Systemowe podejście do walki z oszustwami to zadanie na lata, a nie miesiące. W dodatku przestępcy zawsze poszukiwać będą nowych nisz i sposobów obchodzenia stawianych zapór. Chociażby dlatego pierwsze efekty rewolucji w kilku krajach nie są spektakularne, ale na pewno godne śledzenia.
Wielka Brytania była jednym z pierwszych krajów, w których zdecydowano się działać w sprawie oszustw typu APP (Authorized Push Payment). Najpierw powstał dobrowolny schemat refundowania strat konsumentom, którzy padli ofiarą wyłudzeń. Potem regulator rynku płatniczego PSR przedstawił rozwiązanie obejmujące wszystkich dostawców usług. Nowe zasady odpowiedzialności za transakcje, w których płatnik został wprowadzony w błąd i sam autoryzował operację, weszły w życie w październiku 2024 r. Zakładają one m.in. podział pół na pół odpowiedzialności za transakcje oszukańcze pomiędzy podmiot prowadzący rachunek źródłowy (płatnika) i docelowy (odbiorcy środków z wyłudzenia).
W pierwszym kwartale opublikowano pierwszą szerszą analizę skutków regulacji. Raport przygotował niezależny od PSR podmiot – Frontier Economics. Najważniejszy wniosek? Widać znaczące efekty w liczbie i wartości oszustw. Wartość oszukańczych transakcji przechodzących przez system płatności natychmiastowych Faster Payments była średnio o 21 proc. niższa miesięcznie niż przed wejściem w życie nowych zasad. Odpowiadałoby to ograniczeniu strat z oszustw o ok. 73 mln funtów rocznie. Jeśli uwzględnić, że część transakcji nie jest natychmiast identyfikowana jako wyłudzenie (np. w schematach pseudoinwestycyjnych), to szacowany spadek wartości strat zamyka się kwotą ok. 91 mln funtów rocznie.
Średnia miesięczna liczba transakcji oszukańczych spadła z ok. 39,6 tys. przed wprowadzeniem regulacji do ok. 34,7 tys. po jej wdrożeniu. Przekłada się to na ok. 34,8 tys. mniej przypadków oszustw APP rocznie. To bezpośredni efekt wzmocnienia prewencji u dostawców usług płatniczych. Konieczność ewentualnego pokrycia strat skłoniła ich do inwestycji w monitoring transakcji i wykrywanie podejrzanych rachunków używanych przez „słupów”. Co ciekawe, największy spadek oszustw odnotowały banki i instytucje, które przed regulacją miały najgorsze wskaźniki.
Autorzy raportu odnotowali również kilka niepokojących trendów. Przestępcy chętniej kierują się tam, gdzie oszustwa nie są objęte systemem zwrotów. Wzrosła wartość oszustw transgranicznych, powiązanych z giełdami kryptowalut oraz, co może wskazywać na istotną lukę w regulacji, bazujących na przelewach wewnętrznych.
W raporcie podkreślono, że skutki zmian sięgnęły daleko poza styk konsument-dostawca. Jednym z nich jest zwiększony popyt na rozwiązania IT wspomagające walkę z oszustwami. To z kolei napędza innowacje w tej dziedzinie, zwłaszcza że połowa badanych dostawców sięga po produkty oferowane przez zewnętrzne firmy. W pogłębionych wywiadach interesariusze zwrócili natomiast uwagę na czynnik, który osłabia efektywność schematu – braki w zapobieganiu oszustwom w szerszym, nie tylko finansowym, otoczeniu.
Na Wyspach mają plan na kolejne lata
W Wielkiej Brytanii w ostatnich latach uruchomiono kilka inicjatyw, które miały zaadresować rosnący problem scamów. Przykładem mogą być obowiązki narzucone platformom online przez Online Safety Act czy wymuszenie przez nadzór finansowy weryfikacji reklamodawców promujących produkty finansowe w ramach Online Fraud Charter. Brakowało jednak spójnego podejścia, a regulacje pozostają pełne luk i w części oparte na dobrowolnych działaniach instytucji mieszczących się w „łańcuchu dostaw” oszustw.
