Bezpieczne płatności BLIK krok po kroku

Bezpieczne płatności BLIK zależą od trzech rzeczy: nieudostępniania kodu nikomu przez telefon czy komunikator, rozsądnych limitów ustawionych w aplikacji bankowej i szybkiej reakcji, gdy coś już poszło nie tak. Jeśli właśnie ktoś dopytywał cię o kod BLIK (na Messengerze, telefonicznie albo przez SMS), sprawdź najpierw, jak dokładnie działa wyłudzenie kodu BLIK, bo to najczęstszy scenariusz tego oszustwa w Polsce. Poniżej masz kroki, które warto wykonać, zanim ktoś spróbuje cię oszukać, oraz to, co robić w pierwszych minutach, gdy podejrzewasz, że kod już wypłynął.

Podstawowa zasada: kod BLIK traktuj jak gotówkę w dłoni

Kod BLIK to sześć cyfr, ważnych przez 120 sekund od wygenerowania w aplikacji bankowej. Po tym czasie wygasa i trzeba wygenerować nowy. Ten krótki czas ważności to celowe zabezpieczenie: im szybciej kod przestaje działać, tym mniej da się nim zrobić, gdyby ktoś go przechwycił. Problem w tym, że w typowym oszustwie nikt niczego nie przechwytuje. Ofiara sama dyktuje kod osobie, która się o niego dopytuje, myśląc, że rozmawia ze znajomym albo z pracownikiem banku.

Dlatego pierwsza zasada bezpiecznego BLIK-a jest prosta: kod, który widzisz na ekranie telefonu, jest równoznaczny z wyjęciem gotówki z portfela i podaniem jej nieznajomemu. Nie różni się niczym od przekazania komuś karty razem z PIN-em. Jeśli ktokolwiek prosi cię o podyktowanie kodu, niezależnie od pretekstu, to sygnał, żeby przerwać rozmowę.

Komu nie podawać kodu BLIK

Poniższa tabela pokazuje najczęstsze warianty tego samego mechanizmu — zawsze chodzi o to, żebyś sam podyktował kod, który dopiero co wygenerowałeś.

Kto rzekomo dzwoni albo pisze	Pretekst	Co robisz
„Znajomy” na Messengerze lub WhatsAppie (konto przejęte)	Prosi o pilną pożyczkę i podanie kodu BLIK, żeby „oddać od razu”	Zadzwoń do tej osoby na znany ci numer, nie odpisuj w tym samym oknie czatu
„Pracownik banku” lub „konsultant”	Ostrzega przed podejrzaną transakcją i prosi o kod „do weryfikacji”	Rozłącz się, zadzwoń na numer z tyłu karty lub z oficjalnej strony banku
Kupujący na OLX, Vinted albo w innym serwisie ogłoszeniowym	Twierdzi, że potrzebuje kodu BLIK, żeby „potwierdzić wysyłkę” albo przelać zapłatę	Nigdy nie da się odebrać pieniędzy cudzym kodem BLIK — to zawsze próba wyłudzenia
„Kurier” z dopłatą do paczki	SMS z linkiem do „drobnej opłaty” i prośbą o kod z aplikacji bankowej	Nie klikaj w link, sprawdź przesyłkę bezpośrednio na stronie przewoźnika
Fałszywy sklep internetowy albo strona z „zwrotem podatku”	Prosi o dane logowania i kod BLIK jako „potwierdzenie tożsamości”	Zamknij stronę, nie loguj się z linku w SMS-ie czy mailu

Wspólny mianownik wszystkich tych sytuacji: w prawdziwej, legalnej transakcji to ty generujesz kod i sam go wpisujesz w terminalu albo na stronie sklepu. Nikt uczciwy nigdy nie prosi, żebyś podyktował mu kod przez telefon, SMS czy komunikator.

Ustaw limity BLIK, zanim będą ci potrzebne

Limit transakcji to zabezpieczenie na wypadek, gdyby ktoś jednak wyłudził od ciebie kod albo przejął dostęp do aplikacji bankowej: ogranicza maksymalną kwotę, jaką w ogóle da się nim zapłacić. W większości aplikacji mobilnych droga do limitów wygląda podobnie: wchodzisz w Ustawienia (ikona koła zębatego), dalej w sekcję dotyczącą BLIK-a, a w niej w limity transakcji, czyli pojedynczej płatności, przelewu na telefon i sumy dziennej. Zmianę zwykle trzeba potwierdzić PIN-em, odciskiem palca albo kodem SMS, a nowa wartość obowiązuje najczęściej od razu po zatwierdzeniu. Dokładne nazwy zakładek różnią się między bankami. mBank i Alior Bank mają to opisane krok po kroku na własnych stronach pomocy, więc jeśli nie możesz znaleźć opcji na ekranie, sprawdź instrukcję swojego banku.

Praktyczna zasada: limit dzienny i limit pojedynczej transakcji warto trzymać na poziomie, który realnie odpowiada twoim potrzebom, a nie maksimum, jakie dopuszcza bank. Jeśli BLIK-iem płacisz głównie za zakupy spożywcze i drobne rachunki, nie ma powodu, żeby limit dzienny sięgał kilku tysięcy złotych — w razie wyłudzenia kodu to właśnie ten limit decyduje, ile maksymalnie można stracić w jednej transakcji.

