Przy oszustwie internetowym liczą się pierwsze minuty, bo to one decydują o zablokowaniu pieniędzy, zachowaniu śladów i szybkim uruchomieniu właściwej procedury. W Polsce zgłoszenie może trafić do banku, Policji albo prokuratury, a przy phishingu również do CERT Polska. Różnica między tymi kanałami nie jest formalnością, tylko sposobem na inny skutek: odzyskanie środków, zabezpieczenie dowodów albo zablokowanie fałszywej strony.
Oszustwo internetowe trzeba rozdzielić między bank, Policję i CERT
- Policja przyjmuje zawiadomienie w dowolnej jednostce, a błędnie wybrana jednostka przekazuje sprawę dalej do właściwej.
- CERT Polska przyjmuje zgłoszenia fałszywych stron przez formularz, a SMS-y phishingowe można przekazać na 8080.
- Bank powinien dostać informację natychmiast po przelewie, wyłudzeniu BLIK albo przejęciu logowania.
- Dowody w postaci adresu strony, korespondencji i potwierdzeń przelewów skracają przyjęcie zawiadomienia i ułatwiają czynności procesowe.
- Art. 286 KK przewiduje karę od 6 miesięcy do 8 lat, a art. 287 KK od 3 miesięcy do 5 lat.
Gdzie zgłosić oszustwo internetowe od razu?
Najbezpieczniej zacząć równolegle od banku i Policji, a przy phishingu dodać CERT Polska. Według Ministerstwa Cyfryzacji próbę oszustwa można zgłosić w najbliższej jednostce Policji lub prokuraturze, a sprawę da się też uruchomić przez e-usługę na Gov.pl. Zgłoszenie nie musi czekać na pełną pewność, bo w sprawach internetowych czas ma większe znaczenie niż idealnie skompletowana dokumentacja.
Policja i prokuratura
Zawiadomienie o przestępstwie możesz złożyć w dowolnej jednostce Policji, a jeśli trafisz do niewłaściwej, sprawa zostanie przekazana dalej. W prokuraturze zgłoszenie przyjmowane jest w godzinach pracy, a z twoich informacji sporządzany jest protokół. To ważne, bo w sprawach internetowych jeden adres URL, jedna godzina i jeden numer rachunku potrafią przesądzić o tym, jak daleko uda się odtworzyć cały schemat działania sprawcy.
Na stronie CBZC Policja przypomina, żeby po cyberoszustwie od razu skontaktować się z bankiem, zastrzec numer PESEL i zebrać dane transakcji. To praktyczne, bo policjant albo prokurator szybciej przyjmie zawiadomienie, gdy masz pod ręką pełny opis zdarzenia, a nie tylko ogólny zarys. W takich sprawach nie chodzi o elegancką narrację, tylko o możliwie precyzyjny zapis śladu po przestępstwie.
CERT Polska i 8080
Jeśli sprawa dotyczy podejrzanej strony albo SMS-a z linkiem, zgłoszenie do CERT Polska pomaga zablokować domenę i ostrzec innych użytkowników. Baza wiedzy Gov.pl wskazuje też kanał 8080 dla SMS-ów phishingowych, a z jednego numeru można przesłać maksymalnie trzy wiadomości w ciągu czterech godzin. Ten numer służy wyłącznie do SMS-ów, więc gdy doszło do utraty pieniędzy, potrzebny jest także kanał karny.
Bank i PESEL
Jeżeli oszust uzyskał przelew, kod BLIK albo dostęp do konta, bank powinien dostać zgłoszenie natychmiast, jeszcze przed dalszym używaniem aplikacji. Policja zaleca też zastrzeżenie numeru PESEL przez mObywatel, portal gov.pl, urząd gminy albo bank, bo to ogranicza ryzyko kolejnych wyłudzeń. Jeśli konto społecznościowe zostało przejęte, ostrzeż znajomych od razu, bo przestępca często wysyła prośby o szybki przelew pod twoim nazwiskiem.
Uwaga: Sam SMS na 8080 nie kończy sprawy, gdy zniknęły pieniądze albo dane logowania. Wtedy potrzebne są dwa tory działania jednocześnie: zabezpieczenie finansów i zawiadomienie karne.
Po wyborze kanału zgłoszenia decydujące staje się to, co da się jeszcze zachować jako dowód.
Jakie dowody przygotować, zanim znikną?
Najlepiej zachować oryginalny SMS, e-mail, adres strony i potwierdzenie każdej transakcji, zanim cokolwiek usuniesz. W sprawach internetowych dowód znika szybciej niż sama szkoda, dlatego najpierw trzeba zabezpieczyć ślad, a dopiero potem porządkować telefon, komputer i skrzynkę pocztową. Im mniej własnych zmian w materiale, tym łatwiej organom ustalić, kto, kiedy i w jaki sposób doprowadził do szkody.
