Remove Me
Bezpłatna analiza

Vishing: oszustwo telefoniczne „na pracownika banku” i jak się bronić

Autor: zespół Remove Me · Opublikowano 5 listopada 2026 · Zaktualizowano 31 października 2026 · 10 min czytania

W skrócie

Vishing to oszustwo przez telefon: rozmówca podaje się za pracownika banku lub policjanta i naciska, byś szybko coś zrobił. Numer na ekranie niczego nie dowodzi, bo według Policji dzwoniący może ustawić wyświetlany numer. Rozłącz się i skontaktuj z bankiem przez numer, który już znasz. Nie podawaj kodów, nie instaluj programów.

Ten artykuł jest częścią pełnego poradnika: Fałszywy SMS i smishing: jak rozpoznać oszustwo

Dzwoni „konsultant banku”. Mówi spokojnie, zna twoje imię, a na ekranie widać numer, który wygląda jak numer infolinii. Informuje, że ktoś próbuje wypłacić twoje pieniądze i trzeba je natychmiast zabezpieczyć. To klasyczny scenariusz vishingu. Ten artykuł wyjaśnia, jak działa takie oszustwo, po czym je poznasz i co zrobić w trakcie rozmowy oraz po niej. Opieramy się na CERT Polska (zespół działający w NASK), na komunikatach Policji i na portalu gov.pl.

Trzymamy się tego, co piszą te instytucje. Gdy ich strony czegoś nie mówią, zaznaczamy to wprost. To informacja ogólna, nie porada prawna ani bankowa dla twojej sytuacji. Szerszy opis phishingu znajdziesz w poradniku Phishing: jak go rozpoznać, uniknąć i zgłosić, a o podmienianiu numerów piszemy w tekście Spoofing: co to jest.

Co zrobić, gdy dzwoni „bank” lub „policja”

  1. Nie działaj pod presją czasu. Policja radzi nie działać pod presją czasu i nie ufać osobom, które przez telefon proszą o szybkie przekazanie pieniędzy.
  2. Nie podawaj loginu, hasła, danych karty ani kodów. Według Policji prawdziwy przedstawiciel banku nigdy o to nie zapyta.
  3. Rozłącz się. Uprzejmość wobec kogoś, kto cię przyciska, nie jest obowiązkiem.
  4. Skontaktuj się z bankiem numerem, który już znasz. CERT Polska radzi potwierdzać prośbę inną drogą niż ta, którą przyszła: zadzwoń pod numer, który już masz, albo użyj aplikacji banku.
  5. Niczego nie instaluj na prośbę rozmówcy.
  6. Gdy ktoś namawia cię do przekazania pieniędzy i masz podejrzenia, Policja radzi zadzwonić na numer alarmowy 112.

Jeśli rozmówca zdążył już uzyskać dane lub pieniądze, przejdź do sekcji „Co zrobić po rozmowie”.

Rozmówca brzmi wiarygodnie między innymi dlatego, że zna szczegóły o tobie. Bezpłatna analiza Remove Me pokazuje, jakie dane o tobie są widoczne publicznie, w znanych wyciekach (Have I Been Pwned) i w rejestrze brokerów danych. Nie blokuje połączeń i nie powstrzyma oszustów, ale pomoże ci zobaczyć, co mogą wiedzieć. Raport otwierasz sześciocyfrowym kodem wysłanym e-mailem, bez zakładania konta.

Rozpocznij bezpłatną analizę

Czym jest vishing

CERT Polska wyjaśnia, że phishing to oszustwo oparte na socjotechnice, czyli manipulacji. Atakujący podszywa się pod kogoś, komu ufasz, na przykład pod bank, kuriera, urząd czy członka rodziny, i nakłania cię do przekazania czegoś wartościowego: danych logowania, numeru karty, kodu autoryzacyjnego albo pieniędzy. Odmiany phishingu bywają nazywane osobno zależnie od kanału: smishing to oszustwo przez SMS, vishing przez połączenie telefoniczne, a quishing przez kod QR.

Dla ciebie nazwa ma drugorzędne znaczenie. CERT Polska podkreśla, że schemat jest zawsze ten sam: ktoś chce, żebyś wpisał hasło, przepisał kod albo wykonał przelew. Zmienia się tylko droga, którą oszust do ciebie dociera. W przypadku vishingu jest to głos w słuchawce, który ma cię przekonać, że rozmawiasz z kimś zaufanym.

Telefon daje oszustowi przewagę, której nie ma w SMS-ie. Rozmawia z tobą na żywo, reaguje na twoje pytania, a ty nie masz czasu na sprawdzenie adresu strony. Dlatego Policja i CERT Polska zgodnie radzą jedno: zatrzymaj rozmowę i zweryfikuj ją inną drogą.

