oszustwo na BLIK-a

Oszustwo na BLIK-a to oszustwo (scam), w którym przestępca nakłania ofiarę do przekazania kodu BLIK albo do zatwierdzenia w aplikacji bankowej transakcji, której ofiara nie zainicjowała. Typowo podszywa się pod znajomego w komunikatorze i prosi o pilną pomoc finansową ^[7]. Kod BLIK jest generowany centralnie przez Polski Standard Płatności, operatora systemu; jest jednorazowy, przypisany do użytkownika i ważny tylko przez 2 minuty ^[1]. Oszustwo nie łamie tych zabezpieczeń. Wykorzystuje to, że kod działa dla każdego, kto go wpisze, a ostatnim zabezpieczeniem jest uwaga właściciela konta.

Jak działa

Scenariusz opiera się na socjotechnice: zaufaniu do znajomego, presji czasu i nawyku szybkiego klikania „zatwierdź”. Przebieg typowego ataku pokazuje schemat poniżej.

RYS. 1Wyłudzenie kodu przez komunikator

Przypadek opisany przez Niebezpiecznika w marcu 2023 roku jest podręcznikowy. Ofiara dostała wiadomość z przejętego konta kolegi z pracy na Messengerze z pytaniem, czy działa jej BLIK, a potem prośbę o pożyczkę ^[3]. Podała kod i zatwierdziła transakcję na telefonie, nie zauważając, że bankomat stoi w innym mieście ^[3]. Straciła 2000 zł, a odzyskanie pieniędzy wypłaconych z bankomatu Niebezpiecznik ocenił jako praktycznie niemożliwe ^[3].

Operator systemu podaje, że wypłaty z bankomatu oraz płatności w internecie i w sklepie powyżej 50 zł wymagają potwierdzenia PIN-em, chyba że bank pozwala ustawić własne limity ^[1]. Aplikacja pokazuje przy tym kwotę i odbiorcę albo bankomat ^[1]. To moment, w którym ofiara może jeszcze przerwać atak. Presja czasu, typowa dla socjotechniki, ma sprawić, że ofiara zatwierdzi transakcję bez czytania szczegółów. Kod ważny tylko 2 minuty ^[1] dodatkowo przyspiesza całą rozmowę, bo sprawca musi go użyć natychmiast.

Odmiany

Pierwsze dwie odmiany zwykle idą w parze: bez przejęcia konta w serwisie społecznościowym nie ma wiarygodnej wiadomości od znajomego. Konto przejmuje się przez phishing, czyli wyłudzenie danych uwierzytelniających na fałszywej stronie logowania. W 2025 roku CERT Polska odnotował też kampanię, w której oszuści podszywali się pod samą usługę BLIK ^[5].

W trzeciej odmianie klient płacił w sklepie, a aplikacja poprosiła o potwierdzenie zamówienia jedzenia na 51,79 zł ^[6]. Operator wyjaśnił, że wygenerowany przez niego kod wpisał inny użytkownik ^[6]. Niebezpiecznik zaznaczył, że banki odrzucają reklamacje, jeśli klient sam zatwierdził transakcję ^[6].

Nie każda dziwna sytuacja z BLIK-iem jest oszustwem. W maju 2026 roku Niebezpiecznik ocenił, że nieoczekiwane przelewy na telefon z prośbą o zwrot są zwykle skutkiem literówki w numerze, a nie przestępstwa ^[8]. Zalecił jednak, by nie oddawać pieniędzy samodzielnie, tylko uruchomić procedurę zwrotu w banku ^[8].

Historia i przykłady

W maju 2020 roku policja zatrzymała siedem osób z grupy, która działała co najmniej od stycznia 2019 roku ^[4]. Według Niebezpiecznika grupa wyłudzała dane logowania do Facebooka, a potem z kont ofiar prosiła znajomych o kody BLIK; pojedyncze transakcje wynosiły od 1000 do 3000 zł, a pokrzywdzonych ustalono około 200 ^[4]. Według Niebezpiecznika pieniądze przepuszczano przez konta tak zwanych słupów ^[4]; zob. słup.

CERT Polska w raporcie za 2025 rok opisał sprawę prowadzoną przez Centralne Biuro Zwalczania Cyberprzestępczości w Białymstoku. Grupa najpierw za pomocą phishingu zdobywała dane logowania do Facebooka, a potem przez komunikator wyłudzała kody BLIK od innych użytkowników ^[5]. Od maja 2022 do maja 2024 roku zabezpieczono ponad 100 tysięcy wykradzionych loginów i haseł ^[5]. Bazę ofiar udostępniono w serwisie bezpiecznedane.gov.pl ^[5].

Jak się bronić

• Zadzwonić do znajomego, który prosi o pieniądze, zanim poda się kod; zaleca to policja ^[7] i operator systemu ^[2].
• Nie podawać kodu BLIK w komunikatorach ani w mediach społecznościowych ^[2].
• Przed zatwierdzeniem sprawdzić w aplikacji kwotę, typ transakcji i miejsce bankomatu ^[3].
• Pamiętać, że prawdziwy pracownik banku nigdy nie prosi o dane logowania ^[7]; zob. oszustwo na policjanta / na pracownika banku.
• Włączyć uwierzytelnianie dwuskładnikowe (2FA) w serwisach społecznościowych ^[3], co utrudnia przejęcie konta, od którego zaczyna się atak.

Kod BLIK działa jak kod jednorazowy (OTP), ale z odwróconą rolą: nie potwierdza tożsamości, tylko upoważnia do obciążenia rachunku. Dlatego nie wolno go traktować jak zwykłego numeru, który można bezpiecznie przekazać. Kto zna kod i zdąży go użyć, ten dysponuje pieniędzmi z konta w granicach zatwierdzonej przez właściciela kwoty. Jeżeli pieniądze już zniknęły, trzeba niezwłocznie powiadomić bank i policję oraz ostrzec znajomego, którego konto przejęto; jego kontakty mogą dostać tę samą wiadomość.

W WordPressie

Oszustwo na BLIK-a rozgrywa się w komunikatorach, ale jego zaplecze bywa na zwykłych stronach internetowych. Grupa rozbita w 2020 roku zdobywała dane logowania przez sugerowane do obejrzenia filmy, rzekomo zamieszczone na stronach znanych wydawców; kliknięcie kończyło się przekierowaniem ^[4]. Takie złośliwe przekierowanie często wstrzykuje się w przejęte witryny, także te na WordPressie.

Sklep na WooCommerce może też stać się tłem oszustwa. Na fałszywej bramce płatności ofiara wpisuje kod BLIK, przekonana, że płaci za zamówienie; kod ważny 2 minuty ^[1] wystarczy, by sprawca użył go od razu. Właściciel sklepu powinien jasno komunikować, że nie prosi o kody BLIK przez komunikatory, i pilnować, by jego strona nie posłużyła za hosting cudzej kampanii. Pokrewny schemat na platformach ogłoszeniowych opisuje hasło oszustwo na OLX / Vinted.