„Zabezpieczamy środki" — jak działa fałszywy doradca banku i dlaczego nigdy nie podaje kodów BLIK

Telefon z „banku", uprzejmy głos, twoje imię i nazwisko, a nawet ostatnie transakcje z konta. Rozmówca mówi, że wykryto podejrzaną transakcję i trzeba „zabezpieczyć środki" — najlepiej teraz, na telefonie. To najbardziej klasyczny scenariusz vishingu w Polsce i nadal jeden z najbardziej skutecznych, bo gra na strachu o własne pieniądze.

Scenariusz krok po kroku

Chociaż szczegóły się zmieniają, rdzeń rozmowy jest zawsze podobny:

1. Zbudowanie wiarygodności. Oszust przedstawia się doradcą działu bezpieczeństwa banku — PKO, Pekao, mBank, Santander, konkretna nazwa zależy od tego, gdzie „oficjalnie" ma konto ofiara. Często zna imię, miasto, a czasem ostatnie operacje na koncie (te dane bywają wykradzione z innych wycieków).
2. Wywołanie presji. „Za chwilę zrealizowana zostanie podejrzana transakcja na dużą kwotę", „konto zostało przejęte", „musimy działać natychmiast".
3. Prośba o „weryfikację". Padają prośby o podanie kodu BLIK, kodu SMS, hasła do bankowości, numeru karty albo — o zgrozo — instalacja „aplikacji zabezpieczającej" lub „pilnującej operatora", która w rzeczywistości daje pełny zdalny dostęp do telefonu.
4. Wykonanie przelewu. Wariant odwrócony: oszust prosi, żeby ofiara sama „przeniosła środki na bezpieczne konto" — tak naprawdę na konto przestępcy.

Dlaczego bank NIGDY nie pyta o kody

To nie jest kwestia uprzejmości ani procedury, tylko mechaniki działania systemu. Kod BLIK i kod SMS służą do potwierdzania operacji, które Ty inicjujesz w aplikacji. Nikt w banku nie potrzebuje twojego kodu, żeby coś zrobić — on potrzebuje go tylko wtedy, gdy chce zrobić coś za ciebie, na twoją niekorzyść.

Z tego samego powodu prawdziwy pracownik banku nie poprosi cię o:

• pełny numer karty, kod CVV ani datę ważności,
• hasło do bankowości internetowej,
• zainstalowanie żadnej aplikacji zdalnego dostępu (typu zdalny pulpit czy „wsparcie techniczne"),
• samodzielne przelanie pieniędzy „na konto bezpieczeństwa" — takie konta nie istnieją.

Gdy usłyszysz którekolwiek z powyższych, rozmowa skończyła się. Nie kładź słuchawki z obawy, że to „prawdziwy bank" — to jest dokładnie ten moment, w którym masz pełne prawo się rozłączyć.

Weryfikacja przez oddzwonienie

Złota zasada brzmi: inicjatywa należy do ciebie. Jeśli telefon rzekomo od banku jest dla ciebie ważny, rozłącz się i sam zadzwoń na numer z oficjalnej aplikacji banku albo z odwrotu karty. Wtedy rozmawiasz z faktycznym centrum kontaktu, a nie z osobą, która do ciebie zadzwoniła.

Dlaczego to działa? Bo oszust nie może odebrać twojego połączenia w banku. Ponieważ numery przychodzące da się podrobić (tzw. spoofing — na wyświetlaczu może pojawić się nawet prawdziwy numer infolinii twojego banku), widok znajomego numeru nie dowodzi niczego. Dowodem jest dopiero połączenie, które wy nawiązaliście sami, z numeru, który sami znaleźliście.

Kto najbardziej na tym traci

Schemat celuje w osoby, które boją się o oszczędności: starsi użytkownicy, ale coraz częściej również trzydziesto- i czterdziestolatkowie — bo scenariusz „podejrzanej transakcji" jest naturalny dla każdego, kto na co dzień płaci telefonem. Oszuści dopasowują tempo rozmowy do ofiary: gdy słyszą wahanie, dokładają autorytet („mówi pan z działem bezpieczeństwa centrali") lub drugą osobę „z kierownictwa".

Warto też wiedzieć, że instytucje ostrzegają przed tym schematem od lat — opisy ostrzeżeń publikują m.in. UOKiK i CERT Polska, a sami bankierzy powtarzają w kampaniach społecznych: bank nigdy nie prosi o kody.

Jak rozmowa wygląda od strony oszusta

Warto zrozumieć, że to zwykle nie spontaniczny telefon, tylko element sprawy rozłożonej na etapy. Oszust może wcześniej „rozgrzać" numer krótkim połączeniem, wysłać SMS przypominający o „spotkaniu z doradcą", a nawet rozmawiać z ofiarą przez kilka dni, budując relację. Rozmowa końcowa jest prowadzona według znanego skryptu, często z przewodnikiem (osoba nadrzędna, podpowiadająca przez słuchawkę) i z gotowymi odpowiedziami na najczęstsze wątpliwości.

Jeśli ofiara pyta „skąd macie mój numer" albo „dlaczego nie mogę się rozłączyć i zadzwonić do banku", scenariusz ma na to gotowe wyjścia: „to sprawa poufna", „kontrola jest nagrywana", „procedura nie przewiduje kontaktu zwrotnego". Każda odpowiedź, która ma odciąć cię od samodzielnej weryfikacji, jest potwierdzeniem, że po drugiej stronie nie ma banku.

Co robić, jeśli padłeś ofiarą

Jeśli podałeś kody albo zatwierdziłeś przelew:

1. Zadzwoń natychmiast do banku — numer z aplikacji lub karty — i zgłoś incydent, poproś o blokadę konta i karty.
2. Złóż zawiadomienie na policji lub prokuraturze. Bez tego bank ma utrudnioną drogę do walki o zwrot środków.
3. Zabezpiecz telefon — jeśli instalowałeś jakąkolwiek aplikację zdalnego dostępu, odinstaluj ją, zmień hasła (najpierw do bankowości i poczty) i rozważ przywrócenie ustawień fabrycznych.
4. Zgłoś sprawę do CERT Polska — pozwala to ostrzec innych i wesprzeć identyfikację kampanii.

Pieniądze bywają odzyskiwane, gdy reakcja jest błyskawiczna i sprawa trafia do banku oraz organów ścigania od razu — każda godzina zwłoki zmniejsza szanse. Pomocne jest też wcześniejsze zabezpieczenie numeru: aplikacje takie jak NoCall oznaczają zgłoszone przez społeczność numery „fałszywych doradców", zanim zdążysz odebrać.

Podsumowanie

„Zabezpieczenie środków" to manipulacja, nie procedura. Bank nie pyta o BLIK, nie prosi o instalacje aplikacji i nie wysyła po twoje pieniądze. Rozłącz się, oddzwoń na oficjalny numer i sprawdź, czy sprawa jest prawdziwa — a jeśli nie, zgłoś numer, żeby oszust nie dosięgnął następnej osoby.