Wielogodzinny vishing doprowadził klientkę PKO BP do zaciągnięcia 80 tys. zł pożyczki i wypłaty 16 tys. zł oszczędności. W innych wariantach przestępcy wysyłają linki do formularzy żądających danych karty, PESEL-u, salda rachunku oraz kodów autoryzacyjnych. Phishing ma dziś wiele twarzy.
Najlepiej znany schemat zaczyna się od e-maila lub SMS-a. Odbiorca klika link, trafia na podrobioną stronę i wpisuje dane. Przestępcy nie muszą jednak czekać, aż ofiara otworzy formularz. Mogą do niej zadzwonić.
Voice phishing, nazywany vishingiem, opiera się na rozmowie telefonicznej. Oszust podaje się za pracownika banku i informuje o próbie kradzieży albo kredycie zaciągniętym na dane klienta. Przedstawia się z imienia i nazwiska, podaje numer identyfikacyjny, zna nazwę banku. Scenariusz jest przygotowany tak, aby uprzedzić pytania ofiary.
Tajna operacja, o której nie wolno mówić
W sprawie opisanej przez Bankier.pl w marcu 2026 r. do niedoszłej ofiary zadzwonił rzekomy pracownik departamentu bezpieczeństwa PKO BP. Twierdził, że ktoś zaciągnął pożyczkę na dane rozmówcy. Mówił o grupie przestępczej, w którą mieli być zamieszani pracownicy banku.
Oszust wypytywał, w jakich bankach mężczyzna ma rachunki i ile przechowuje na nich pieniędzy. Jednocześnie zabronił mu mówić o sprawie. Ujawnienie prowadzonej „operacji” miało skończyć się zarzutem utrudniania śledztwa.
Później rozmowę przejął rzekomy pracownik operacyjny BIK. Polecił mężczyźnie zaciągnąć możliwie wysoką pożyczkę, wypłacić pieniądze w gotówce i wpłacić je we wskazanym urządzeniu. Kredyt miał rzekomo zablokować zdolność kredytową przed kolejnymi wyłudzeniami.
W części wariantów kolejnym rozmówcą jest fałszywy policjant albo prokurator. Potwierdza historię przedstawioną przez „bankowca” i przekonuje, że ofiara uczestniczy w tajnej operacji. Rozmowa trwa, a kontakt z rodziną lub prawdziwym bankiem zostaje przedstawiony jako zagrożenie dla śledztwa.
Policja opisywała w lutym 2026 r. przypadek mieszkanki Siedlec, do której zadzwonili fałszywy funkcjonariusz i prokurator. Kobieta usłyszała, że pomaga rozbić grupę oszukującą seniorów. Nie mogła powiedzieć o tym rodzinie ani pracownikom banku. Przez kilka miesięcy wykonywała polecenia przestępców i straciła ponad 150 tys. zł.
Klientka wypłaciła 96 tys. zł
Vishing nie zawsze kończy się przed wizytą w banku. Oszuści potrafią przygotować ofiarę do rozmowy z pracownikiem placówki i narzucić jej wersję wydarzeń, której ma się trzymać.
Tak było w kolejnej sprawie opisanej przez Bankier.pl. Według relacji rodziny przestępcy przez wiele godzin podszywali się pod pracowników banku oraz przedstawicieli instytucji publicznych. Przesyłali kobiecie spreparowane wiadomości i dokumenty. Osobno przekazywali instrukcje.
Klientka PKO BP zaciągnęła 80 tys. zł pożyczki, otworzyła nowy rachunek i wypłaciła całą kwotę w gotówce. Pobrała też 16 tys. zł z drugiego konta. W placówce powiedziała, że chce kupić samochód dla męża jako prezent na rocznicę ślubu.
PKO BP przekazał Bankier.pl, że kobieta zachowywała się spokojnie i naturalnie. Nie rozmawiała przez telefon podczas obsługi, a pracownik nie widział urządzenia. Bank uznał, że nie wystąpiły okoliczności wskazujące na oszustwo. Według relacji rodziny takie operacje były dla klientki całkowicie nietypowe.
Tradycyjny phishing nadal zbiera żniwo
W klasycznym phishingu rozmowę zastępuje fałszywa strona. Link przychodzi przez SMS, pocztę elektroniczną, komunikator albo reklamę. Witryna podszywa się pod bank, urząd, firmę kurierską lub portal ogłoszeniowy.
W czerwcu CERT Polska opisał kampanię w której oszuści wykorzystali wizerunek Krajowej Administracji Skarbowej. Obiecywali zwrot nadpłaconego podatku za 2025 r. Podrobiona strona podatki.gov.pl wyłudzała PESEL oraz dane osobowe. Później prosiła o informacje z karty płatniczej.
W tym samym raporcie znalazły się wiadomości o nieuregulowanej opłacie za wykroczenie drogowe. Oszuści podszywali się pod spółkę zarządzającą autostradą A4. Formularz pytał o numer rejestracyjny pojazdu, dane właściciela i kartę.
Fałszywe strony potrafią żądać znacznie więcej. Pojawiają się pytania o saldo rachunku, login do bankowości, numer telefonu, PESEL oraz kod przesłany przez bank.
Po co oszustowi saldo rachunku?
Pytanie o saldo występuje w phishingowych formularzach i podczas vishingu. Pozwala przestępcy ocenić, ile pieniędzy może ukraść i czy opłaca mu się dalej urabiać wybraną osobę.
Policja opisywała też schemat wymierzony w sprzedających na portalach ogłoszeniowych. Podrobiona strona żądała danych karty, informacji o saldzie oraz numeru telefonu. Później ofiara otrzymywała kod z banku. Nie służył on do odebrania zapłaty za sprzedany przedmiot, lecz potwierdzał dodanie karty do aplikacji płatniczej.
Do otrzymania zwykłego przelewu krajowego wystarczy numer rachunku. Kupujący nie potrzebuje kodu CVV ani informacji o saldzie. Nie potrzebuje też hasła do banku lub kodu autoryzacyjnego.
Po wpisaniu danych karty trzeba ją zastrzec i skontaktować się z bankiem. Jeśli oszust otrzymał dane do bankowości albo kod autoryzacyjny, bank powinien od razu zablokować dostęp i sprawdzić operacje oczekujące na realizację.
Po ujawnieniu PESEL-u można zastrzec go w mObywatelu, serwisie gov.pl albo urzędzie gminy. Gdy z rachunku zniknęły pieniądze, trzeba złożyć reklamację i zawiadomić policję.
Podejrzany SMS z linkiem można przekazać na bezpłatny numer 8080. Fałszywe strony przyjmuje CERT Polska przez formularz incydent.cert.pl. Po podejrzanym telefonie trzeba się rozłączyć i samodzielnie wybrać oficjalny numer banku lub numer alarmowy 112.
