Zmagania z oszustwami finansowymi mogą przynosić zarówno rzeczywiste, jak i pozorne zwycięstwa. To jedna z kluczowych cech scamów w cyfrowym świecie – ich schematy cały czas ewoluują, a mniej wydajne znikają z arsenału przestępców. Dlatego tak ważne jest wypracowanie mierników odpowiadających na pytanie, jak skuteczne są podjęte działania.
„Ryzyko jest jak kostka mydła” – ta metafora autorstwa amerykańskiego ekonomisty i socjologa Mancura Olsona dobrze pasuje także do realiów walki z oszustwami. Gdy już wydaje się, że panujemy nad zagrożeniem, ono może zmienić kształt i wyślizgnąć się z rąk. Statystyki mogą wówczas pokazywać postęp, a jednocześnie maskować niebezpieczny zwrot w zachowaniach przestępców.
Dość świeżym przykładem służy tutaj Singapur, w którym spadająca liczba oszustw ma być dowodem skuteczności strategii walki z przestępstwami pod szyldem Share Responsibility Framework (SRF). Pokrzepiające dane to jednak tylko jedna strona medalu. Ponieważ działania podejmowane przez instytucje finansowe utrudniły bezpośrednie przejmowanie kont i nieautoryzowane logowania, oszuści zmodyfikowali swoje podejście. Dominującą formą wyłudzeń stały się transakcje zlecane przez samą ofiarę. Socjotechnika stała się narzędziem numer jeden. Zamiast przelewów oszuści zaczęli powszechnie wykorzystywać wyłudzenia wypłat gotówki. Jednocześnie spadającej liczbie oszustw przez telefon i SMS towarzyszą przenosiny scamów do mediów społecznościowych i komunikatorów.
Monitorowanie skuteczności walki z oszustwami wymaga zatem całościowego podejścia, obejmującego wiele obszarów. Od edukacji potencjalnych ofiar, przez działania wymiaru sprawiedliwości, na mechanizmach ograniczania strat finansowych skończywszy. „Państwo ma aktywnie zwalczać oszustwa komputerowe, zwiększać świadomość społeczną na zagrożenia, edukować - kompleksowo. Tak właśnie dziś działamy w celu zwiększania cyberbezpieczeństwa, w tym walki z oszustwami w sieci” – deklarował w wywiadzie dla „Pulsu Biznesu” Krzysztof Gawkowski, minister cyfryzacji. Główny akcent powinien spoczywać na twardych, mierzalnych danych, a nie liczbie stworzonych ustaw czy strategii. To wyzwanie, z którym zmagają się władze na całym świecie.
Mierniki po brytyjsku – od skali oszustw do wskaźników sektorowych
Przykładem próby stworzenia zestawu wskaźników może być przewidziana na lata 2026-2029 „UK Fraud Strategy”. Program przygotowany przez brytyjski rząd bazuje na koncentracji działań na zakłócaniu działalności przestępczej, ochronie społeczeństwa oraz skutecznym reagowaniu na zgłoszenia ofiar.
W strategii wymieniono szereg mierników, które mają być regularnie monitorowane, aby możliwa była szybka ocena skuteczności wdrażanych rozwiązań. Postępy będą oceniane w corocznych raportach przedstawianych ministrom. Ponadto Ministerstwo Spraw Wewnętrznych opublikuje szczegółowe podsumowanie realizacji, raz w trakcie trwania strategii oraz drugie – po jej zakończeniu.
Pierwszym monitorowanym wymiarem jest skala oszustw. Ogólna liczba incydentów mierzona jest kwartalnie niezależnym badaniem gospodarstw domowych Crime Survey for England and Wales (CSEW) dla osób fizycznych oraz badaniem Economic Crime Survey (ECS) dla przedsiębiorstw.
CSEW to reprezentatywne badanie sondażowe prowadzone metodą bezpośrednich wywiadów kwestionariuszowych przez brytyjski urząd statystyczny (ONS). Jest niezależne od działań prowadzonych przez policję, co pozwala ująć także skalę niezgłoszonych przestępstw. Rocznie bierze w nim udział ok. 75 tys. gospodarstw domowych, a w próbce znajdują się osoby powyżej 16 roku życia oraz, osobno, mniejsza liczba dzieci w wieku 10-15 lat.