Najczęstsze scenariusze rozmowy

Komunikaty Policji opisują kilka powtarzających się schematów. Poniżej streszczamy te, które dotyczą rozmów telefonicznych.

„Na pracownika banku”

Według Policji oszust dzwoni, podaje się za konsultanta banku i informuje o niepokojących transferach na twoim koncie. Aby „zapobiec kradzieży”, każe zabezpieczyć pieniądze. Są tu dwa warianty:

  • Instalacja aplikacji. Rozmówca każe zainstalować program umożliwiający zdalne działanie na telefonie lub komputerze. Oszust ma wtedy dostęp do urządzenia, a tym samym do konta, wykonuje przelewy i wypłaca środki.
  • „Przelew techniczny”. Rozmówca przekonuje, że musisz przelać pieniądze na wskazane przez niego konto, i to ekspresowo, bo inaczej oszczędności zostaną skradzione. Policja opisuje, że po krótkim czasie okazuje się, iż pieniądze trafiły na zagraniczne rachunki albo na konta kantorów wymiany walut, skąd oszuści pobierają je w gotówce.

CERT Polska wymienia podobne elementy wśród sposobów, jakimi oszuści wyłudzają dostęp: prośbę o zainstalowanie „aplikacji banku” spoza oficjalnego sklepu oraz prośbę o uruchomienie programu do zdalnego pulpitu, żeby „konsultant mógł pomóc”.

„Na policjanta”

Policja opisuje, że oszuści podszywają się pod funkcjonariuszy Policji lub CBŚ. Twierdzą, że twoje oszczędności są zagrożone, bo pracownik banku jest nieuczciwy albo ktoś próbuje włamać się na konto. Nakłaniają do wypłaty pieniędzy i przekazania ich „do depozytu policyjnego” albo przelania na „bezpieczne konto techniczne”. Policja ostrzega też, że na wyświetlaczu może pojawić się numer przypominający numer Policji.

„Na wnuczka”

Rozmówca podaje się za wnuczka, córkę lub innego członka rodziny, mówi niewyraźnie i tłumaczy to wypadkiem lub stresem, po czym prosi o pilną pomoc finansową. Według Policji do rozmowy często włącza się rzekomy „policjant” lub „prokurator”, który potwierdza wersję zdarzeń i instruuje, jak przekazać gotówkę „zaufanej osobie” pukającej do drzwi. Policja zaznacza, że ofiarami takich oszustw finansowych często padają osoby starsze, bo oszuści wykorzystują zaufanie i chęć niesienia pomocy bliskim.

Więcej o samym schemacie „na policjanta” napiszemy w osobnym artykule.

Dlaczego numer na ekranie niczego nie dowodzi

Wiele osób ufa numerowi widocznemu na wyświetlaczu. Policja ostrzega przed tym wprost. Opisuje telefoniczny spoofing jako oszustwo polegające na podszywaniu się dzwoniącego pod inne numery. Dzięki odpowiednim rozwiązaniom technicznym dzwoniący może ręcznie wprowadzić numer, który ma się wyświetlić odbiorcy jako numer dzwoniącego. Dlatego wyświetlony numer ani nazwa banku nie dowodzą, że rozmawiasz z prawdziwym przedstawicielem tej instytucji.

Policja opisuje też przypadek, w którym pierwszy rozmówca podszył się pod dział bezpieczeństwa banku i zapytał tylko, czy wykonano przelew. Po chwili zadzwonił drugi, który przekonał ofiarę do przelania pieniędzy na „bezpieczny rachunek”. To dobry przykład, jak oszuści budują wiarygodność w kilku krokach: pierwsze połączenie niczego nie żąda, a drugie wykorzystuje zaufanie z pierwszego.

Wniosek jest prosty. Nie oceniaj rozmówcy po numerze, po sposobie mówienia ani po tym, że zna twoje dane. Oceniaj to, o co prosi.

Sygnały ostrzegawcze

CERT Polska wymienia powtarzające się cechy wiadomości phishingowych. Dotyczą one także rozmów telefonicznych:

  • Presja czasu. Pieniądze rzekomo za chwilę przepadną, a konto zostanie zablokowane.
  • Silna emocja. Nieautoryzowana transakcja, włamanie na konto, kłopoty bliskiej osoby.
  • Nietypowa prośba. Instalacja programu, podanie kodu, przelew na „nowy” numer konta.
  • Nieoczekiwany kontakt, zwłaszcza gdy rozmówca podaje się za kogoś bliskiego lub za instytucję.

CERT Polska zaznacza, że te sygnały pomagają wyłapać oszustwo, ale nie są pełną listą, a ich brak niczego nie dowodzi. Jeśli prośba dotyczy pieniędzy lub danych, potwierdź ją inną drogą niż tą, którą przyszła.