Przykładem służy chociażby test przeprowadzony przez FCA w listopadzie 2025 r. Nadzorca przeanalizował wówczas ponad tysiąc reklam emitowanych na platformie Meta promujących rynki forex i skomplikowane instrumenty finansowe takie jak CFD. Żadna z nich nie pochodziła od autoryzowanych przez nadzór podmiotów, chociaż platforma zobowiązała się do odsiewania ziarna od plew. Co gorsza, 56 proc. reklam z próbki wykupionych zostało przez podmioty wcześniej oflagowane przez FCA i zgłoszone operatorowi platformy. Wyniki potwierdziła agencja Reuters, przygotowując w ramach prowokacji, fałszywe reklamy produktów finansowych. W Wielkiej Brytanii zostały one dopuszczone do emisji. W Australii skutecznie je zablokowano.
Nadzór finansowy nie ma, jak wskazywano wówczas, możliwości bezpośredniego działania. Platformy podlegają bowiem nadzorowi telekomunikacyjnemu (Ofcom). Z kolei Online Safety Act w części dotyczącej możliwości „zdejmowania” płatnych reklam wejdzie w życie dopiero w 2027 r.
Sytuację ma zmienić przewidziana na lata 2026-2029 „UK Fraud Strategy”. To kompleksowa strategia przedstawiona przez brytyjski rząd, która zakłada inwestycję ponad 250 milionów funtów w systemowe działania oparte na trzech głównych filarach: zakłócaniu działalności przestępczej, ochronie społeczeństwa oraz skutecznym reagowaniu na zgłoszenia ofiar.
Idea leżąca u podstaw strategii jest następująca – fragmentaryczne działania przynoszą tylko tymczasowe, ograniczone rezultaty. Pokazuje to case schematu wymierzonego w oszustwa APP. Dobra strategia budowania cyberodporności musi dotykać każdego elementu używanego przez przestępców. Dlatego dokument zakłada działania np. zwiększające poziom weryfikacji użytkowników telefonii komórkowej czy utrudniające tworzenie fasadowych spółek, które mogą pośredniczyć w praniu pieniędzy z oszustw.
Centrum Przestępczości Online – tu mają łączyć się wszystkie nitki
Kluczową rolę w walce z oszustami ma odegrać utworzone w kwietniu 2026 r. Online Crime Centre (OCC). Jego głównym zadaniem jest przełamanie dotychczasowej fragmentacji danych oraz stworzenie wspólnej platformy operacyjnej dla sektora publicznego i prywatnego, aby wykrywać i powstrzymywać oszustwa internetowe na dużą skalę w czasie rzeczywistym.
Liderem OCC jest Ministerstwo Spraw Wewnętrznych (Home Office) oraz National Crime Agency (NCA) przy ścisłej współpracy z londyńską policją. Podmiot gromadzi w jednym miejscu przedstawicieli policji, agencji wywiadowczych oraz partnerów prywatnych z sektorów finansowego, telekomunikacyjnego, technologicznego i cyberbezpieczeństwa. Szeroką wymianę informacji umożliwia ustawa Data Act, która sankcjonuje zapobieganie przestępczości i oszustwom jako prawną podstawę udostępniania danych pomiędzy sektorem publicznym a prywatnym.
Zadaniem OCC ma być przede wszystkim integracja i analiza danych. Za tym określeniem kryje się łączenie dużych wolumenów danych ze służb i firm prywatnych, by błyskawicznie identyfikować zagrożenia. Informacje o oszukańczych stronach, e-mailach czy numerach telefonów będą wykorzystywane do natychmiastowego blokowania połączeń, zamrażania kont bankowych, usuwania stron i blokowania kont w mediach społecznościowych. OCC wykorzysta także dane z systemów umożliwiających zgłaszanie zagrożeń przez użytkowników sieci.
OCC przypisano w strategii również inne role. Aktywne ograniczanie szkód, czyli tworzenie rozwiązań technicznych pomagających branży usuwać luki w systemach na wczesnym etapie i paraliżować infrastrukturę cyfrową używanej przez przestępców. Dodatkiem ma być zadanie wsparcia w odzyskiwaniu skradzionych aktywów i ochrona ofiar przed ponownym oszustwem.
Singapur postawił na kaskadę. Oszuści reagują
Pierwsze efekty zmian w podejściu do oszustw internetowych widać także w Singapurze. Przypomnijmy, że jest to kraj, w którym wprowadzono specyficzny model odpowiedzialności finansowej za scamy, włączający zarówno banki, jak i operatorów telekomunikacyjnych i samych konsumentów. Schemat nazwany Shared Responsibility Framework (SRF) już samym szyldem zapowiada główną ideę.