W ramach strategii śledzony ma być udział oszustw w całkowitej przestępczości, procentowy udział oszustw we wszystkich szacowanych przestępstwach w kraju. Kolejnym wskaźnikiem jest odsetek populacji dorosłych, którzy padli ofiarą oszustwa w ciągu ostatnich 12 miesięcy. Punkt wyjścia w obu przypadkach jest szokująco wysoki. Oszustwa odpowiadały na koniec września 2025 r. za 45 proc. wszystkich przestępstw. Ofiarą scamów padło 7,3 proc. dorosłej populacji.
Drugi zestaw wskaźników odnosi się do finansowych efektów oszustw. Ujęto w nim średnie straty finansowe, czyli średnią kwotę utraconą w przeliczeniu na jedno oszustwo. Miernik uwzględnia zarówno transakcje autoryzowane (czyli np. wyłudzenia, podszycie się pod instytucję lub przedsiębiorstwo), jak i nieautoryzowane.
Miernik łącznych zgłoszonych strat odzwierciedla całkowitą wartość szkód zarejestrowanych w nowym systemie „Report Fraud”, służącym do zgłaszania scamów. Z kolei odsetek incydentów bez strat pozwoli zmierzyć udział prób oszustw, które zostały powstrzymane, zanim doszło do utraty pieniędzy. Do tego celu jako źródło danych wykorzystany zostanie sondaż CSEW. To jeden z kluczowych mierników odzwierciedlających skuteczność prewencji i szybkości reakcji organów odpowiedzialnych za zapobieganie scamom.
Trzecia grupa mierników koncentruje się na tzw. oszustwach o wysokiej szkodliwości (High Harm Fraud). Obejmuje ona liczbę i odsetek zgłoszeń dotyczących kategorii generujących największe szkody. W grupie tej mieszczą się m.in. oszustwa inwestycyjne, matrymonialne czy wyłudzenia przelewów (tzw. APP, authorized push payment fraud).
Czwartym zestawem mierników jest efektywność służb i interesariuszy rynkowych. Mierzone są tu podjęte tzw. akcje paraliżujące, czyli systemowe operacje służb wycelowane w infrastrukturę cyfrową i grupy przestępcze. Tu również znalazły się mierniki sektorowe, przygotowane z myślą o poszczególnych typach podmiotów mieszczących się w „łańcuchu wartości” oszustw online.
Mierniki sektorowe mają dać twarde podstawy do oceny skuteczności poszczególnych branż w zapobieganiu i blokowaniu oszustw. Rząd brytyjski, we współpracy z regulatorami (takimi jak Ofcom, FCA czy PSR), przygotowuje zestawy danych, do których przekazywania zobowiązani będą poszczególni aktorzy na rynku. Przykładowo, dla sektora finansowego wskaźnikami są m.in. poziom zwrotu środków ofiarom oszustw APP oraz odsetek wykrytych i zablokowanych prób oszustw przed wypłatą środków. Dla sektora telekomunikacyjnego to natomiast mierniki liczby prób oszustw typu smishing czy spoofing oraz mierniki skuteczności blokad (w tym odsetek usuniętych zagrożeń i średni czas reakcji). Branża platform online ma dostarczać m.in. wskaźniki czasowe i ilościowe dotyczące usuwania zgłoszonych fałszywych profili i oszukańczych reklam, a także mierzyć skalę tych zjawisk.
Jaką rolę mają do odegrania „miękkie” wskaźniki?
Twarde wskaźniki ilościowe koncentrują się przede wszystkich na mierzeniu czterech wymiarów problemu – powszechności występowania oszustw, ich efektach finansowych, jakości detekcji oraz reakcji na zagrożenia (w tym wydajności mechanizmów mających kompensować straty ofiarom). Mierniki te można uzupełnić o standardowe narzędzia oceniające efekty działania policji i prokuratury – chociażby wskaźnik wykrywalności, średni czas trwania postępowań i procentowy stopień odzyskiwania skradzionych i wyłudzonych środków.
