„Dzwoni bank”: 5 pytań, które w 30 sekund demaskują vishing

Krótka odpowiedź: Vishing to oszustwo przez telefon, w którym przestępca podszywa się pod pracownika banku, policjanta albo członka rodziny, żeby wyłudzić pieniądze lub dane. Zdemaskujesz go w 30 sekund, zadając sobie 5 pytań: dlaczego to on dzwoni do mnie, dlaczego muszę działać natychmiast, dlaczego prosi o coś, o co bank nigdy nie prosi, jak mogę to sprawdzić niezależnie i co się stanie, jeśli się rozłączę. Najważniejsza zasada brzmi: rozłącz się i zadzwoń do banku sam, na numer z karty lub z aplikacji.

Telefon z numerem, który wygląda jak numer banku. Spokojny głos konsultanta, który mówi, że ktoś właśnie próbuje wziąć kredyt na Twoje dane. Tak zaczyna się większość rozmów, które kończą się pustym kontem. Vishing działa nie dlatego, że ofiary są naiwne, tylko dlatego, że oszuści celowo wywołują strach i pośpiech, a w takim stanie każdy z nas myśli gorzej. W tym poradniku dostajesz gotową metodę obrony, przykłady typowych scenariuszy oraz opis tego, jak krok po kroku działają przestępcy.

Czym jest vishing i dlaczego oszustwo „dzwoni bank” działa

Vishing (voice phishing) to wyłudzanie danych lub pieniędzy podczas rozmowy telefonicznej. Nazwa pochodzi od angielskich słów voice (głos) i phishing. Przestępca nie musi włamywać się do systemu bankowego, bo łatwiej jest przekonać Ciebie, żebyś sam wykonał przelew, podał kod albo zainstalował program.

Najczęstsze role, w które wcielają się oszuści

• Konsultant lub pracownik banku, który „chroni Twoje pieniądze” przed rzekomym włamaniem lub kredytem.
• Policjant, prokurator lub pracownik urzędu, który prowadzi „tajną akcję” i prosi o współpracę.
• Wnuczek, syn lub córka, którzy mają kłopoty i potrzebują pilnie gotówki. Coraz częściej głos bywa sztucznie wygenerowany.
• Pracownik firmy kurierskiej, operatora lub dostawcy energii, który prosi o „potwierdzenie” danych lub dopłatę.

Dlaczego łatwo dać się nabrać

Oszuści wykorzystują trzy mechanizmy psychologiczne: autorytet (instytucja, której ufasz), strach (utrata pieniędzy, kłopoty bliskiej osoby) i presję czasu („musi Pan działać teraz”). Przy takim zestawie nawet osoby świadome zagrożeń potrafią podać kod BLIK. Dlatego skuteczna obrona to nie „bycie mądrzejszym”, tylko prosty nawyk, który włączasz zawsze, gdy ktoś dzwoni w sprawie pieniędzy.

5 pytań, które w 30 sekund demaskują vishing

Poniższe pytania pozwalają rozpoznać vishing. Zadaj je sobie w trakcie rozmowy, a najlepiej zaraz po jej zakończeniu. Wystarczy jedna odpowiedź „tak, to dziwne”, żeby się rozłączyć.

Więcej o tym, jak sprawdzić, czy ktoś naprawdę jest tym, za kogo się podaje, znajdziesz w artykule Jak sprawdzić, czy sklep internetowy istnieje naprawdę.

Vishing w praktyce: 5 scenariuszy i case study

Poniższe scenariusze są ilustracyjne. Opisują typowe schematy znane z komunikatów banków i Policji, a nie konkretne osoby. Imiona są przykładowe.

