„Kurier odbierze dezaktywowaną kartę”. Tak oszust buduje wiarygodną historię

Telefon informuje o wycieku danych. Rozłączasz się, bo coś brzmi podejrzanie. Po kilku minutach dzwoni inna osoba, na WhatsAppie pojawia się dokument z logo policji, a rozmówca zna wygląd aplikacji bankowej. Na końcu kurier ma odebrać starą, rzekomo dezaktywowaną kartę jako „dowód w sprawie”.

To nie jest seria niezależnych zdarzeń. To jedna historia budowana warstwami, aby każda kolejna instytucja potwierdzała poprzednią. Rzecznik Finansowy opisał przypadek klientki, która przekazała kartę kurierowi i w ciągu kilku godzin straciła niemal 200 tys. złotych.

Pierwsza dobra decyzja nie kończy ataku

Poszkodowana początkowo zareagowała właściwie i przerwała podejrzane połączenie. Oszuści nie zrezygnowali. Zadzwonili ponownie z inną wersją pomocy, wysłali SMS z numeru mającego kojarzyć się z NBP, a potem fałszywe pismo na WhatsAppie.

To ważna lekcja: rozpoznanie pierwszego telefonu nie daje odporności na drugi. Przestępca może zmienić rolę z „pracownika banku” na „osobę pomagającą po wcześniejszej próbie oszustwa”. Wie, że ofiara jest już zaniepokojona, więc oferuje uporządkowaną procedurę i pozorny kontakt z kolejnymi instytucjami.

Nie próbuj wygrywać z takim scenariuszem w rozmowie. Zakończ kontakt i samodzielnie zbuduj nowy kanał do banku.

Logo, nazwisko i numer telefonu nie potwierdzają rozmówcy

W opisanej sprawie oszuści używali prawdziwych imion i nazwisk pracowników. Dokument zawierał logo i dane adresowe Komendy Stołecznej Policji, a profil w komunikatorze mógł w jednej chwili zmienić znak NBP na logo komercyjnego banku.

Każdy z tych elementów jest łatwy do skopiowania. Nazwisko można znaleźć w internecie, PDF przygotować z publicznego wzoru, zdjęcie profilowe zmienić, a nazwę nadawcy SMS podszyć. Zgodność kilku widocznych szczegółów dowodzi tylko, że ktoś przygotował scenariusz.

Weryfikacja wymaga niezależnego kanału: numeru z aplikacji, odwrotu karty lub ręcznie wpisanej oficjalnej strony banku. Nie korzystaj z numeru, linku ani instrukcji dostarczonych przez rozmówcę.

Bank nie wysyła kuriera po kartę

Rzecznik Finansowy przypomina, że bank może sam zablokować kartę lub środki, gdy wymaga tego bezpieczeństwo. Nie poleca klientowi wykonania „bezpiecznego przelewu”, przeniesienia pieniędzy na inne konto ani przekazania karty osobie trzeciej.

Bank może zadzwonić, aby potwierdzić transakcję zainicjowaną przez klienta. Taka rozmowa nie powinna jednak przechodzić w serię nowych operacji, ujawnianie poufnych danych albo organizowanie odbioru karty.

Karta pozostaje przedmiotem, nad którym trzeba zachować kontrolę nawet po zastrzeżeniu. Nie przekazuj jej kurierowi, policjantowi „wysłanemu przez bank”, pracownikowi ochrony ani osobie spotkanej przed oddziałem. Jeśli bank wymaga zwrotu, potwierdź procedurę samodzielnie w oficjalnym kanale.

Zastrzeż kartę samodzielnie i sprawdź efekt

Użyj własnej aplikacji bankowej, bankowości internetowej albo oficjalnej infolinii. Po wykonaniu operacji sprawdź, czy karta ma status „zastrzeżona”, a nie tylko czasowo zablokowana. Te pojęcia mogą oznaczać różne działania w zależności od banku.

Zastrzeżoną kartę pozostającą w twoim posiadaniu zniszcz tak, aby nie można było jej użyć — Rzecznik Finansowy wskazuje między innymi przecięcie na kilka części lub odcięcie rogu z chipem. Zadbaj również o pasek magnetyczny i dane nadrukowane na karcie.