Poza takim zestawem wskaźników pozostaje jednak nadal kwestia samej odporności potencjalnych ofiar. To bowiem również od ich podatności na manipulację i świadomości zagrożeń zależy odpowiedź na pytanie, jak trudnym celem będą dla przestępców. Wkraczamy tu na nieco inny obszar, który można śledzić innymi narzędziami. Wskaźniki „miękkie” z natury rzeczy muszą bazować nie na bezpośrednim pomiarze, a raczej na metodach stosowanych w badaniach społecznych. Przy zachowaniu odpowiedniej metodologii możliwe jest uogólnienie wniosków z dociekań na małej próbce badanych na całą populację.
Przykładem wykorzystania takiego podejścia mógłby być wskaźnik podatności na oszustwa tworzony na podstawie powtarzanych regularnie testów na reprezentatywnej próbie sprawdzających reakcje na symulowane sytuacje odtwarzające schematy działania przestępców online. Badanie może, obok zachowań, weryfikować także poziom wiedzy, znajomość zasad higieny cyfrowej i inne aspekty związane z rozpoznawaniem ryzyka w cyfrowym świecie. Podobne podejście wykorzystuje się w testach prowadzonych w sektorze przedsiębiorstw, gdzie wypracowano zestandaryzowane indeksy wykorzystywane komercyjnie, jak chociażby Security Culture Index (SCI).
Mechanizmy zgłaszania podejrzanych wiadomości, prób wyłudzeń, fałszywych reklam i innych zagrożeń mogą spełniać swoją rolę, jeśli są znane użytkownikom i cieszą się zaufaniem. Ważne jest zatem nie tylko to, co dzieje się po zgłoszeniu (co uchwycą wskaźniki ilościowe), ale także przed uruchomieniem procedur. Z tego powodu przydatne może być monitorowanie wskaźników świadomości kanałów zgłoszeniowych, uzupełnione o wyliczany ex post wskaźnik zgłaszalności incydentów (relacji zgłoszeń do szacunkowej liczby kampanii oszustw). Łącznie może dać to obraz znajomości mechanizmów ograniczających zasięg przestępstw i zaufania do ich sprawności.
Uzupełnieniem zestawu miękkich wskaźników może być weryfikacja zasięgu akcji edukacyjnych prowadzonych przez różne instytucje. Niezależnie od monitoringu prowadzonego zwykle przez podmioty firmujące takie kampanie, temat ten zasługuje na całościowy nadzór. Zwłaszcza w grupach odbiorców szczególnie narażonych na oszustwa, np. wśród seniorów czy wykluczonych finansowo.
Standardy dopiero się tworzą
Do problemu oceny skuteczności zmagań z oszustwami można podchodzić na różne sposoby i trudno spodziewać się, że powstanie wkrótce złoty standard „indeksu cyberodporności”. To nie tylko wynik poziomu skomplikowania samej materii, ale także faktu, że w poszczególnych krajach za strategię walki ze scamem odpowiadają różne podmioty lub problem włącza się (jak w Polsce) do szerszego zagadnienia ogólnie rozumianego cyberbezpieczeństwa.
Standaryzacja odbywa się raczej na niższym poziomie. Niektóre szczegółowe wskaźniki porządkują istniejące i powstające regulacje prawne. Przykładem może być pakiet unijnych ustaw dotyczących usług płatniczych – PSR i PSD3. Przewiduje on m.in. obowiązek raportowania o sprawności systemów detekcji podejrzanych transakcji. Nowe „punkty danych” pojawiają się za sprawą także za sprawą dyrektyw o usługach cyfrowych czy cyberbezpieczeństwie.
Mierników opisujących „jak było” przybywa, być może nawet w zbyt szybkim tempie. Prawdziwym wyzwaniem będzie jednak stworzenie godnych zaufania wskaźników „wyprzedzających”, dających odpowiedź na pytanie o gotowość do szybkiej reakcji na nowe zagrożenia.
