą stronę, podania danych logowania, danych karty, kodu autoryzacyjnego albo wykonania płatności.

Dla osoby, która otrzymała taki komunikat, najważniejsze jest rozdzielenie trzech różnych działań: zgłoszenia zagrożenia do CERT Polska, zabezpieczenia swoich rachunków i danych oraz – gdy zachowanie może stanowić przestępstwo – zawiadomienia Policji lub prokuratury. Każdy z tych kanałów ma inny cel.

Kiedy taki problem pojawia się w praktyce?

Typowe sytuacje to SMS o rzekomej dopłacie do przesyłki, wiadomość o blokadzie rachunku, fałszywe powiadomienie o płatności, e-mail z linkiem do „potwierdzenia danych” albo strona łudząco podobna do serwisu bankowego. Sam fakt, że strona używa znaku graficznego znanej instytucji, nie oznacza jeszcze automatycznie jednej konkretnej kwalifikacji karnej. Dla oceny prawnej znaczenie ma to, co sprawca zrobił, do czego próbował doprowadzić odbiorcę i czy powstała szkoda.

Jeżeli tylko otrzymałeś podejrzaną wiadomość i nie kliknąłeś linku, możesz od razu zgłosić ją jako zagrożenie. Jeżeli kliknąłeś, ale nie podałeś żadnych danych, zakres działań zależy m.in. od tego, czy pobrał się plik lub aplikacja. Jeżeli natomiast wpisałeś dane logowania, podałeś numer karty, kod BLIK, kod SMS albo zatwierdziłeś operację, priorytetem jest kontakt z bankiem i ograniczenie skutków incydentu.

Od czego zależy ocena prawna?

Phishing nie jest w Kodeksie karnym nazwą jednego, odrębnego przestępstwa. W zależności od sposobu działania sprawcy mogą mieć znaczenie różne przepisy. Inaczej ocenia się samo podszywanie pod instytucję w celu skłonienia odbiorcy do płatności, inaczej przejęcie dostępu do konta, a jeszcze inaczej ingerencję w dane informatyczne.

Znaczenie ma zwłaszcza to, czy sprawca:

• wprowadził ofiarę w błąd i doprowadził ją do niekorzystnego rozporządzenia mieniem,
• uzyskał bez uprawnienia dostęp do informacji albo systemu informatycznego,
• bez upoważnienia wpływał na przetwarzanie lub zapis danych informatycznych,
• podszywał się pod konkretną osobę i wykorzystał dane, za pomocą których ta osoba jest publicznie identyfikowana, powodując jej szkodę majątkową lub osobistą.

Gdzie zgłosić phishing i w jakiej kolejności?

1. Podejrzany SMS z linkiem – przekaż go na numer 8080

CSIRT NASK przyjmuje zgłoszenia podejrzanych wiadomości SMS pod skróconym numerem 8080. Najlepiej użyć w telefonie funkcji „przekaż” lub „udostępnij”, tak aby do analizy trafiła możliwie wierna treść otrzymanej wiadomości. Numer służy do przyjmowania SMS-ów związanych z podejrzeniem smishingu; nie jest numerem telefonu do rozmowy z konsultantem.

Przekazanie wiadomości na 8080 pomaga analitykom identyfikować złośliwe wzorce i domeny. Nie wymaga, abyś wcześniej poniósł stratę. Jeżeli wiadomość zawiera podejrzany link, nie otwieraj go ponownie tylko po to, aby przygotować zgłoszenie.

2. Fałszywa strona, e-mail lub inny incydent – zgłoś do CERT Polska

Podejrzaną stronę internetową, wiadomość e-mail lub inny incydent cyberbezpieczeństwa można zgłosić przez formularz incydent.cert.pl. W przypadku stron phishingowych CERT Polska umożliwia przekazanie adresu witryny do analizy. Zgłoszenie może prowadzić do działań ograniczających dostęp do niebezpiecznej domeny, ale nie zastępuje działań banku ani organów ścigania.

Incydent można również zgłosić w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Jeżeli masz oryginalną wiadomość lub link, zachowaj je do czasu wykonania zgłoszenia i zabezpieczenia dowodów.