Zabezpiecz wiadomości
Zapisz treść wiadomości w niezmienionej formie, zrób kopię ekranu i zachowaj numer nadawcy, datę, godzinę oraz pełny adres linku. Przy mailach ważne są także nagłówki i załączniki, bo to one pomagają ustalić źródło i drogę wysyłki. Jeśli wiadomość przyszła przez Messenger, WhatsApp albo inny komunikator, nie wystarczy screenshot z wycinka rozmowy, bo część danych technicznych zostaje poza obrazem.
Zbierz ślady płatności
Zachowaj potwierdzenia przelewu, historię rachunku, dane odbiorcy, numer konta, adres portfela kryptowalut albo link do pośrednika płatności. Gdy doszło do wypłaty gotówki, zapisz miejsce i czas operacji, bo takie szczegóły ułatwiają odtworzenie sekwencji zdarzeń. Jeżeli ktoś wymusił kod BLIK, trzeba zanotować nie tylko kwotę, ale też kanał, którym kod został podany, oraz moment autoryzacji.
Zadbaj o urządzenie i konto
Nie kasuj aplikacji bankowej, nie instaluj ponownie telefonu i nie zmieniaj haseł na tym samym, potencjalnie zainfekowanym urządzeniu. Najpierw użyj bezpiecznego sprzętu, potem zmień hasła i włącz dodatkowe zabezpieczenia, bo po oszustwie często dochodzi do kolejnej próby logowania. Gdy przestępca przejął konto społecznościowe, zachowaj też logi aktywności, wiadomości do znajomych i zrzuty z profilu, bo to pokazuje skalę użycia twojej tożsamości.
Zapamiętaj: Słabe zgłoszenie to nie brak racji, tylko brak danych. Im bardziej oryginalne są pliki, tym łatwiej organom odtworzyć mechanizm oszustwa.
Przeczytaj również: Czy policja może zabrać telefon świadka? Poznaj swoje prawa!
To prowadzi do pytania, kiedy sam CERT wystarczy, a kiedy trzeba uruchomić pełne zawiadomienie.
Kiedy CERT Polska wystarczy, a kiedy potrzebna jest Policja?
CERT wystarcza do zgłoszenia podejrzanej domeny lub SMS-a, ale nie zastępuje Policji, gdy doszło do szkody majątkowej. To dwa różne mechanizmy reakcji: jeden blokuje zagrożenie i ostrzega innych, drugi uruchamia czynności karne i dowodowe. W praktyce wielu pokrzywdzonych potrzebuje obu ścieżek jednocześnie, bo phishing zaczyna się jako incydent techniczny, a kończy jako klasyczne oszustwo.
| Kanał | Kiedy użyć | Co wysłać | Efekt |
|---|---|---|---|
| Bank | Gdy doszło do przelewu, BLIK albo logowania do konta | Kwota, data, numer rachunku, potwierdzenie operacji | Blokada dostępu, analiza transakcji, próba odzyskania środków |
| Policja / prokuratura | Gdy doszło do wyłudzenia danych, pieniędzy albo przejęcia konta | Adres strony, korespondencja, potwierdzenia wpłat | Zawiadomienie i czynności procesowe |
| CERT Polska | Gdy chodzi o podejrzaną domenę, SMS lub phishing | Treść SMS, link, załącznik, nagłówki | Weryfikacja i ostrzeżenie użytkowników |
| 8080 | Gdy chcesz przekazać SMS phishingowy | Treść wiadomości bez przeróbek | Trafile do analityków CSIRT NASK |
Kiedy sam CERT nie wystarczy
Jeżeli straciłeś pieniądze, ujawniłeś dane logowania albo ktoś przejął konto i wykorzystał je do wyłudzeń, zgłoszenie do CERT to tylko część reakcji. W takim scenariuszu potrzebne jest też zawiadomienie o przestępstwie, bo dopiero Policja i prokuratura mogą prowadzić czynności dowodowe wobec sprawcy. To samo dotyczy fałszywych inwestycji, sklepów i ogłoszeń, które po stronie ofiary wyglądają jak zwykła transakcja, a po stronie prawa są już klasycznym oszustwem.
Kiedy SMS 8080 to za mało
Kanał 8080 służy wyłącznie do SMS-ów związanych z phishingiem i fałszywymi aplikacjami. Jeśli dostałeś niepokojący SMS, możesz go przekazać dalej, ale gdy obok wiadomości pojawił się przelew, kod BLIK albo logowanie do banku, samo SMS-owe zgłoszenie nie wystarcza. Wtedy najlepiej wysłać wiadomość do 8080, równolegle zablokować finanse i złożyć zawiadomienie.
W praktyce: Największy błąd polega na traktowaniu CERT jako zamiennika Policji. To narzędzie do szybkiego ostrzegania i blokowania domen, a nie pełna ścieżka karna.
Skoro ścieżka jest już rozdzielona, czas zobaczyć, jakie przepisy najczęściej pojawiają się w takich sprawach.
Jakie przepisy karne mają znaczenie?