SRF bazuje na kaskadowym modelu ponoszenia strat finansowych wynikających z oszustw, w których przestępcy podszywają się pod instytucje lub bliskich ofiary. Przykładowo, jeśli bank nie spełni chociaż jednego z obowiązków prewencyjnych, ponosi pełną odpowiedzialność za zwrot skradzionych środków. Jeśli bank w pełni realizował narzucone mu zadania, ale oszustwo zostało przeprowadzone przez SMS, a operator telekomunikacyjny zaniedbał swoje wymogi, wówczas pokrywa on stratę użytkownika. Jeśli zarówno bank, jak i operator telekomunikacyjny dopełnili wszystkich nałożonych na nich obowiązków, ciężar straty finansowej spoczywa na posiadaczu rachunku.
Z danych publikowanych przez singapurską policję wynika, że wprowadzenie SRF oraz towarzyszących mu regulacji i zabezpieczeń doprowadziło do wyraźnego spadku ogólnej liczby oszustw i strat finansowych, ale jednocześnie zmusiło przestępców do zmiany taktyki i kanałów dotarcia do ofiar.
W 2025 roku liczba oszustw spadła o 27,6 proc. (do 37,3 tys. przypadków z 51,5 tys. w 2024 r.), a straty finansowe zmniejszyły się o 17,9 proc. Pierwsza połowa 2026 roku przyniosła kolejne obiecujące efekty. Liczba oszustw spadła o kolejne 14,4 proc. (do 16,8 tys. przypadków), a straty finansowe o 17,9 proc. Mediana strat na jeden przypadek obniżyła się do 1 350 SGD.
Ponieważ wymogi SRF i bankowe zabezpieczenia utrudniły bezpośrednie przejmowanie kont i nieautoryzowane logowania, oszuści zmodyfikowali swoje podejście. Dominującą formą wyłudzeń stały się transakcje zlecane przez samą ofiarę. To ponad 80 proc. oszustw (81,8 proc. w 2025 r. oraz 80,8 proc. w I połowie 2026 r.). Przestępcy skupiają się na manipulacji i socjotechnikach, by skłonić użytkownika do dobrowolnego przelewu. A transakcje te nie podlegają bezpośrednio kaskadowemu podziałowi strat finansowych pomiędzy banki a telekomy.
Z kolei dzięki nałożonym na firmy telekomunikacyjne wymogom (m.in. blokowaniu nieautoryzowanych identyfikatorów nadawcy SMS, filtrowaniu złośliwych linków URL oraz limitowi 10 kart SIM na osobę), tradycyjne oszustwa SMS-owe oraz połączenia telefoniczne drastycznie spadły (np. liczba oszukańczych połączeń telefonicznych spadła w 1 połowie 2026 r. o 49,1 proc.). Oszuści przenieśli działania do mediów społecznościowych oraz komunikatorów, które odpowiadają obecnie za większość pierwszych kontaktów z ofiarami.
Wreszcie ze względu na zaawansowany monitoring transakcji bankowych w czasie rzeczywistym i blokowanie podejrzanych przelewów, oszuści zaczęli instruować ofiary, by wypłacały gotówkę w bankomatach, kupowały złoto lub luksusowe zegarki i przekazywały je fizycznie pośrednikom. Oszustwa stały się zatem mniej bezgotówkowe, a bardziej fizyczne.
Australia tworzy modułowe rozwiązanie
Na miano holistycznego rozwiązania zasługuje bez wątpienia podejście przyjęte przez Australię. Składa się ono z dwóch poziomów regulacji. Pierwszym są ogólne ramowe zasady obowiązujące sektory finansowy, telekomunikacyjny i usług cyfrowych. Wymagają one, by każdy z podmiotów regulowanych wprowadził mechanizmy zarządzania ryzykiem oszustw, zapobiegania scamom, zanim dotrą do konsumentów i wykrywania trwających ataków oraz identyfikowania ofiar.
Obowiązkowym elementem jest także zgłaszanie i wymiana informacji organowi ochrony konkurencji i konsumentów (ACCC), który pełni rolę huba udostępniającego dane w całym ekosystemie. ACCC realizuje to zadanie przede wszystkim za pośrednictwem utworzonego w jego strukturach Krajowego Centrum Antyoszustwowego (NASC) oraz serwisu zgłoszeniowego Scamwatch. NASC gromadzi i łączy dane wywiadowcze z wielu źródeł, w tym zgłoszeń od konsumentów, raportów sektorowych , bazy cyberprzestępczości, wsparcia ofiar (IDCARE) oraz bezpośrednich informacji operacyjnych udostępnianych przez regulowane firmy.