3. Jeżeli wykorzystano nazwę banku lub firmy – powiadom prawdziwą instytucję

Warto poinformować także podmiot, pod który podszywa się sprawca. Banki, operatorzy, firmy kurierskie i duże serwisy mają własne zespoły bezpieczeństwa oraz kanały do zgłaszania fałszywych wiadomości. Kontaktuj się z nimi przez dane znalezione samodzielnie na oficjalnej stronie, w aplikacji albo na karcie bankowej – nie korzystaj z numeru telefonu ani linku podanego w podejrzanej wiadomości.

Jeżeli chodzi o bank i podałeś już dane logowania, dane karty lub kody autoryzacyjne, samo przesłanie informacji o phishingu nie wystarczy. Trzeba zgłosić incydent jako zagrożenie dla rachunku i wykonać zalecenia banku dotyczące blokady dostępu, karty, tokenów lub innych instrumentów płatniczych.

4. Jeżeli doszło do przestępstwa – Policja albo prokuratura

Gdy phishing doprowadził do utraty pieniędzy, przejęcia rachunku, użycia danych albo innej szkody, zawiadomienie możesz złożyć w Policji lub prokuraturze. Zawiadomienie warto złożyć jak najszybciej, ponieważ czas może mieć znaczenie dla zabezpieczenia danych teleinformatycznych, rachunków odbiorczych i innych śladów.

Zawiadomienie można złożyć w dowolnej jednostce Policji. Jeżeli dana jednostka nie jest właściwa do dalszego prowadzenia sprawy, zgłoszenie zostanie przekazane właściwemu organowi. W zawiadomieniu opisz chronologicznie: kiedy otrzymałeś wiadomość, co w niej było, jaki adres strony otworzyłeś, jakie dane podałeś, jakie operacje zostały wykonane i kiedy skontaktowałeś się z bankiem.

Podstawa prawna i kwalifikacja sprawy

Przepisy, które najczęściej mają znaczenie

Jeżeli sprawca za pomocą fałszywej wiadomości lub strony doprowadza osobę do niekorzystnego rozporządzenia mieniem w celu osiągnięcia korzyści majątkowej, może wchodzić w grę oszustwo z art. 286 § 1 Kodeksu karnego. Typ podstawowy jest zagrożony karą pozbawienia wolności od 6 miesięcy do 8 lat.

Jeżeli działanie polega na nieuprawnionym wpływaniu na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo na zmianie, usunięciu lub wprowadzeniu nowego zapisu danych w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, znaczenie może mieć art. 287 § 1 Kodeksu karnego. Przepis przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat.

Gdy sprawca bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej albo do całości lub części systemu informatycznego, może mieć zastosowanie art. 267 Kodeksu karnego. W typach opisanych w tym przepisie ściganie następuje na wniosek pokrzywdzonego.

Nie każde użycie logo banku lub nazwy spółki jest automatycznie przestępstwem z art. 190a § 2 Kodeksu karnego. Ten przepis dotyczy podszywania się pod inną osobę z wykorzystaniem jej wizerunku, danych osobowych lub innych danych, za pomocą których jest publicznie identyfikowana, i wyrządzenia jej szkody majątkowej lub osobistej. Gdy oszust podszywa się pod konkretną osobę, pomocne może być szersze omówienie zagadnienia podszywania się pod inną osobę.

W jednej sprawie możliwy jest zbieg kilku przepisów, a właściwa kwalifikacja zależy od rzeczywistego przebiegu zdarzeń. Osoba pokrzywdzona nie musi samodzielnie przesądzać kwalifikacji prawnej przed złożeniem zawiadomienia. Ważniejsze jest dokładne opisanie faktów i przekazanie dowodów.

Co organ musi ustalić?

Policja lub prokurator będą ustalać przede wszystkim mechanizm działania sprawcy, jego zamiar, sposób wprowadzenia pokrzywdzonego w błąd, zakres uzyskanego dostępu i powstałą szkodę. Znaczenie mogą mieć również dane techniczne dotyczące domeny, serwera, numerów telefonów, rachunków, portfeli płatniczych, adresów IP i urządzeń.

W sprawie o oszustwo trzeba ustalić m.in. związek między wprowadzeniem w błąd a rozporządzeniem mieniem. Jeżeli ofiara jedynie otrzymała phishingową wiadomość, ale do transferu środków nie doszło, ocena może dotyczyć wcześniejszej fazy działania sprawcy lub innych czynów. Dlatego nie należy w zawiadomieniu ograniczać się do stwierdzenia „to był phishing” – opisz dokładnie kolejne zdarzenia.