Szczególnie ważne są dwie zasady, które powtarzają zarówno CERT Polska, jak i Policja:

  • Kodem BLIK nie da się odebrać przelewu. Jeśli ktoś prosi cię o taki kod, chce nim zapłacić albo wypłacić pieniądze z twojego konta.
  • Przed zatwierdzeniem czegokolwiek przeczytaj opis operacji, a nie tylko cyfry kodu. CERT Polska podkreśla, że to jedyne miejsce, w którym zobaczysz, co naprawdę autoryzujesz i na jaką kwotę. Sprawdź, czy zatwierdzasz płatność, a nie na przykład dodanie nowego urządzenia do bankowości.

Co zrobić po rozmowie

Jeśli oszustwo wyszło na jaw dopiero po rozmowie, liczy się czas. Poniższe kroki wynikają z zaleceń CERT Polska i gov.pl. Nie zastępują kontaktu z bankiem.

  • Skontaktuj się z bankiem tak szybko, jak to możliwe. Zrób to przez numer ze strony banku lub z aplikacji. Poproś o zablokowanie karty lub dostępu do bankowości, jeśli rozmówca poznał dane logowania albo dane karty. Źródła, które czytaliśmy, nie opisują procedury w konkretnym banku ani zasad zwrotu pieniędzy po przelewie zatwierdzonym osobiście, więc o to zapytaj bank.
  • Zmień hasła w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie ustawiono to samo hasło. Wyloguj aktywne sesje i włącz uwierzytelnianie dwuskładnikowe. Więcej o tym znajdziesz w tekście o uwierzytelnianiu dwuskładnikowym.
  • Usuń program zainstalowany na prośbę rozmówcy, i sprawdź w ustawieniach telefonu przyznane uprawnienia. CERT Polska ostrzega zwłaszcza przed zgodą na funkcje „Dostępność” lub „Ułatwienia dostępu” na Androidzie, bo mogą pozwolić aplikacji odczytywać ekran i wykonywać czynności w twoim imieniu. Przyznane zgody możesz sprawdzić i zmienić w ustawieniach telefonu.
  • Zastrzeż numer PESEL, jeśli rozmówca poznał dane dokumentu tożsamości. CERT Polska wskazuje, że zrobisz to w aplikacji mObywatel, w serwisie mObywatel.gov.pl lub w urzędzie gminy. Krok po kroku opisujemy to w poradniku jak zastrzec PESEL.
  • Zgłoś sprawę na policji, jeśli doszło do utraty pieniędzy. Gov.pl zaznacza, że zgłaszać należy jak najszybciej, bo zwiększa to szansę na zatrzymanie sprawcy.
  • Zgłoś próbę wyłudzenia do CERT Polska przez formularz na incydent.cert.pl.

Nie obwiniaj się. Oszuści opierają się na zaufaniu, chęci pomocy i presji czasu, a te mechanizmy działają na wszystkich.

Gdzie zgłosić oszustwo telefoniczne

Wybór miejsca zależy od tego, co się wydarzyło.

Policja lub prokuratura. Gov.pl opisuje, że przestępstwo, w tym oszustwo, możesz zgłosić w dowolnej jednostce policji lub w prokuraturze. Zgłoszenie może być pisemne, zdalne lub, w razie potrzeby, anonimowe. Strona zaznacza, że zgłoszenie anonimowe może zmniejszyć skuteczność działań, bo policjanci muszą potem uzupełniać i potwierdzać informacje. Usługa jest bezpłatna. W zawiadomieniu opisz dokładnie, co się stało, w jaki sposób, kiedy i gdzie, a jeśli wiesz, kto jest sprawcą, napisz to.

CERT Polska. Podejrzane wiadomości i próby wyłudzenia możesz zgłosić przez formularz na stronie incydent.cert.pl. Sam numer 8080 służy według CERT Polska do przekazywania podejrzanych SMS-ów, a nie do zgłaszania rozmów telefonicznych. Nie znaleźliśmy na przeczytanych stronach osobnego numeru do zgłaszania podejrzanych połączeń głosowych.

Numer alarmowy 112. Policja radzi zadzwonić na ten numer, gdy ktoś telefonuje w sprawie przekazania pieniędzy i pojawiają się podejrzenia oszustwa.