Drugi poziom regulacji wprowadzony przez Scams Prevention Framework Act składa się ze szczegółowych wytycznych dla poszczególnych sektorów, dostosowanych do ich specyfiki. Przykładowo dla banków wymusza on stosowanie weryfikacji odbiorców przelewów (co znamy w Europie pod nazwą VOP) czy wysyłanie w czasie rzeczywistym alertów o podejrzanej aktywności. Platformy cyfrowe zostały zmuszone m.in. do weryfikacji reklamodawców z regulowanych sektorów. Niedopełnienie obowiązków zagrożone jest wysokimi karami finansowymi. Dodatkowym bodźcem jest przerzucenie odpowiedzialności cywilnej i odszkodowawczej na te podmioty, które nie dochowały należytej staranności w zapobieganiu oszustwom. Jeśli winnych jest kilku, podział jest proporcjonalny.
Interesującym elementem regulacji jest przyznanie ochrony prawnej przed odpowiedzialnością cywilną podmiotom reagującym na próby oszustw. Ale tylko jeśli w dobrej wierze podjęły proporcjonalne działania w celu zakłócenia oszustwa lub wstrzymania transakcji podczas badania tzw. podejrzanych sygnałów (actionable scam intelligence). Pojęcie to zdefiniowano na tyle szczegółowo, by możliwe było obiektywne określenie, co wchodzi w jego zakres. Są to m.in. sygnały od samych klientów, czy identyfikatory i mechanizmy używane do oszustwa (np. adresy URL, adresy e-mail, numery telefonów, profile w mediach społecznościowych, portfele cyfrowe oraz dane kont bankowych oszustów).
Krótka historia działania australijskich regulacji nie pozwala jeszcze odpowiedzieć na pytanie o skuteczność wypracowanych rozwiązań. Kodeksy dla poszczególnych sektorów wprowadzane są stopniowo. Statystyki wskazują, że skoordynowane działania (w tym wcześniejsze uruchomienie Krajowego Centrum Antyoszustwowego NASC) przyniosły znaczące ograniczenie zasięgu oszustw tradycyjnymi kanałami (SMS, telefon). Przybywa natomiast wyłudzeń związanych np. z kryptowalutami. Modułowa budowa australijskiego schematu pozwala jednak na poszerzanie jego zasięgu poprzez dodawanie kolejnych sektorów. Giełdy kryptowalut będą kolejną grupą podmiotów, dla których powstaną dedykowane zasady.
Scam to nie „problem banków”
W rozwiązaniach wprowadzanych w Wielkiej Brytanii, Australii i Singapurze widać wspólne wątki. Pierwszym jest zdecydowanie szeroko zdefiniowana grupa adresatów, którym narzuca się obowiązki związane z przeciwdziałaniem oszustwom i reakcją na działania przestępców. Scam to nie tylko problem banków, które mają do czynienia z ostatnim etapem procederu. Swoją rolę do odegrania mają zarówno telekomy, jak i platformy cyfrowe, czy niebankowi dostawcy usług finansowych.
Drugi wspólny element to wprowadzenie ekonomicznych bodźców do walki z oszustwami. Tu rozwiązania mogą się mocno od siebie różnić, co pokazuje chociażby przykład Australii i Singapuru. W grę wchodzą zarówno odstraszające kary, jak i zdefiniowanie na nowo podziału odpowiedzialności wobec ofiar. Ważnym dodatkiem do „kija” może być „marchewka”, czyli np. objęcie ochroną tych podmiotów, które zareagowały na zagrożenie szybko i odpowiednio, nawet jeśli nie udało się zapobiec wymiernym stratom.
Wreszcie uwagę zwraca nadanie kluczowego znaczenia wymianie informacji o zagrożeniach. To pole, na którym współpracować muszą zarówno podmioty z sektora publicznego, jak i prywatnego. Nie bez przyczyny w każdym z wymienionych krajów wyznaczono instytucje, które koordynują działania wymierzone w oszustwa i zbierają, a następnie rozprowadzają sygnały o scamach.
Systemowe rozwiązanie w tej dziedzinie nigdy nie będzie skończonym dziełem. Optymistyczne doniesienia o ograniczeniu zasięgu przestępstw zawsze pojawiają się w towarzystwie ostrzeżeń o zmianach w modi operandi oszustów. Wypada to uznać za pewnik. A dla planujących mechanizmy chroniące konsumentów i rynek oznacza to jedno – warto od początku zadbać o elastyczność schematu, bo do projektu trzeba będzie wracać jeszcze wiele razy.
