Wysłałem kod BLIK oszustowi — co robić krok po kroku

Jeśli właśnie podałeś komuś kod BLIK i zorientowałeś się, że to było oszustwo, przeczytaj najpierw jedno zdanie: jeżeli jeszcze nie zatwierdziłeś transakcji w aplikacji bankowej, odrzuć ją teraz i przestań czytać. Sam kod nie wystarczy, żeby ktoś zabrał ci pieniądze — potrzebne jest jeszcze twoje potwierdzenie w aplikacji. Kod bez potwierdzenia wygaśnie po kilku minutach i nic się nie stanie.

Jeśli potwierdziłeś, ten poradnik jest dla ciebie. Opisuje trzy rzeczy, których nie znajdziesz razem w innych miejscach: czy twoja transakcja jest w świetle prawa „autoryzowana” i co z tego wynika, jakie masz realne szanse na zwrot w twoim konkretnym scenariuszu, oraz gotowy wzór zawiadomienia na policję. Mechanizm samego oszustwa opisujemy osobno w fiszce wyłudzenie kodu BLIK, a ogólną kolejność działań po dowolnym oszustwie — w poradniku co zrobić po oszustwie.

To poradnik informacyjny, nie porada prawna dla twojej sprawy. W sporze o większą kwotę rozważ konsultację z prawnikiem albo bezpłatną pomoc Rzecznika Finansowego, o której piszemy niżej.

1. Pierwsze piętnaście minut

Dzwoń do banku, zanim zaczniesz cokolwiek pisać. Numer masz na odwrocie karty i w aplikacji — nie szukaj go w wyszukiwarce, bo trafisz na podstawione reklamy. Jeśli nie możesz znaleźć właściwej infolinii, zadzwoń pod 828 828 828 (System Zastrzegania Kart, całodobowo, bezpłatnie): podajesz nazwę swojego banku, a system przełącza cię do jego centrum zastrzeżeń.

Powiedz konsultantowi trzy rzeczy w tej kolejności:

1. że doszło do oszustwa i chcesz zablokować dalsze transakcje BLIK — to jest priorytet, bo oszust zwykle próbuje wyciągnąć kolejne kody;
2. dokładną godzinę i kwotę operacji oraz jej numer z potwierdzenia w aplikacji;
3. że chcesz złożyć reklamację nieautoryzowanej transakcji — użyj tego sformułowania, bo uruchamia konkretną procedurę, a nie ogólne „zgłoszenie problemu”.

Dlaczego to takie pilne, skoro na reklamację masz formalnie 13 miesięcy? Bo te dwa terminy dotyczą czegoś innego. Operator płatności PayPro tłumaczył to wprost: „nie ma możliwości cofnięcia prawidłowo zatwierdzonej, autoryzowanej przez płacącego transakcji, jednak im szybciej po dokonaniu zgłoszenie — większa szansa na zablokowanie przez dział bezpieczeństwa”. Termin ustawowy chroni twoje roszczenie. Pieniędzy nie chroni nic poza szybkością.

Równolegle, jeśli masz na to drugą parę rąk: zrób zrzuty ekranu całej rozmowy z oszustem, zanim zniknie, i ostrzeż prawdziwego znajomego, pod którego się podszywano — jego konto zostało przejęte i naciąga kolejne osoby.

2. Czy to była transakcja autoryzowana — od tego zależy wszystko

To jest pytanie, które przesądza o twojej sprawie, a które większość poradników pomija albo zbywa ogólnikiem „to zależy”. Warto poświęcić mu dwie minuty, bo od odpowiedzi zależy, czy w reklamacji masz mocną, czy słabą pozycję.

Rzecznik Finansowy rozdziela dwa pojęcia, które w potocznym języku się zlewają:

• Uwierzytelnienie to czynność techniczna — weryfikacja, że to naprawdę ty i twój instrument płatniczy.
• Autoryzacja to wyrażenie przez ciebie zgody na wykonanie konkretnej transakcji.

Transakcja jest autoryzowana tylko wtedy, gdy wystąpią oba warunki łącznie. A transakcja nieautoryzowana to, w definicji Rzecznika, po prostu „transakcja, na którą użytkownik nie wyraził zgody”.

I tu pojawia się niewygodna prawda o BLIK-u „na znajomego”. Kiedy oszust wpisuje twój kod, na twoim ekranie pojawia się prośba o akceptację i to ty musisz ją świadomie potwierdzić — widząc przy tym kwotę i zwykle także to, że chodzi o wypłatę z bankomatu, a nie o „pomoc koledze”. Formalnie więc wyraziłeś zgodę na tę konkretną operację. Byłeś w błędzie co do tego, komu i po co ją zatwierdzasz, ale zgoda padła.