Jak się przygotować na następną rozmowę

  • Ustal z bliskimi hasło rodzinne lub zasadę oddzwaniania. To nasza propozycja, nie zalecenie z przeczytanych źródeł. Pomaga, bo oszuści podszywający się pod członków rodziny liczą na to, że zareagujesz bez sprawdzenia.
  • Nie ufaj numerowi ani nazwie na ekranie. Wyświetlacz pokazuje to, co ustawił dzwoniący.
  • Instaluj aplikacje wyłącznie ze sklepu w telefonie, na przykład Google Play lub App Store. CERT Polska radzi, by nie instalować programów z plików pobranych ze stron internetowych ani z linków w wiadomościach.
  • Włącz aktualizacje systemu i aplikacji. CERT Polska zaznacza, że usuwają one błędy w zabezpieczeniach, które przestępcy mogą wykorzystać.
  • Chroń swoje dane, w tym numer telefonu. Policja radzi właśnie to. Im mniej twoich danych jest widocznych, tym trudniej oszustowi wiarygodnie się przedstawić. Jak ograniczyć niechciane połączenia, opisujemy w poradniku Nieznany numer i spam telefoniczny.

Czego źródła nie mówią

  • Strony CERT Polska, Policji i gov.pl, które przeczytaliśmy, nie podają aktualnej liczby oszustw telefonicznych w Polsce ani średniej straty. Dlatego nie piszemy żadnych statystyk.
  • Nie opisują, jak operatorzy telekomunikacyjni blokują podmienione numery. Nie piszemy więc o tym.
  • Nie opisują zasad zwrotu pieniędzy po nieautoryzowanej transakcji. Zapytaj swój bank.
  • Komunikat Policji o spoofingu pochodzi ze stycznia 2022 roku i opisuje przypadek sprzed lat. Schemat jest jednak zgodny z aktualnym komunikatem Policji z kwietnia 2026 roku.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

Najczęstsze pytania

Czym jest vishing?
CERT Polska opisuje vishing jako phishing przez połączenie telefoniczne. Oszust dzwoni i podszywa się pod kogoś, komu ufasz, na przykład pod bank, a jego celem jest nakłonienie cię do przekazania danych, kodu lub pieniędzy. Schemat jest ten sam co w phishingu, zmienia się tylko kanał.
Czy numer wyświetlony na telefonie dowodzi, że dzwoni bank?
Nie. Policja zaznacza, że wyświetlony numer telefonu ani nazwa banku nie gwarantują, że rozmawiasz z prawdziwym przedstawicielem tej instytucji. Dzwoniący może za pomocą odpowiednich rozwiązań technicznych ręcznie wprowadzić numer, który ma się pojawić na ekranie. W wypadku „policjanta” numer może też przypominać numer Policji.
Czy pracownik banku może poprosić o login i hasło do bankowości?
Według komunikatu Policji nikt nie ma prawa wymagać podania loginu, hasła do bankowości internetowej ani danych karty, a prawdziwy przedstawiciel banku nigdy o to nie zapyta. Nie przekazuj też nikomu kodów mobilnej płatności i nie autoryzuj przelewów, których nie zlecasz.
Co znaczy „przelew techniczny” albo „bezpieczne konto”?
To zwroty z opisów oszustw publikowanych przez Policję. Rozmówca przekonuje, że oszczędności są zagrożone, i każe przelać je ekspresowo na „konto techniczne” lub „bezpieczny rachunek”. Według Policji pieniądze trafiają wtedy na konta, do których dostęp mają oszuści.
Dlaczego „konsultant” prosi o zainstalowanie programu?
Policja opisuje wariant, w którym rozmówca każe zainstalować aplikację umożliwiającą zdalne działanie na telefonie lub komputerze. Oszust ma wtedy dostęp do urządzenia, a przez nie do konta, i sam wykonuje przelewy. CERT Polska też wymienia prośbę o uruchomienie programu do zdalnego pulpitu „żeby konsultant mógł pomóc”.
Co zrobić, jeśli dane zostały już przekazane lub przelew wykonany?
Skontaktuj się z bankiem tak szybko, jak to możliwe, i poproś o zablokowanie karty lub dostępu do bankowości. Zmień hasła, odinstaluj program, o którego instalację prosił rozmówca, i zgłoś sprawę na policji. Jeśli rozmówca poznał dane dokumentu, rozważ zastrzeżenie numeru PESEL.
Gdzie zgłosić takie oszustwo?
Gov.pl wskazuje, że oszustwo możesz zgłosić w dowolnej jednostce policji lub w prokuraturze, także zdalnie. Próbę wyłudzenia możesz dodatkowo zgłosić przez formularz na stronie incydent.cert.pl. Jeśli rozmówca zwraca się do ciebie o przekazanie pieniędzy i masz podejrzenia, Policja radzi dzwonić na numer alarmowy.

Źródła

Nasza metoda redakcyjna

Ten artykuł przygotował zespół Remove Me na podstawie oficjalnych źródeł wymienionych powyżej. Aktualizujemy go, gdy te źródła się zmieniają. Artykuł informuje i nie stanowi spersonalizowanej porady prawnej.

Widzisz błąd w tym artykule? Zgłoś nam go

Przeczytaj też