Scenariusz 1: „Ktoś wziął kredyt na Pani dane” i program do zdalnego dostępu

Pani Ewa dostaje telefon z numeru bliskiego numerowi infolinii. Konsultant mówi spokojnie, że ktoś właśnie próbuje zaciągnąć kredyt na jej dane. Żeby „zablokować wniosek”, prosi o zainstalowanie aplikacji „do weryfikacji”, która w rzeczywistości jest programem do zdalnego dostępu. Z jego pomocą oszust widzi ekran telefonu, może zalogować się do bankowości i sam wziąć pożyczkę oraz przelać środki.

Gdzie był błąd: bank nie prosi o instalację takich aplikacji. Jak przerwać: rozłączyć się już przy prośbie o instalację i zadzwonić do banku samodzielnie.

Scenariusz 2: „Przelej pieniądze na bezpieczne konto”

Pan Marek słyszy, że jego konto zostało zhakowane i konsultant „przeniesie” środki na konto techniczne, aby je zabezpieczyć. Podaje numer rachunku i prosi o przelew z własnej aplikacji, a potem o dodatkową „weryfikację” kodem SMS. Pieniądze trafiają do przestępców, a dalej przez kolejne rachunki, żeby utrudnić odzyskanie.

Gdzie był błąd: nie istnieje coś takiego jak „bezpieczne konto” podawane przez telefon. Jak przerwać: odmówić jakiegokolwiek przelewu na wskazany numer i zadzwonić do banku.

Scenariusz 3: fałszywy policjant i „pomoc w akcji”

Do pani Haliny dzwoni mężczyzna, który przedstawia się jako policjant. Mówi, że trwa tajna akcja przeciwko nieuczciwym pracownikom banku, i prosi o wypłatę oszczędności „na dowód” albo o przekazanie pieniędzy kurierowi. Policja ostrzega, że nigdy nie informuje telefonicznie o prowadzonych czynnościach ani nie prosi o pieniądze czy wartościowe rzeczy.

Gdzie był błąd: uwierzenie w „tajność” rozmowy i zakaz kontaktu z rodziną. Jak przerwać: rozłączyć się i zadzwonić na numer 112 lub do najbliższej jednostki Policji, a potem do kogoś bliskiego.

Scenariusz 4: „wnuczek” po wypadku

Pan Józef odbiera telefon od osoby, która płacze i mówi: „Dziadku, miałem wypadek”. Chwilę później do rozmowy wchodzi rzekomy policjant, który żąda kaucji. Według komunikatów banków po pieniądze często przychodzi pod drzwi osoba z zewnątrz. Zakończenie rozmowy i telefon do prawdziwego wnuczka zwykle rozwiązują sprawę w kilkanaście sekund.

Gdzie był błąd: brak sprawdzenia głosu i danych niezależnym kanałem. Jak przerwać: rozłączyć się i samodzielnie zadzwonić do wnuczka lub jego rodziców.

Scenariusz 5: SMS z linkiem, a potem telefon

Najpierw przychodzi SMS lub e-mail z linkiem do „weryfikacji konta”, który prowadzi na fałszywą stronę logowania. Po kilku minutach dzwoni „konsultant”, który zna już Twoje imię i bank, bo dane zostały wpisane na fałszywej stronie. Takie połączenie smishingu (SMS) i vishingu (telefon) CERT Polska opisuje w ostrzeżeniach o fałszywych stronach bankowych.

Gdzie był błąd: kliknięcie w link z wiadomości. Jak przerwać: logować się wyłącznie przez oficjalną aplikację lub adres wpisany ręcznie. O zasadach rozpoznawania podejrzanych adresów piszemy w artykule Jak czytać URL i domenę, zanim jeszcze klikniesz w link.

Jak działają oszuści: anatomia rozmowy vishingowej

Zrozumienie schematu pomaga rozpoznać vishing na każdym etapie. Poniżej opisujemy pięć faz typowego vishingu oraz to, co w każdej z nich możesz zrobić.

