oszustwo na policjanta / na pracownika banku

Oszustwo „na policjanta” i jego bliźniacza odmiana „na pracownika banku” to oszustwo (scam) telefoniczne, w którym sprawca podaje się za przedstawiciela instytucji budzącej zaufanie i pod presją czasu nakłania ofiarę do przelewu, wypłaty gotówki albo ujawnienia danych do bankowości. CERT Polska opisuje najpopularniejszy wariant: rozmówca informuje o zablokowaniu konta w związku z podejrzeniem przejęcia dostępu przez osoby trzecie i sugeruje przelanie pieniędzy na „specjalne bezpieczne konto”, by uniknąć ich utraty ^[1]. Portal gov.pl zalicza takie rozmowy do vishingu, czyli oszustw z wykorzystaniem połączeń telefonicznych ^[2].

Jak działa

Oszustwo opiera się na socjotechnice, a nie na błędzie technicznym. Sprawca buduje wiarygodną rolę, czyli stosuje pretexting: przedstawia się jako konsultant, policjant albo prokurator, zna nazwę banku ofiary i mówi językiem instytucji. Potem wywołuje strach o oszczędności i każe działać natychmiast, zanim ofiara zdąży się z kimś skonsultować.

Wiarygodność wzmacnia fałszowanie numeru (spoofing). CERT Polska ostrzega, żeby nie ufać bezkrytycznie wyświetlanemu numerowi ani nazwie dzwoniącego, bo przestępcy potrafią je sfałszować ^[1]. Polska ustawa z 28 lipca 2023 roku definiuje to zjawisko jako CLI spoofing: nieuprawnione posłużenie się informacją adresową innego podmiotu przy połączeniu głosowym, służące podszyciu się pod niego, w szczególności w celu wywołania strachu lub nakłonienia do rozporządzenia mieniem ^[5].

Częsty jest scenariusz kilku rozmów. CERT Polska opisuje przypadki, w których najpierw dzwoni oszust namawiający do inwestycji albo podający się za pracownika banku, a następnie „policjant”, który twierdzi, że poprzednia rozmowa była próbą oszustwa i trzeba przesłać pieniądze na specjalne konto ^[1]. Gov.pl opisuje podobny układ, w którym fałszywy konsultant zapowiada telefon od „pomocy technicznej” banku ^[2]. Przebieg pokazuje schemat poniżej.

RYS. 1Oszustwo dwoma telefonami

Odmiany

Scenariusze różnią się rolą sprawcy i tym, czego żąda. Łączy je podszycie pod instytucję i pośpiech.

Pokrewne schematy to oszustwo na wnuczka, w którym „policjant” uwiarygodnia historię krewnego, oraz oszustwo na pomoc techniczną (tech support scam), w którym sprawca udaje serwis komputerowy.

Zagrożenia i skutki

Skutkiem jest zwykle bezpośrednia strata pieniędzy, ale także przejęcie konta bankowego, gdy ofiara poda dane uwierzytelniające albo kod jednorazowy (OTP). Gov.pl wymienia wśród zaleceń, by nigdy nie podawać haseł, kodów autoryzacyjnych ani numeru karty ^[2].

Sekurak w lutym 2023 roku opisał sprawę 46-latki, która podczas dwugodzinnej rozmowy z fałszywym konsultantem straciła około 108 tysięcy złotych, w tym 50 tysięcy z kredytu zaciągniętego na jej konto ^[6]. Rozmówca twierdził, że ktoś składa w jej imieniu wnioski kredytowe; kobieta sprawdziła, że numer zgadza się z numerem banku, i na jego prośbę zainstalowała oprogramowanie do zdalnego dostępu ^[6]. Sprawa pokazuje, że samo porównanie numeru nie chroni przed spoofingiem ^[6].

Policja 17 lipca 2024 roku poinformowała o zatrzymaniu podejrzanych, którzy podawali się między innymi za policjantów, prokuratorów i pracowników banków; oszukali 10 osób na ponad 1,2 miliona złotych ^[3]. We wrześniu 2025 roku lubuska policja opisała seniorkę w wieku 87 lat, której kobieta podająca się za policjantkę powiedziała, że jej pieniądze są zagrożone; seniorka straciła prawie 300 tysięcy złotych ^[4].

W WordPressie

Ten sam wzorzec, czyli autorytet, alarm i polecenie natychmiastowego działania, dotyka administratorów stron. W grudniu 2023 roku WordPress.org ostrzegł przed wiadomościami podszywającymi się pod WordPress Security Team, które informowały o rzekomej podatności CVE-2023-45124 i kazały pobrać złośliwą wtyczkę ^[7]. Kanałem był e-mail, więc był to phishing, ale mechanizm jest identyczny jak w rozmowie z fałszywym konsultantem.

WordPress.org podkreśla, że zespół bezpieczeństwa nigdy nie prosi mailem o instalację wtyczki lub motywu i nigdy nie pyta o nazwę użytkownika i hasło administratora ^[7]. Analogicznie CERT Polska zaleca, by nigdy nie udzielać rozmówcy dostępu do komputera i nie pobierać sugerowanego oprogramowania ^[1]. Dla właściciela strony oznacza to prostą regułę: prośba o dane logowania do panelu, hostingu albo o instalację narzędzia zdalnego pulpitu, która przychodzi z zewnątrz, jest sygnałem ataku, niezależnie od tego, czyje nazwisko widnieje w nadawcy.

Jak się bronić

• Rozłącz się i oddzwoń. CERT Polska zaleca zakończyć rozmowę i samodzielnie zadzwonić na numer z karty płatniczej albo ze strony instytucji ^[1].
• Policja nie prosi o pieniądze. Policjanci nigdy nie zadzwonią z informacją o prowadzonej akcji ani nie poproszą o przekazanie pieniędzy ^[3]; nie odbierają też żadnych pieniędzy od nikogo ^[4].
• Żadnych kodów i programów. Nie podawaj haseł ani kodów autoryzacyjnych, nie instaluj oprogramowania na prośbę dzwoniącego i nie wykonuj przelewów pod wpływem namowy ^[2].
• Zgłoś próbę. CERT Polska przyjmuje zgłoszenia przez incydent.cert.pl ^[1]; zob. zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl).

Część ochrony przejęli operatorzy. Ustawa z 2023 roku nakazuje przedsiębiorcy telekomunikacyjnemu blokować połączenie albo ukrywać identyfikację numeru wywołującego, by zwalczać CLI spoofing ^[5]. Prezes UKE prowadzi jawny wykaz numerów służących wyłącznie do odbierania połączeń, do którego wpisu mogą wnioskować między innymi banki ^[5]. Połączenie przychodzące z takiego numeru jest więc z definicji podejrzane. CERT Polska, omawiając ustawę we wrześniu 2023 roku, zapowiadał, że operatorzy będą musieli blokować połączenia z fałszywych numerów najpóźniej za 6 miesięcy ^[8]. Zaciąganie kredytów na cudze dane utrudnia z kolei zastrzeżenie numeru PESEL.