Co zrobić, jeśli kliknąłeś link albo podałeś dane?

Najpierw zabezpiecz rachunki i dostęp do kont

Jeżeli podałeś dane bankowe, dane karty, kod autoryzacyjny albo zauważyłeś nieznane operacje, jak najszybciej skontaktuj się z bankiem. Korzystaj wyłącznie z oficjalnego numeru lub aplikacji. Powiedz dokładnie, co zostało ujawnione i czy zatwierdziłeś jakąkolwiek operację. Bank może zablokować kartę, dostęp do bankowości, wylogować aktywne sesje albo zastosować inne zabezpieczenia odpowiednie do sytuacji.

Hasła zmieniaj z urządzenia, co do którego nie ma podejrzenia zainfekowania. Jeżeli podobnego hasła używałeś w innych serwisach, zmień je także tam. Włącz uwierzytelnianie wieloskładnikowe, jeżeli jest dostępne. Jeżeli pobrałeś plik albo zainstalowałeś aplikację z podejrzanego źródła, odłącz podejrzane urządzenie od sieci i nie używaj go do logowania do banku do czasu sprawdzenia bezpieczeństwa.

Jeżeli przekazałeś PESEL, serię i numer dokumentu albo skan dokumentu, rozważ zastrzeżenie numeru PESEL. Można to zrobić m.in. w aplikacji mObywatel, przez gov.pl lub w urzędzie gminy. Zastrzeżenie ogranicza możliwość wykorzystania numeru PESEL w określonych czynnościach, np. przy kredycie lub pożyczce, ale nie zastępuje kontaktu z bankiem i zgłoszenia przestępstwa.

Jakie dowody zabezpieczyć?

Nie ograniczaj się do jednego zrzutu ekranu. Dobrze zabezpieczony materiał pozwala odtworzyć chronologię zdarzenia. W zależności od sytuacji zachowaj:

• oryginalny SMS, e-mail lub wiadomość z komunikatora,
• pełny adres URL fałszywej strony, najlepiej skopiowany bez ponownego otwierania witryny,
• zrzuty ekranu wiadomości, strony i komunikatów błędów lub potwierdzeń,
• daty i godziny otrzymania wiadomości, wejścia na stronę i wykonania operacji,
• numer telefonu, nazwę nadawcy i adres e-mail widoczny w wiadomości,
• w przypadku e-maila – wiadomość w oryginalnej postaci, a jeżeli jest to możliwe także pełne nagłówki techniczne,
• potwierdzenia przelewów, płatności kartą, operacji BLIK i innych transakcji,
• korespondencję z bankiem oraz numer zgłoszenia lub reklamacji, jeżeli został nadany,
• informacje o plikach lub aplikacjach pobranych po kliknięciu linku.

Nie kasuj wiadomości i nie przywracaj urządzenia do ustawień fabrycznych przed zabezpieczeniem potrzebnych danych. Jeżeli istnieje ryzyko działania złośliwego oprogramowania, priorytetem jest odizolowanie urządzenia od sieci i korzystanie z innego, bezpiecznego sprzętu do zmiany haseł oraz kontaktu z bankiem.

Kiedy złożyć zawiadomienie i czy trzeba czekać na bank?

Nie trzeba czekać na zakończenie reklamacji bankowej, aby zawiadomić organy ścigania. Jeżeli doszło do utraty pieniędzy lub przejęcia konta, obie ścieżki warto uruchomić możliwie szybko. Do zawiadomienia możesz później dołączyć kolejne dokumenty, np. odpowiedź banku albo informacje o numerach rachunków, na które trafiły środki.

Jeżeli nie znasz sprawcy, nie jest to przeszkodą. W zawiadomieniu można opisać znane numery telefonów, adresy e-mail, domeny, rachunki i inne identyfikatory. Ustalenie osoby sprawcy należy do organów prowadzących postępowanie.

Jakie konsekwencje grożą sprawcy phishingu?

Zakres odpowiedzialności zależy od tego, jaki czyn został rzeczywiście popełniony. Przy klasycznym oszustwie z art. 286 § 1 Kodeksu karnego zagrożenie wynosi od 6 miesięcy do 8 lat pozbawienia wolności. Przy oszustwie komputerowym z art. 287 § 1 – od 3 miesięcy do 5 lat. Bezprawne uzyskanie dostępu do informacji lub systemu z art. 267 może skutkować grzywną, ograniczeniem wolności albo pozbawieniem wolności do 2 lat.