Faza 1: rozpoznanie i zdobycie danych

Przestępcy zaczynają od danych, które wyciekły z baz, od fałszywych stron logowania lub z mediów społecznościowych. Imię, nazwisko, nazwa banku czy numer telefonu sprawiają, że rozmówca brzmi wiarygodnie. Jeśli ktoś zna Twoje imię i bank, to nie jest dowód, że naprawdę dzwoni z banku.

Faza 2: podszycie się pod instytucję (spoofing)

W tej fazie oszust sprawia, że na ekranie pojawia się numer przypominający numer banku, policji czy urzędu. To podszywanie się pod numer nazywa się spoofingiem. Technicznie jest to możliwe, więc wyświetlony numer nigdy nie może być jedynym kryterium zaufania.

Faza 3: presja, strach i izolacja

Rozmówca wywołuje strach (zagrożone oszczędności, wypadek bliskiej osoby) i narzuca tempo. Często zakazuje rozmowy z kimkolwiek: „to tajna sprawa”, „pracownik banku może być w zmowie”. Izolacja ma Cię odciąć od osoby, która mogłaby powiedzieć „to oszustwo”.

Faza 4: wyłudzenie w vishing

Dopiero teraz przychodzi właściwa prośba: podanie kodu BLIK lub SMS, instalacja programu do zdalnego dostępu, przelew na „bezpieczne konto”, wypłata gotówki dla kuriera. To moment, w którym kończy się czas na zastanawianie się. Każda z tych próśb jest samodzielnym powodem, by przerwać rozmowę.

Faza 5: ukrycie śladów

Skradzione środki szybko trafiają na kolejne rachunki, w tym konta tzw. słupów. Policja opisywała przypadki, w których oszuści brali także pożyczki na dane ofiar, a pieniądze wyprowadzali przez wiele rachunków. Im szybciej zgłosisz sprawę bankowi, tym większa szansa na zablokowanie transakcji.

Vishing: co robić w którym momencie, instrukcja krok po kroku

Podczas rozmowy, w której podejrzewasz vishing

• Nie podawaj kodów BLIK, haseł, kodów SMS ani numeru karty.
• Niczego nie instaluj i nie zmieniaj ustawień zabezpieczeń telefonu.
• Nie wykonuj przelewów ani wypłat na prośbę rozmówcy.
• Powiedz krótko: „Oddzwonię” i zakończ rozmowę. Nie tłumacz się i nie dyskutuj.

Zaraz po rozłączeniu

• Zadzwoń do banku samodzielnie, na numer z karty, aplikacji lub oficjalnej strony. Nie oddzwaniaj na numer, który właśnie do Ciebie dzwonił.
• Sprawdź w aplikacji historię transakcji i wnioski kredytowe.
• Zablokuj numer rozmówcy i opowiedz o sytuacji komuś bliskiemu.

Gdy już podałeś dane lub wykonałeś przelew

Przy vishing liczy się każda minuta. Wykonaj kolejno poniższe kroki.

1. Zadzwoń do banku i poproś o zablokowanie kart, dostępu do bankowości i próby zatrzymania transakcji.
2. Odinstaluj aplikację do zdalnego dostępu, jeśli ją zainstalowałeś, i zmień hasła z innego, bezpiecznego urządzenia.
3. Zgłoś sprawę Policji osobiście w jednostce lub pod numerem alarmowym 112, jeśli sytuacja jest pilna.
4. Zastrzeż swój numer PESEL, żeby utrudnić branie pożyczek na Twoje dane. Usługa jest bezpłatna, a instrukcję znajdziesz na gov.pl.
5. Zgłoś fałszywą stronę lub wiadomość do CERT Polska przez incydent.cert.pl.
6. Zachowaj dowody: numer telefonu, godzinę rozmowy, zrzuty ekranu, potwierdzenia przelewów.

Vishing a bliscy: jak chronić seniorów i dzieci

Vishing najczęściej uderza w osoby, które mają mniej doświadczenia z technologią albo więcej zaufania do ludzi. Dobra wiadomość jest taka, że kilka prostych ustaleń rodzinnych bardzo utrudnia pracę oszustów.