Dlatego banki odmawiają zwrotu przy klasycznym wyłudzeniu kodu BLIK częściej niż przy phishingu — i mają w tym mocniejszą podstawę. Artykuły obiecujące, że „bank musi oddać pieniądze”, są w tym miejscu po prostu nierzetelne wobec osoby, która właśnie straciła oszczędności.

Nie znaczy to, że sprawa jest przegrana. Znaczy, że kluczowe jest ustalenie, który dokładnie scenariusz cię dotyczy, bo dwa z nich są prawnie zupełnie inne:

Co się wydarzyło	Kwalifikacja	Twoja pozycja
Wygenerowałeś kod, oszust wpisał go w bankomacie lub serwisie, ty zatwierdziłeś w aplikacji	zwykle uznawana za autoryzowaną	najtrudniejsza — bank zwykle odmówi, argumentem jest przebieg manipulacji
Oszust podesłał link do fałszywej bramki płatności, gdzie podałeś dane	phishing → nieautoryzowana	mocna — działa ustawowy obowiązek zwrotu
Oszust przejął dane logowania do bankowości i sam wykonał operację	nieautoryzowana	mocna — to klasyczny przypadek z ustawy
Zatwierdziłeś, ale bank nie wykazał prawidłowego uwierzytelnienia	sporna	warto żądać dowodu autoryzacji

Sprawdź w historii transakcji i w rozmowie z oszustem, który wariant to był. Jeśli w grę wchodził jakikolwiek link — nawet jeśli wyglądał jak strona banku albo znanego serwisu płatności — twoja sprawa może należeć do drugiej kategorii, a nie do pierwszej. To rozróżnienie napisz wprost w reklamacji.

3. Reklamacja w banku — co napisać i czego nie pisać

Reklamację złóż pisemnie: przez formularz w aplikacji, na stronie banku albo w placówce. Ustnie przez telefon też można, ale wtedy nie masz dowodu treści.

Podstawy prawne, które warto przywołać:

• art. 45 ust. 1 i 2 ustawy o usługach płatniczych — to na dostawcy usług płatniczych spoczywa ciężar wykazania, że transakcja była autoryzowana. Nie na tobie. To bank ma udowodnić autoryzację, a nie ty jej brak.
• zasada D+1 — zwrot kwoty nieautoryzowanej transakcji ma nastąpić najpóźniej następnego dnia roboczego po zgłoszeniu.
• art. 44 ustawy o usługach płatniczych — masz 13 miesięcy od obciążenia konta, zanim roszczenie wygaśnie.

Co napisać: suchy, chronologiczny opis — data, godzina, kwota, kanał kontaktu, treść wiadomości oszusta, moment, w którym zorientowałeś się w sytuacji, oraz godzina zgłoszenia telefonicznego. Jeśli w grę wchodził link do fałszywej strony, napisz to wyraźnie i podaj adres. Dołącz zrzuty ekranu.

Czego nie pisać: nie przyznawaj się do „głupoty” ani nie oceniaj własnego zachowania. Zdania w rodzaju „wiem, że nie powinienem był tego robić” nie są potrzebne, a bank może je czytać jako przyznanie się do rażącego niedbalstwa — a to właśnie ono jest podstawą odmowy. Opisuj fakty, nie emocje. Rzecznik Finansowy zaznacza zresztą, że nie każde nieostrożne zachowanie jest rażącym niedbalstwem, bo oszuści stosują coraz bardziej wyrafinowane techniki; klasyczny przykład rażącego niedbalstwa to trzymanie PIN-u razem z kartą, a nie danie się nabrać na dopracowaną socjotechnikę.

Nowość, o której warto wiedzieć: opinia rzecznika TSUE

5 marca 2026 roku w sprawie C-70/25 rzecznik generalny Trybunału Sprawiedliwości UE wydał opinię, zgodnie z którą bank nie może odmówić natychmiastowego zwrotu kwoty nieautoryzowanej transakcji, powołując się na rażące niedbalstwo klienta. Zasada D+1 miałaby być bezwzględna: bank najpierw zwraca, a jeśli następnie ustali winę klienta, może dochodzić od niego zwrotu — nawet sądownie.

Dwa zastrzeżenia, o których inne serwisy zapominają, a które decydują, czy możesz się na to powołać:

1. To opinia rzecznika generalnego, nie wyrok. Opinia nie jest wiążąca, a wyroku w tej sprawie jeszcze nie ma.
2. Sprawa dotyczyła phishingu — klientka podała dane logowania na fałszywej stronie banku, a transakcję wykonał oszust. To scenariusz z drugiej i trzeciej kategorii z tabeli wyżej, a nie klasyczne wyłudzenie kodu BLIK zatwierdzone przez ofiarę.

