Oszustwa internetowe rzadko kończą się na jednym kliknięciu. Jedna fałszywa płatność, przejęty profil albo wiadomość z linkiem potrafią uruchomić lawinę: utratę pieniędzy, kradzież danych i kolejne próby wyłudzeń. W tym artykule wyjaśniam, gdzie zgłosić oszustwo internetowe, jaką ścieżkę wybrać w Polsce i co przygotować, żeby zgłoszenie faktycznie pomogło.
Najkrótsza droga zależy od tego, co dokładnie straciłeś
- Jeśli z konta zniknęły pieniądze, najpierw kontakt z bankiem, a potem zawiadomienie na Policji.
- Fałszywe strony, phishing i podejrzane SMS-y zgłasza się także do CERT Polska; SMS z linkiem można przekazać na 8080.
- Gdy zagrożenie jest pilne i ktoś właśnie wyłudza pieniądze, użyj numeru 112.
- Do zgłoszenia przydadzą się zrzuty ekranu, korespondencja, adres strony, numery kont i potwierdzenia przelewów.
- Jeśli w grę wchodziły dane osobowe, rozważ zastrzeżenie PESEL.
- Samo zgłoszenie bankowi nie zastępuje zawiadomienia o przestępstwie, jeśli doszło do oszustwa.
Najpierw zatrzymaj straty i odetnij dostęp do kont
Ja w takiej sytuacji zaczynam od odcięcia dalszych strat. Jeśli oszust miał dostęp do płatności, numeru karty, aplikacji bankowej albo konta mailowego, każda minuta działa na jego korzyść.
- Skontaktuj się z bankiem lub dostawcą płatności i poproś o blokadę karty, konta albo autoryzacji, jeśli to jeszcze możliwe.
- Zmień hasła do poczty, bankowości, komunikatorów i kont, które mogły być powiązane z atakiem. Włącz uwierzytelnianie wieloskładnikowe, jeśli jeszcze go nie masz.
- Jeśli przejęto konto społecznościowe, ostrzeż znajomych, bo oszuści często wysyłają z takiego konta prośby o szybki przelew lub kod BLIK.
- Jeśli wyciekły dane osobowe, od razu rozważ zastrzeżenie PESEL, żeby utrudnić zaciągnięcie zobowiązań na twoje dane.
- Jeśli ktoś naciska cię telefonicznie, każe działać natychmiast albo podaje się za bank, Policję czy inną instytucję, przerwij rozmowę i w razie realnego zagrożenia użyj 112.
Gdy pieniądze i logowanie są już zabezpieczone, można przejść do właściwego zgłoszenia i dobrać kanał do rodzaju incydentu.
Gdzie zgłosić sprawę w zależności od sytuacji
W Polsce najczęściej działają trzy ścieżki: Policja, CERT Polska i bank. To nie są zamienniki, tylko uzupełniające się kanały, bo każdy rozwiązuje inny fragment problemu.
| Sytuacja | Gdzie zacząć | Dlaczego właśnie tam |
|---|---|---|
| Straciłeś pieniądze po przelewie, płatności kartą, BLIK-u albo inwestycji | Bank natychmiast, potem Policja | Bank może spróbować zablokować dalsze operacje, a Policja przyjmuje formalne zawiadomienie o przestępstwie |
| Otrzymałeś fałszywy SMS, link do phishingu albo trafiłeś na podejrzaną stronę | CERT Polska | Takie incydenty pomagają szybciej wykrywać kampanie oszustw i ostrzegać innych |
| Ktoś przejął twoje konto e-mail lub profil w mediach społecznościowych | Platforma, Policja i CERT Polska | Trzeba odzyskać dostęp, ograniczyć dalsze wyłudzenia i zabezpieczyć ślady techniczne |
| Oszustwo trwa teraz, ktoś naciska cię w rozmowie lub każe działać natychmiast | 112 | To sytuacja pilna, w której liczy się szybka reakcja służb |
| W grę wchodzą dane osobowe i ryzyko wyłudzenia kredytu | Policja oraz zastrzeżenie PESEL | Trzeba ograniczyć możliwość wykorzystania twojej tożsamości |
Zgłoszenie do CERT Polska składasz elektronicznie, najlepiej przez formularz online, a jeśli masz tylko podejrzany SMS z linkiem, możesz przekazać go na numer 8080. W sprawach, w których doszło do przestępstwa i strat, formalne zawiadomienie o oszustwie składasz w Policji, najlepiej bez zwlekania. Dzięki temu sprawa nie zostaje tylko na poziomie ostrzeżenia technicznego.
W praktyce nie ma jednego „właściwego” adresata dla każdego przypadku. Jeśli złodziej tylko próbował cię podejść, często wystarczy CERT i zabezpieczenie kont. Jeśli jednak pieniędzy już nie ma, trzeba od razu włączyć bank i Policję. Ta różnica ma znaczenie, bo później decyduje o tym, czy sprawa trafi do blokady transakcji, analizy incydentu czy postępowania karnego.
Jakie dowody przygotować przed zgłoszeniem
Im lepiej udokumentujesz zdarzenie, tym mniej czasu tracisz na odtwarzanie faktów po fakcie. W sprawach internetowych liczy się nie tylko to, że coś się stało, ale też jak dokładnie do tego doszło.
- Adres strony internetowej, przez którą doszło do oszustwa, albo nazwa fałszywego sklepu czy platformy.