Nie wykonuj tych czynności pod dyktando osoby na linii. Nawet prawidłowo brzmiący krok może być częścią historii, która później prowadzi do ujawnienia kodu, zaakceptowania operacji lub wydania fizycznej karty.

Zdanie, które kończy presję

Warto mieć gotową odpowiedź: „Rozłączam się i sam skontaktuję z bankiem”. Nie tłumacz, gdzie jesteś, ile masz pieniędzy ani jakiej aplikacji używasz. Nie zgadzaj się na przełączenie do „kierownika”, „policjanta” czy „działu bezpieczeństwa”, bo nadal pozostajesz w kanale kontrolowanym przez oszusta.

Presja czasu, nakaz zachowania tajemnicy i informacja, że tylko natychmiastowe działanie uratuje środki, są wystarczającym powodem do zakończenia rozmowy. Prawdziwa procedura bezpieczeństwa wytrzyma niezależną weryfikację.

Gdy karta albo dane zostały już przekazane

Liczy się szybkość, ale działaj własnymi kanałami:

1. skontaktuj się z bankiem przez aplikację lub oficjalną infolinię i zgłoś incydent;
2. zastrzeż kartę oraz poproś o zabezpieczenie konta i sesji;
3. przejrzyj transakcje i złóż reklamację dotyczącą operacji, których nie autoryzowałeś;
4. zachowaj numery telefonów, SMS-y, dokumenty, historię WhatsAppa, potwierdzenia i dane kuriera;
5. zawiadom policję i poproś o potwierdzenie zgłoszenia;
6. przekaż informacje do CERT Polska.

Nie kasuj korespondencji w odruchu wstydu. Może pomóc odtworzyć kolejność manipulacji, kanały kontaktu i przepływ pieniędzy. Jeżeli podałeś hasło lub kod, powiedz bankowi dokładnie co i na jakim ekranie — bez łagodzenia opisu.

Rzecznik Finansowy wskazuje także możliwość złożenia reklamacji z wyraźnym żądaniem zwrotu środków i przypomina zasadę D+1 dla nieautoryzowanych transakcji. Gdy bank odmawia zwrotu, można zwrócić się do Rzecznika o interwencję lub postępowanie polubowne. Każda sprawa wymaga jednak oceny własnych okoliczności; ten artykuł nie zastępuje porady prawnej.

Jak przygotować bliskich i pracowników

Samo hasło „bank nigdy nie prosi o kod” jest zbyt wąskie. W tej historii przestępcy kazali ofierze wykonywać pozornie ochronne działania i dostarczali dokumenty, które miały uspokajać podejrzenia.

Skuteczniejsze ćwiczenie powinno obejmować trzy zasady:

• zawsze przerwij niezamówioną rozmowę o bezpieczeństwie pieniędzy;
• wróć do instytucji przez samodzielnie znaleziony kanał;
• nigdy nie wydawaj karty ani telefonu osobie przysłanej przez rozmówcę.

W rodzinie ustal, do kogo można zadzwonić przed pilną decyzją. W firmie daj pracownikowi prawo do zatrzymania procesu bez obawy, że „utrudnia pracę”. Oszust wykorzystuje samotność i tempo; druga, niezależna osoba psuje oba elementy.

Co mówi źródło, a co rekomenduje Breachroad

Przebieg sprawy, kwota niemal 200 tys. zł, użycie SMS-a, WhatsAppa, fałszywego pisma, prawdziwych nazwisk i kuriera po kartę pochodzą z komunikatu Rzecznika Finansowego o oszustwie „na dezaktywowaną kartę”. Z tego samego źródła pochodzą wskazówki dotyczące samodzielnego zastrzegania i niszczenia karty oraz ścieżki zgłoszenia.

Rekomendacją Breachroad jest przygotowanie krótkiego zdania kończącego rozmowę i traktowanie wielu „potwierdzających się” instytucji jako jednego kanału, dopóki samodzielnie nie nawiążemy nowego kontaktu.

Więcej o fałszywych telefonach znajdziesz w poradniku vishing — oszustwo na pracownika banku. Organizacjom pomagamy budować podobne odruchy i procedury eskalacji podczas szkoleń z cyberbezpieczeństwa.