Wyłudzenie kodu BLIK — oszustwo „na znajomego” z Messengera

Wiadomość przychodzi od kogoś, kogo znasz — koleżanki z pracy, kuzyna, sąsiadki. Prośba brzmi zwyczajnie: drobna pożyczka, „oddam jutro”. Problem w tym, że po drugiej stronie nie siedzi twój znajomy, tylko oszust, który przejął jego konto na Facebooku. To jedna z najbardziej rozpoznawalnych i wciąż najskuteczniejszych metod wyłudzenia kodu BLIK w Polsce — ostrzega przed nią zarówno policja, jak i sam operator systemu BLIK. Zanim cokolwiek wyślesz, przeczytaj zasady z poradnika o bezpiecznych płatnościach BLIK.

Jak działa to oszustwo

Schemat wygląda niemal zawsze tak samo i składa się z kilku kroków.

1. Przejęcie konta. Oszust włamuje się na cudze konto na Facebooku — najczęściej w wyniku wycieku hasła albo wcześniejszego phishingu. Zdarza się też, że wszystko zaczyna się od przejęcia numeru telefonu, na który przychodzą kody do odzyskiwania hasła — na tym polega SIM swap, czyli duplikat karty SIM. Od tej chwili oszust pisze do wszystkich znajomych ofiary jako ona.
2. Niewinny wstęp. Żeby nie wzbudzić podejrzeń, zaczyna od luźnej wymiany zdań: „Hej, co słychać?”, „Jesteś pod telefonem?”. Dopiero potem przechodzi do prośby.
3. Prośba o pieniądze z wiarygodnym pretekstem. Typowe wiadomości brzmią: „Słuchaj, głupia sprawa — zgubiłem portfel i nie mam jak wrócić do domu. Pożyczysz mi trochę? Jutro oddam” albo „Nie działa mi bankowość, a muszę pilnie coś opłacić. Wyślesz mi kod BLIK? Zaraz ci zwrócę”. Policja wymienia też inne preteksty, na przykład nagłą naprawę samochodu.
4. Prośba właśnie o kod BLIK. To sedno metody. Oszust nie chce przelewu, tylko sześciocyfrowego kodu z twojej aplikacji bankowej: „Podasz mi kod? Tak będzie najszybciej”. Zdarza się też wariant z linkiem do fałszywej strony płatności, gdzie rzekomo czeka na ciebie zwrot pieniędzy — tam oszuści wyłudzają dane logowania lub numer karty.
5. Wypłata z bankomatu. Gdy podasz kod i potwierdzisz operację w aplikacji, przestępca natychmiast wypłaca gotówkę z bankomatu. Według policji takiej transakcji nie da się cofnąć. Często chwilę później prosi o kolejny kod — „bo pierwszy nie zadziałał”.

Ta sama socjotechnika wraca w dziesiątkach odmian — przegląd znajdziesz w naszym zestawieniu wszystkich metod oszustw w Polsce.

Co zrobić, gdy to się dzieje

• Zadzwoń do znajomego na jego zwykły numer telefonu. To jedyna pewna weryfikacja — zalecają ją i policja, i BLIK. Jeśli nie odbiera, poczekaj. Prawdziwa pożyczka może zaczekać godzinę, oszust nie może.
• Nie podawaj kodu BLIK nikomu. Traktuj go jak PIN do karty. Żaden bank, urząd ani znajomy nie potrzebuje twojego kodu, żeby przyjąć od ciebie pieniądze — do tego służy przelew.
• Jeśli kod już wysłałeś, ale nic nie zatwierdziłeś — nie zatwierdzaj. Sam kod nie wystarczy: transakcję musisz jeszcze potwierdzić w swojej aplikacji bankowej. Odrzuć ją, a kod po chwili wygaśnie. Zawsze czytaj podsumowanie transakcji przed potwierdzeniem — zobaczysz tam, że to wypłata z bankomatu, a nie „pomoc koledze”.
• Jeśli zatwierdziłeś — natychmiast dzwoń na infolinię swojego banku. Zgłoś oszustwo i poproś o zablokowanie kolejnych transakcji BLIK. Pełną procedurę opisujemy w poradniku co zrobić po oszustwie.
• Uprzedź prawdziwego znajomego innym kanałem (telefon, SMS), że jego konto zostało przejęte i ktoś naciąga jego kontakty. Niech zmieni hasło i włączy uwierzytelnianie dwuskładnikowe.

Gdzie zgłosić

Pełną checklistę zgłaszania krok po kroku znajdziesz w poradniku gdzie zgłosić oszustwo. Najważniejsze kontakty:

• CERT Polska — incydent (przejęte konto, fałszywa strona płatności, podejrzana wiadomość) zgłosisz przez formularz incydent.cert.pl. Podejrzanego SMS-a przekaż dalej na bezpłatny numer 8080.
• Twój bank — zadzwoń na infolinię od razu, żeby zgłosić nieautoryzowaną transakcję i sprawdzić szansę na jej cofnięcie. CSIRT KNF (knf.gov.pl) obsługuje incydenty zgłaszane przez same banki, nie indywidualne sprawy klientów.
• Policja — jeśli straciłeś pieniądze, złóż zawiadomienie w najbliższej jednostce, a w sytuacji nagłej dzwoń na 112. Zabierz zrzuty ekranu rozmowy i potwierdzenia transakcji z aplikacji bankowej.

Wypłaty z bankomatu nie da się już cofnąć, ale kolejne transakcje bank może jeszcze zablokować — pod warunkiem, że dowie się o sprawie od razu, a nie następnego dnia. Szybkie zgłoszenie odcina też oszustowi przejęte konto, z którego naciąga następne osoby.