- Zrzuty ekranu z wiadomości, ogłoszeń, czatu, formularza płatności i potwierdzeń transakcji.
- Kopia korespondencji e-mail, SMS, Messenger, WhatsApp lub innego komunikatora w niezmienionej formie.
- Numer konta bankowego, na który trafiły pieniądze, numer portfela kryptowalut albo dane pośrednika płatności.
- Potwierdzenia przelewów, wypłat z bankomatu, transakcji kartą lub operacji BLIK.
- Data i godzina kontaktu z oszustem oraz opis tego, co dokładnie zostało zrobione pod jego wpływem.
- Wysokość strat oraz informacja, jakie dane zostały skradzione lub wykorzystane.
- Informacja o tym, czy numer PESEL był już zastrzeżony.
Nie kasuj rozmów i nie czyść urządzenia zanim zrobisz kopię materiału. W sprawach internetowych to, co dziś wygląda jak zwykły spam, jutro bywa jedynym śladem po sprawcy.
Jeśli komplet dowodów jest gotowy, można dobrać właściwy kanał do konkretnego scenariusza i uniknąć najczęstszego błędu, czyli zgłoszenia w złym miejscu.
Jak rozpoznać, która ścieżka ma sens w twojej sytuacji
Najczęściej spotykam kilka powtarzalnych scenariuszy. Każdy z nich wygląda podobnie z perspektywy ofiary, ale wymaga trochę innego pierwszego ruchu.
- Fałszywy sklep albo ogłoszenie - jeśli zapłaciłeś za towar, którego nie ma, najpierw skontaktuj się z bankiem, a potem złóż zawiadomienie na Policji. Dodatkowo zgłoszenie do CERT Polska pomaga przy blokowaniu podobnych stron.
- Wyłudzenie kodu BLIK lub przelewu na „bezpieczne konto” - to klasyczny schemat, w którym liczy się natychmiastowy telefon do banku i formalne zgłoszenie przestępstwa. Tu zwlekanie kosztuje najwięcej.
- Przejęte konto społecznościowe - poza Policją i CERT Polska trzeba od razu odzyskać dostęp przez platformę oraz ostrzec znajomych, bo z takiego konta oszuści zwykle idą dalej.
- Podejrzany SMS z linkiem - nie klikaj, nie odpisuj, przekaż wiadomość na 8080 i zachowaj treść wiadomości jako dowód. Taki ruch pomaga szybciej oznaczyć kampanię phishingową.
- Kradzież danych osobowych - poza zawiadomieniem warto od razu zastrzec PESEL, bo problem często nie kończy się na jednym logowaniu, tylko przechodzi w próbę kredytu, rat albo umowy zawartej na twoje dane.
Ja traktuję te scenariusze jak krótką mapę decyzyjną: najpierw pieniądze, potem dane, a dopiero na końcu techniczne porządki. Taki układ zwykle daje najlepszy efekt, bo nie myli reakcji awaryjnej z późniejszym sprzątaniem po ataku.
Najczęstsze błędy, które utrudniają sprawę
W praktyce wiele osób nie traci szansy przez sam atak, tylko przez to, co robi zaraz po nim. I to są zwykle proste błędy, których można uniknąć bez specjalistycznej wiedzy.
- Zbyt długie czekanie z kontaktem do banku, bo „może transakcja sama się cofnie”.
- Dzwonienie pod numer z wiadomości lub z internetu zamiast na oficjalną infolinię banku.
- Kasowanie SMS-ów, e-maili i czatów przed zapisaniem dowodów.
- Zmiana tylko jednego hasła, mimo że oszust mógł wejść przez pocztę i przejąć kolejne konta.
- Zakładanie, że samo zgłoszenie do banku wystarczy i nie trzeba już zawiadamiać Policji.
- Powrót do korzystania z urządzenia bez sprawdzenia, czy nie zostały na nim złośliwe aplikacje lub przekierowania.
To właśnie te potknięcia najczęściej kosztują najwięcej czasu, więc po ich wyłapaniu zostaje już tylko opisanie, co dzieje się po zgłoszeniu i jakie działania warto kontynuować samemu.
Co dzieje się po zgłoszeniu i jak domknąć ryzyko
Po zgłoszeniu Policja może poprosić o dodatkowe informacje, a CERT Polska - o szczegóły techniczne, które pomogą powiązać incydent z większą kampanią oszustw. To normalne: im pełniej opiszesz sprawę, tym łatwiej odróżnić jednorazowy przypadek od schematu, który krąży szerzej w sieci.
- Monitoruj rachunek i historię logowań przez kilka następnych tygodni.
- Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie to możliwe.
- Sprawdź, czy nie używałeś tego samego hasła w kilku serwisach.
- Jeśli wyciekły dane osobowe, zastrzeż PESEL i obserwuj, czy nie pojawiają się podejrzane próby zawierania umów.
- Zachowaj potwierdzenie zgłoszenia i numer sprawy, bo może być potrzebny w banku, u ubezpieczyciela albo przy dalszych czynnościach.
- Jeśli oszuści wykorzystali konto społecznościowe, poinformuj osoby, do których mogli już napisać.
Jeśli mam zostawić jedną praktyczną regułę, brzmi ona tak: najpierw bank i zabezpieczenie dostępu, potem Policja albo CERT Polska, a w sytuacji nagłej 112. Taki porządek nie rozwiązuje wszystkiego, ale w realnych sprawach najczęściej robi największą różnicę.