W sprawach internetowych najczęściej pojawia się art. 286 KK o oszustwie, obok art. 287 KK o manipulacji danymi i art. 270 KK o fałszywych dokumentach, według obowiązującego Kodeksu karnego. To nie jest akademicki szczegół, tylko praktyczna mapa kwalifikacji, bo ten sam schemat może zawierać jednocześnie fałszywą stronę, podszycie pod instytucję i przelew do obcego rachunku. Dobre zgłoszenie opisuje cały mechanizm, a nie tylko końcowy efekt w postaci straty pieniędzy.
Art. 286 i klasyczne oszustwo
Art. 286 obejmuje sytuację, w której ktoś wprowadza inną osobę w błąd po to, by doprowadzić ją do niekorzystnego rozporządzenia mieniem. Pasują tu fałszywe sklepy, podszywanie się pod bank, fikcyjne inwestycje i scenariusze, w których ofiara sama wykonuje przelew, bo ufa sfałszowanej informacji. Sankcja jest surowa: od 6 miesięcy do 8 lat pozbawienia wolności, więc to nie jest drobne wykroczenie, lecz pełnoprawne przestępstwo przeciwko mieniu.
Art. 287 i manipulacja danymi
Art. 287 dotyczy bezprawnego wpływania na przetwarzanie lub przekazywanie danych informatycznych, a więc typowych nadużyć przy logowaniu, płatnościach i zmianie zapisów w systemie. W praktyce chodzi o przejęcie konta, podmianę danych odbiorcy, zmianę ustawień płatności albo wpisanie fałszywego stanu w systemie. Tu ustawodawca przewiduje karę od 3 miesięcy do 5 lat, co pokazuje, że nawet „techniczny” element oszustwa ma samodzielne znaczenie karne.
Art. 270 i warianty mieszane
Jeżeli sprawca posługuje się podrobionym dokumentem, fałszywą fakturą albo przerobionym zaświadczeniem, wchodzi w grę także art. 270 KK. Takie elementy często pojawiają się przy oszustwach inwestycyjnych, wynajmie mieszkań, fikcyjnych umowach i przejętych kontach firmowych. Jedno zdarzenie może więc obejmować kilka przepisów jednocześnie, a zgłoszenie z dobrze opisanym ciągiem zdarzeń pomaga organom właściwie to poukładać.
Zapamiętaj: W internetowych oszustwach jeden schemat często podpada pod kilka przepisów. Właśnie dlatego opis mechanizmu i załączniki są ważniejsze niż ogólne stwierdzenie, że „ktoś oszukał”.
Przeczytaj również: Świadek na policji: Kiedy możesz odmówić zeznań? Prawa i konsekwencje
To pozwala ułożyć praktyczną ścieżkę działania od pierwszej minuty do zamknięcia sprawy.
Jak przejść całą procedurę krok po kroku?
Najpierw zablokuj dostęp do pieniędzy i kont, potem złóż zgłoszenia, a dopiero później porządkuj resztę dokumentów. W tej kolejności ryzyko jest najmniejsze, bo każda godzina zwłoki zwiększa szansę na dalsze wypłaty, kolejne wiadomości do znajomych albo wyczyszczenie rachunku. Procedura jest prostsza, niż wygląda, ale wymaga działania bez przerw i bez czekania na „lepszy moment”.
Pierwsze minuty
- Zadzwoń do banku i poproś o blokadę transakcji, karty albo dostępu do bankowości.
- Zastrzeż PESEL przez mObywatel, gov.pl, urząd gminy albo bank.
- Zachowaj wiadomości i nie odpisuj sprawcy, nawet jeśli próbuje wywołać presję czasem.
Ten sam dzień
- Złóż zawiadomienie w dowolnej jednostce Policji albo w prokuraturze.
- Prześlij phishing do CERT albo SMS na 8080, jeśli to ten typ ataku.
- Dołącz dowody w postaci adresów, numerów rachunków i potwierdzeń przelewów.
Gdy sprawa ma elementy nietypowe
- Fałszywy sklep za granicą nadal warto zgłosić w Polsce, jeśli szkoda powstała tutaj lub na polskim koncie.
- Przejęte konto społecznościowe wymaga ostrzeżenia znajomych i zabezpieczenia odzyskiwania hasła.
- Brak stuprocentowej pewności nie zamyka drogi do zgłoszenia, bo podejrzenie zwykle wystarcza do uruchomienia czynności.
Jeżeli telefon albo komputer mogły zostać przejęte, nie wykonuj resetu fabrycznego przed skopiowaniem kluczowych danych. W wielu sprawach właśnie lokalne logi, historia logowań i czas ostatniego połączenia z siecią pokazują, czy doszło tylko do próby oszustwa, czy już do przejęcia konta i dalszego rozsyłania wiadomości. To szczególnie ważne wtedy, gdy jedna wiadomość została wykorzystana do wysłania kolejnych próśb o szybki przelew pod twoim nazwiskiem.
Najlepszy porządek działania to bank, Policja lub prokuratura, a przy phishingu również CERT Polska, bo dopiero taki zestaw chroni pieniądze, dowody i kolejne ofiary.