Jeżeli spełnione są przesłanki art. 190a § 2 dotyczącego podszywania się pod inną osobę i wyrządzenia jej szkody majątkowej lub osobistej, czyn jest zagrożony karą pozbawienia wolności od 6 miesięcy do 8 lat. Przepis ten jest jednak stosowany do konkretnych znamion i nie należy utożsamiać go z każdym przypadkiem użycia nazwy lub logo banku albo firmy.

Wymiar kary w konkretnej sprawie zależy m.in. od kwalifikacji czynu, rozmiaru szkody, sposobu działania, liczby pokrzywdzonych i innych okoliczności. Samo stwierdzenie, że sprawa dotyczy phishingu, nie pozwala przewidzieć końcowego rozstrzygnięcia.

FAQ

Czy warto zgłaszać phishing, jeśli nie kliknąłem linku?

Tak. Podejrzany SMS z linkiem możesz przekazać na 8080, a fałszywą stronę, e-mail lub inny incydent zgłosić przez incydent.cert.pl. Zgłoszenie do CERT Polska nie wymaga wcześniejszej utraty pieniędzy.

Czy numer 8080 służy do rozmowy z CERT Polska?

Nie. To numer przeznaczony do przekazywania podejrzanych wiadomości SMS. Inne incydenty zgłasza się m.in. przez formularz CERT Polska. Jeżeli źródłem phishingu jest e-mail albo fałszywa strona, sam numer 8080 nie jest właściwym kanałem do pełnego opisania sprawy.

Czy zgłoszenie do CERT Polska zastępuje zgłoszenie na Policję?

Nie. CERT Polska zajmuje się reagowaniem na incydenty cyberbezpieczeństwa i analizą zagrożeń. Jeżeli podejrzewasz przestępstwo, zwłaszcza gdy straciłeś pieniądze lub doszło do przejęcia konta, złóż także zawiadomienie Policji albo prokuraturze.

Co zrobić, jeśli podałem tylko login, ale nie hasło?

Zakres ryzyka zależy od rodzaju konta i innych ujawnionych informacji. Nie zakładaj jednak automatycznie, że nic się nie stało. Zmień dane dostępowe, jeżeli mogły zostać ujawnione, sprawdź aktywne sesje i zabezpieczenia konta, a w przypadku bankowości poinformuj bank o incydencie.

Czy bank zawsze odzyska pieniądze po phishingu?

Nie można tego zagwarantować. Znaczenie ma m.in. rodzaj transakcji, sposób jej autoryzacji, moment zgłoszenia i przebieg zdarzenia. Dlatego po zauważeniu nieznanej operacji lub po ujawnieniu danych bankowych skontaktuj się z bankiem natychmiast i dokładnie opisz, co się wydarzyło.

Podsumowanie – co zrobić po otrzymaniu fałszywej wiadomości?

Jeżeli wiadomość jest podejrzana, nie korzystaj z zawartego w niej linku ani numeru telefonu. SMS z linkiem przekaż na 8080, a fałszywą stronę lub inny incydent zgłoś do CERT Polska. Jeżeli podałeś dane bankowe, skontaktuj się z bankiem przez oficjalny kanał. Przy ujawnieniu danych tożsamości rozważ zastrzeżenie PESEL. Gdy doszło do szkody lub innego przestępstwa, zabezpiecz dowody i złóż zawiadomienie Policji albo prokuraturze.

Źródła

• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny, w szczególności art. 190a, art. 267, art. 286 i art. 287; tekst jednolity Dz.U. z 2025 r. poz. 383 z późniejszymi zmianami.
• Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, w szczególności art. 4–5; tekst jednolity Dz.U. z 2024 r. poz. 1803.
• CERT Polska: „Kontakt” oraz „Lista Ostrzeżeń przed niebezpiecznymi stronami” – informacje o formularzu incydent.cert.pl i numerze 8080.
• Ministerstwo Cyfryzacji, „Phishing i fałszywe inwestycje: sprawdź, jak nie dać się oszukać”, 10 lutego 2026 r.
• Centralne Biuro Zwalczania Cyberprzestępczości, „Zgłoś cyberoszustwo”.