Fałszywe kody QR i linki działają na tej samej zasadzie

Oszuści nie zawsze proszą o kod bezpośrednio. Czasem podsuwają fałszywy kod QR (na parkomacie, w restauracji albo w mailu z „fakturą do zapłaty”), który prowadzi do podrobionej strony płatności. Mechanizm i skutek są identyczne jak przy klasycznym wyłudzeniu: ofiara sama wpisuje dane albo kod BLIK na stronie kontrolowanej przez przestępcę. Ten wariant opisujemy dokładnie w artykule o quishingu, czyli fałszywym kodzie QR. Zasady obrony są te same: sprawdzaj adres strony, zanim cokolwiek wpiszesz, i nie skanuj kodów QR z niepewnych źródeł.

Zadzwonił „policjant” albo „pracownik banku” — jak to rozpoznać

Policja nie dzwoni do obywateli z numeru 997 — to numer alarmowy, pod który to ty dzwonisz, zgłaszając sprawę, nie odwrotnie (tak samo jak 112; oba odbiera Centrum Powiadamiania Ratunkowego). Jeśli więc na wyświetlaczu widzisz „997”, to sygnał oszustwa, a nie potwierdzenie tożsamości rozmówcy — numer widoczny przy połączeniu przychodzącym da się zresztą sfałszować. Jeśli rozmówca przedstawia się jako policjant, pracownik banku albo funkcjonariusz Centralnego Biura Śledczego Policji i prosi o kod BLIK, numer karty albo hasło do bankowości, rozłącz się. Prawdziwy bank nigdy nie prosi o podanie kodu BLIK przez telefon, bo z jego punktu widzenia nie ma to żadnego uzasadnienia operacyjnego. Warianty tych dwóch oszustw opisujemy szerzej w artykułach o podszywaniu się pod pracownika banku i o oszustwie na policjanta z CBŚP. Jeśli masz wątpliwości, odłóż słuchawkę i sam zadzwoń na numer wydrukowany na karcie płatniczej albo podany na oficjalnej stronie banku.

Podałeś kod albo podejrzewasz oszustwo — co zrobić w pierwszych minutach

Czas ma tu znaczenie, bo kod BLIK jest ważny tylko 120 sekund, ale sama transakcja, jeśli zdąży się wykonać, już nie zniknie sama. Kolejność działań:

1. Zadzwoń do banku od razu. Numer infolinii znajdziesz na odwrocie karty płatniczej albo na oficjalnej stronie banku (nie w SMS-ie od oszusta). Zgłoś nieautoryzowaną transakcję i poproś o zablokowanie dostępu do konta.
2. Zastrzeż kartę pod numerem 828 828 828. To ogólnopolski, całodobowy System Zastrzegania Kart prowadzony przez Związek Banków Polskich — działa niezależnie od tego, w którym banku masz konto, i wystarczy wybrać nazwę banku w automatycznym systemie, żeby zostać przekierowanym do właściwego konsultanta.
3. Zgłoś sprawę na policję pod numer 997 lub 112. Będziesz potrzebować numeru zgłoszenia albo protokołu przy ewentualnej reklamacji w banku.
4. Zgłoś incydent do CERT Polska. Formularz znajdziesz na incydent.cert.pl, a podejrzany SMS możesz od razu przekazać dalej na bezpłatny numer 8080 (funkcją „Prześlij dalej”/„Udostępnij”, bez wycinania linku czy treści — z jednego numeru nadawcy można zgłosić w ten sposób maksymalnie 3 wiadomości w ciągu 4 godzin). Podejrzanego maila albo stronę zgłaszasz na adres cert@cert.pl.
5. Zmień hasła do bankowości elektronicznej i komunikatorów, przez które doszło do kontaktu, i włącz dwuskładnikowe logowanie tam, gdzie jeszcze go nie masz.

Rozważ zastrzeżenie numeru PESEL

Jeśli w trakcie oszustwa ktoś mógł poznać twój numer PESEL, na przykład podszywając się pod bank i wyłudzając więcej danych niż sam kod, warto zastrzec PESEL w aplikacji mObywatel. Wchodzisz do aplikacji, wyszukujesz usługę „Zastrzeż PESEL” na liście dostępnych usług, włączasz przełącznik i potwierdzasz decyzję. To samo można zrobić przez przeglądarkę na stronie mObywatel.gov.pl, logując się profilem zaufanym, e-dowodem, bankowością elektroniczną albo certyfikatem kwalifikowanym, a następnie potwierdzając zastrzeżenie w sekcji dotyczącej rejestru zastrzeżeń PESEL. Zastrzeżony numer PESEL blokuje między innymi możliwość zaciągnięcia kredytu, zakupu na raty czy wyrobienia duplikatu karty SIM na twoje dane — czyli odcina najpopularniejsze sposoby wykorzystania wykradzionej tożsamości. Zastrzeżenie można też złożyć papierowo, składając podpisany własnoręcznie wniosek osobiście w dowolnym urzędzie gminy w Polsce, niezależnie od miejsca zameldowania.