Vishing wobec seniorów: jak chronić osoby starsze

• Zasada „nic przez telefon”. Ustalcie, że żadne decyzje o pieniądzach nie zapadają w trakcie rozmowy, która zaczęła się od cudzego telefonu.
• Kartka przy telefonie. Wpiszcie numery do banku, rodziny i Policji. W stresie łatwiej zadzwonić, niż szukać.
• Hasło rodzinne. Wybierzcie słowo, którego nie ma w mediach społecznościowych. Jeśli ktoś mówi głosem wnuczka, może je podać tylko prawdziwy wnuczek.
• Limity w banku. Poproście o niższe dzienne limity przelewów i płatności BLIK oraz włączcie powiadomienia o operacjach.
• Rozmowa bez wstydu. Powiedzcie wprost, że oszuści oszukują także inteligentnych ludzi, a zgłoszenie próby jest powodem do dumy, nie wstydu.
• Gotówka dla „kuriera”. Nikt uczciwy nie przyjeżdża po gotówkę do domu na prośbę przekazaną telefonicznie.

Według danych Komendy Głównej Policji z 2020 roku seniorzy stracili wtedy w wyniku oszustw m.in. „na wnuczka” około 86 mln zł. To dane starsze, ale pokazują skalę problemu, który wciąż się zmienia i dotyka kolejnych roczników.

Vishing wobec dzieci i nastolatków: jak je chronić

• Kody to nie gra. Wytłumaczcie, że kod BLIK, kod z SMS-a ani dane karty nie są nikomu potrzebne, nawet „adminowi gry” czy „kupującemu na OLX”.
• Zasada jednego pytania. Jeśli ktoś o coś prosi i się spieszy, dziecko mówi: „Zapytam rodziców” i kończy rozmowę.
• Limity i kontrola. Ustawcie niskie limity na kartach i w aplikacjach płatniczych oraz włączcie powiadomienia dla rodzica.
• Zero kar za zgłoszenie. Dziecko, które boi się reakcji, ukryje problem. Obiecajcie, że za zgłoszenie próby oszustwa nie będzie kary.
• Rozmowa o wizerunku. Nagrania głosu i filmy publikowane w sieci mogą posłużyć do klonowania głosu, więc warto ograniczyć ich publiczny dostęp.

O uczeniu dzieci weryfikowania informacji w sieci piszemy w artykule Jak nauczyć dziecko szukać informacji w erze TikToka i Reels.

Rodzinny protokół na wypadek ataku: vishing

Spiszcie na jednej kartce trzy zasady: rozłączam się, dzwonię sam, nikomu nie podaję kodów. Dodajcie hasło rodzinne i numery, pod które dzwonicie w razie wątpliwości. Taka kartka z zasadami na wypadek vishing kosztuje 5 minut, a potrafi uratować oszczędności całego życia.

Najczęściej zadawane pytania o vishing

Chcesz szukać i weryfikować jeszcze mądrzej?

Więcej z naszego bloga

Zobacz wszystkie wpisy na blogu →

Źródła: PKO Bank Polski, „Uważaj na telefonicznych oszustów” (pkobp.pl); CERT Polska, komunikat „Uwaga na oszustwa wykorzystujące wizerunki banków” (czerwiec 2026, moje.cert.pl); Policja i Centralne Biuro Zwalczania Cyberprzestępczości, komunikat o zlikwidowanej grupie wyłudzającej środki metodą „na pracownika banku” (dane z lat 2022–2024); Bank Polskich Spółdzielczości, komunikat „Oszustwa na wnuczka i na policjanta wciąż groźne”; Radio Kraków, omówienie danych Komendy Głównej Policji o stratach seniorów w 2020 roku. W razie podejrzenia oszustwa zgłoś sprawę bankowi i Policji. Poradnik ma charakter informacyjny i nie zastępuje porady prawnej.