Innymi słowy: jeśli twój przypadek to phishing, opinia wzmacnia twoją argumentację i warto ją w reklamacji przywołać. Jeśli sam zatwierdziłeś zwykłą transakcję BLIK, nie przenosi się na twoją sytuację wprost i lepiej nie budować na niej całej reklamacji.

Bank odmówił — co dalej

Najpierw odwołanie od decyzji, w którym żądasz wskazania, na jakiej konkretnie podstawie bank uznał transakcję za autoryzowaną.

Jeśli to nie pomoże, wchodzi Rzecznik Finansowy, i to dwiema ścieżkami:

• wniosek o interwencję — bezpłatny; Rzecznik występuje do banku w twoim imieniu i przedstawia argumenty na twoją korzyść;
• wniosek o pozasądowe rozwiązanie sporu — kosztuje 50 zł, przy czym można wnioskować o zwolnienie z opłaty, jeśli byłaby znacznym uszczerbkiem; trzeba dołączyć kopię dokumentu potwierdzającego zakończenie postępowania reklamacyjnego, więc reklamacji w banku nie da się przeskoczyć.

Wniosek złożysz pocztą, przez ePUAP, osobiście w biurze Rzecznika albo online (formularz internetowy wymaga kwalifikowanego podpisu elektronicznego). Alternatywą dla sporów z bankami jest Bankowy Arbitraż Konsumencki działający przy Związku Banków Polskich — obowiązują tam własne limity wartości sporu i opłaty, więc sprawdź aktualne zasady bezpośrednio u arbitra przed złożeniem wniosku.

4. Wzór zawiadomienia o podejrzeniu popełnienia przestępstwa

Zawiadomienie możesz złożyć ustnie do protokołu w dowolnej jednostce policji albo pisemnie — pocztą, mailem lub osobiście. Poniższy wzór wystarczy uzupełnić i wydrukować. Wyłudzenie kodu BLIK podstępem wypełnia znamiona oszustwa z art. 286 § 1 Kodeksu karnego.

[miejscowość], [data]

[Imię i nazwisko]
[adres zamieszkania]
[telefon, e-mail]

                                        Komenda [Miejska/Powiatowa] Policji
                                        w [miejscowość]
                                        [adres]

              ZAWIADOMIENIE O PODEJRZENIU POPEŁNIENIA PRZESTĘPSTWA

Niniejszym zawiadamiam o podejrzeniu popełnienia przestępstwa oszustwa,
tj. czynu z art. 286 § 1 Kodeksu karnego, na moją szkodę.

STAN FAKTYCZNY

W dniu [data] o godzinie [godzina] za pośrednictwem [np. komunikatora
Messenger / portalu OLX / serwisu Vinted] skontaktowała się ze mną osoba
podająca się za [np. moją znajomą / kupującego], posługująca się kontem
[nazwa konta / profil / numer telefonu].

Osoba ta, wprowadzając mnie w błąd co do [np. swojej tożsamości / zamiaru
zapłaty za towar], nakłoniła mnie do wygenerowania i przekazania kodu BLIK
oraz zatwierdzenia transakcji w aplikacji bankowej.

W wyniku powyższego z mojego rachunku bankowego nr [numer rachunku]
prowadzonego w [nazwa banku] pobrano kwotę [kwota] zł
[w przypadku kilku operacji: wymienić każdą z datą, godziną i kwotą].

Łączna wysokość szkody wynosi [kwota] zł.

Zdarzenie zgłosiłem/zgłosiłam telefonicznie w [nazwa banku] w dniu [data]
o godzinie [godzina]; sprawa prowadzona jest pod numerem reklamacji
[numer, jeśli nadano].

DOWODY

1. Zrzuty ekranu korespondencji z osobą podającą się za [...] — załącznik nr 1.
2. Potwierdzenia transakcji z aplikacji bankowej — załącznik nr 2.
3. [Adres fałszywej strony internetowej, jeśli występował] — załącznik nr 3.

WNIOSKI

1. Wnoszę o wszczęcie postępowania i ściganie sprawcy.
2. Na podstawie art. 46 § 1 Kodeksu karnego wnoszę o orzeczenie wobec
   sprawcy obowiązku naprawienia szkody w całości.
3. Wnoszę o poinformowanie mnie o sposobie zakończenia postępowania.

