Rozmówca zna Twój PESEL i adres? To nadal nie dowodzi, że dzwoni z banku

Dzwoni „pracownik banku” i od razu podaje Twoje imię, adres, PESEL albo końcówkę numeru karty. Rozmowa nie zaczyna się od pytania. Zaczyna się od pokazania, że rozmówca już coś wie. Łatwo wtedy uznać: skoro ma dane, musi być prawdziwy.

To błędny test. Dane mogą pochodzić z wcześniejszego wycieku, dokumentu, formularza, publicznego rejestru albo innego oszustwa. Prawdziwa informacja o Tobie nie potwierdza tożsamości osoby, która ją wypowiada.

Nie poprawiaj i nie uzupełniaj historii oszusta

Rozmówca może celowo podać informację niepełną: „Widzę kartę kończącą się na 12, proszę podać dwie pozostałe cyfry”. Może zapytać o nazwisko panieńskie matki, aktualny bank, limit przelewów lub kod z SMS-a pod pozorem weryfikacji.

Nie potwierdzaj, że adres jest aktualny, że masz konto w danym banku ani że właśnie jesteś za granicą. Każda odpowiedź może uzupełnić profil i przygotować następną, bardziej przekonującą próbę.

Powiedz tylko, że samodzielnie skontaktujesz się z instytucją. Rozłącz się. Następnie otwórz aplikację banku albo zadzwoń pod numer z karty lub oficjalnej strony wpisanej ręcznie. Nie oddzwaniaj z historii połączeń i nie używaj numeru przesłanego SMS-em przez rozmówcę.

Kod z SMS-a nie służy do identyfikacji konsultanta

Jednorazowy kod zwykle zatwierdza konkretną czynność: logowanie, zmianę ustawień, dodanie urządzenia lub płatność. Przeczytaj całą treść wiadomości. Jeśli sam nie rozpocząłeś opisanej operacji, nie wpisuj kodu i nie podawaj go przez telefon.

Prawdziwy pracownik może znać część informacji w systemie, ale bezpieczna procedura nie polega na przejęciu przez niego Twojej bankowości. Nie instaluj aplikacji do zdalnego dostępu, nie udostępniaj ekranu i nie przenoś pieniędzy na „konto techniczne” lub „bezpieczny rachunek”.

Co zrobić, jeśli obca osoba rzeczywiście ma Twoje dane

Zapisz numer telefonu, godzinę, podane informacje i nazwę instytucji, pod którą się podszywano. Zgłoś próbę prawdziwemu bankowi lub firmie. Podejrzany SMS z linkiem prześlij na 8080, a inne materiały możesz przekazać przez incydent.cert.pl.

Jeżeli zakres danych sugeruje wyciek lub utratę dokumentu, rozważ zastrzeżenie numeru PESEL. Można to zrobić bezpłatnie w aplikacji mObywatel, na Gov.pl lub w urzędzie gminy. Sprawdź również historię weryfikacji PESEL dostępną w usłudze.

Po podaniu hasła zmień je na prawdziwej stronie i zakończ nieznane sesje. Po ujawnieniu danych karty lub zatwierdzeniu operacji natychmiast skontaktuj się z bankiem. Sam fakt, że oszust znał już część danych, nie oznacza automatycznie, że ma dostęp do wszystkich kont — reakcję dopasuj do tego, co faktycznie ujawniono lub zatwierdzono.

Firmowa procedura nie może opierać się na wiedzy rozmówcy

W organizacji oszust może znać nazwisko przełożonego, numer umowy, dostawcę albo nazwę projektu. Te informacje często są publiczne lub krążą między kontrahentami. Pracownik potrzebuje prawa do przerwania rozmowy i powrotu do sprawy przez katalog firmowy, system zgłoszeń lub znany kontakt do opiekuna.

Pytanie kontrolne o dane osobowe też nie jest mocnym zabezpieczeniem, jeśli odpowiedzi mogły wyciec. Dla dyspozycji finansowych i zmian dostępu potrzebna jest niezależna procedura, a nie coraz więcej informacji wypowiadanych w tej samej rozmowie.

Co potwierdzają źródła, a co rekomenduje Breachroad

Komisja Nadzoru Finansowego w poradach o cyberoszustwach zaleca zachować czujność nawet wtedy, gdy dzwoniący zna imię, numer karty, PESEL lub adres. Ministerstwo Cyfryzacji przypomniało 17 sierpnia 2026 roku, że PESEL można bezpłatnie zastrzec w aplikacji, przez Gov.pl lub w urzędzie, i rekomenduje domyślne utrzymywanie zastrzeżenia.

Wnioskiem Breachroad jest rozdzielenie dwóch pytań: „czy dane są prawdziwe?” i „czy rozmówca jest tym, za kogo się podaje?”. Na pierwsze odpowiedź może brzmieć „tak”, a na drugie nadal „nie wiem”. Więcej działań po podejrzeniu wykorzystania danych opisujemy w poradniku o kradzieży tożsamości. Zespoły uczymy spokojnego przerwania i niezależnej weryfikacji podczas szkoleń z cyberbezpieczeństwa.