                                                     [własnoręczny podpis]

Trzy uwagi do wypełniania:

• Punkt 2 wniosków jest ważniejszy, niż wygląda. Jeśli sprawca zostanie ustalony, sąd karny może orzec obowiązek naprawienia szkody — to zwykle szybsza i tańsza droga do pieniędzy niż osobny proces cywilny.
• Nie opisuj własnych emocji ani ocen. Zawiadomienie ma zawierać fakty: kto, kiedy, w jaki sposób, na jaką kwotę. Reszta jest zbędna i tylko rozmywa obraz.
• Nie musisz znać sprawcy. Brak danych osoby podejrzanej nie jest przeszkodą w złożeniu zawiadomienia — od ustalenia sprawcy jest policja.

Niezależnie od zawiadomienia zgłoś sam mechanizm do CERT Polska przez incydent.cert.pl — zwłaszcza jeśli w grę wchodziła fałszywa strona. To zgłoszenie nie służy odzyskaniu twoich pieniędzy, tylko zablokowaniu domeny, żeby nie złowiła kolejnych osób.

5. Co się dzieje po złożeniu zawiadomienia

Tu potrzebna jest szczerość, której trudno szukać w tekstach kancelarii: statystycznie sprawy tego typu często kończą się umorzeniem wobec niewykrycia sprawcy. Pieniądze przechodzą przez konta słupów albo portfele wirtualne, a ślad urywa się szybko.

Warto też wiedzieć, że sama procedura zgłoszenia bywa frustrująca. Telepolis opisał relację użytkownika, który dzwonił na 112, żeby zgłosić oszusta czekającego przy bankomacie: numer alarmowy skierował go na przypadkowy komisariat, tamtejsi policjanci odesłali go z powrotem na 112, a właściwa jednostka przez dziesięć minut nie odbierała telefonu. Komenda Główna Policji, pytana o tę sprawę, odpowiedziała, że „trudno nam oceniać sytuację, ponieważ nie znamy szczegółów”, ale podkreśliła, że kluczowym czynnikiem wpływającym na zatrzymanie sprawcy jest szybkość działania.

Co z tego wynika praktycznie:

• Jeśli oszustwo dzieje się właśnie teraz i wiesz, przy którym bankomacie stoi odbierający — dzwoń na 112 i mów to w pierwszym zdaniu, zanim zaczniesz opisywać tło.
• Jeśli dostaniesz postanowienie o umorzeniu, masz prawo je zaskarżyć w terminie wskazanym w pouczeniu; przysługuje ci też wgląd w akta jako pokrzywdzonemu.
• Umorzenie postępowania karnego nie zamyka drogi cywilnej — jeśli znasz dane odbiorcy przelewu, roszczenia można dochodzić osobno.
• Postępowanie karne toczy się równolegle do reklamacji w banku i jedno nie czeka na drugie. Nie wstrzymuj reklamacji „do czasu wyjaśnienia sprawy przez policję”.

I rzecz, o której warto pamiętać, gdy statystyki przygniatają: odzyskanie pieniędzy zdarza się naprawdę. Niebezpiecznik opisał sprawę poszkodowanej, która odzyskała wszystkie sześć wykonanych przelewów. W tym samym materiale znajdziesz relacje osób, które straciły 2800 zł i 1900 zł, a jedna z nich podała pięć kodów BLIK po około 300 zł każdy. Rozstrzygnięcia bywają różne — i to jest właśnie powód, żeby przejść całą procedurę, zamiast machnąć ręką.

6. Uwaga: oszustwo na odzyskanie oszustwa

Jeśli po całej sprawie odezwie się do ciebie ktoś, kto „odzyska twoje pieniądze” za opłatą z góry, prowizją albo „kaucją na koszty postępowania” — to jest druga fala tego samego oszustwa. Osoby już poszkodowane są celem szczególnie atrakcyjnym, bo są zdesperowane, a ich dane krążą po listach ofiar.

Zasady są proste:

• Żadna uczciwa firma nie gwarantuje odzyskania środków, zwłaszcza z góry i zwłaszcza przez telefon.
• Zanim komukolwiek zapłacisz, sprawdź podmiot na liście ostrzeżeń publicznych KNF.
• Wszystkie trzy realne ścieżki — reklamacja w banku, interwencja Rzecznika Finansowego i zawiadomienie na policję — przejdziesz samodzielnie i bezpłatnie (jedyny koszt to opcjonalne 50 zł za postępowanie polubowne).

Jeśli chcesz zabezpieczyć się na przyszłość, zacznij od ustawienia limitów BLIK i zasad, komu kodu nie podaje się nigdy — opisujemy to w poradniku bezpieczne płatności BLIK.