Oszustwo na BLIK — jak działają i jak się bronić

BLIK to jeden z najpopularniejszych sposobów płatności w Polsce — wygodny, szybki i dostępny w większości aplikacji bankowych. Właśnie dlatego stał się też ulubionym narzędziem oszustów. Według danych CERT Polska w 2024 roku odnotowano ponad 600 tys. zgłoszeń, o 62% więcej niż rok wcześniej — a schematy z BLIK-iem należą do najczęstszych.

Jak działa klasyczne oszustwo „na BLIK”

Schemat jest prosty i dlatego skuteczny. Dostajesz wiadomość od znajomego na Messengerze, WhatsAppie lub przez SMS. Treść jest zazwyczaj pilna: „hej, czy możesz mi pożyczyć trochę kasy? potrzebuję na chwilę, oddам jutro” albo „utknąłem za granicą, czy wyślesz mi kod BLIK?”.

Problem w tym, że to nie twój znajomy. Jego konto zostało przejęte — albo przez phishing, albo przez wyciek danych logowania. Oszust siedzi za ekranem i czeka, aż podasz mu sześciocyfrowy kod.

Co się dzieje po podaniu kodu?

Gdy wyślesz kod BLIK, oszust natychmiast wprowadza go w bankomacie lub terminalu płatniczym i wypłaca gotówkę. Masz 2 minuty, zanim kod wygaśnie — ale to zupełnie wystarczy. Czasem pojawi się prośba o potwierdzenie transakcji w aplikacji bankowej, co sprawia, że świadomie autoryzujesz wypłatę.

Bywa też wariant z „kupnem przez internet” — oszust udaje, że płaci za coś kodem BLIK, ale w rzeczywistości wypłaca twoje pieniądze.

Fałszywe prośby o BLIK od „znajomego” — sygnały ostrzegawcze

Kilka rzeczy powinno zapalić czerwoną lampkę:

• Nagłość i emocje — „pilnie”, „tylko na chwilę”, „nie ma czasu dzwonić”
• Prośba przez komunikator — znajomy normalnie mógłby zadzwonić
• Niestandardowy styl pisania — inne słownictwo, brak polskich znaków, dziwne sformułowania
• Brak możliwości weryfikacji głosowej — „nie mogę teraz rozmawiać, wyślij tylko kod”

Jeśli widzisz choć jeden z tych sygnałów, zadzwoń do znajomego na numer zapisany w kontaktach. Nie klikaj w żaden link z wiadomości.

Oszustwo na BLIK przy sprzedaży — „bezpieczna dostawa”

To osobny, coraz popularniejszy schemat. Wystawiasz coś na OLX, Vinted lub Allegro. Pojawia się kupujący, który wydaje się zainteresowany. W pewnym momencie mówi: „zapłacę przez BLIK, wyślę link do odbioru płatności”.

Otwierasz link — wygląda jak strona banku, OLX lub InPostu. Formularz prosi o numer karty, kod CVV, a czasem też o kod BLIK. Gdy go wpiszesz, stracisz pieniądze.

To klasyczny Smishing: co to jest i jak rozpoznać fałszywy SMS? powiązany z fałszywymi stronami płatności. Więcej o tym mechanizmie znajdziesz też w artykule o Jak chronić się przed phishingiem? Praktyczny poradnik.

Jak wygląda fałszywa strona płatności?

Fałszywe strony są coraz lepiej podrobione — mają logo banku, poprawne kolory i wygląd podobny do prawdziwego serwisu. Kilka rzeczy zdradza jednak podróbkę:

• Adres URL — zamiast mbank.pl będzie np. mbank-platnosc.pl lub mbank.payment-secure.com
• Brak kłódki HTTPS z certyfikatem — choć uwaga: dziś nawet fałszywe strony mogą mieć HTTPS
• Prośba o podanie kodu BLIK na stronie zewnętrznej — prawdziwy BLIK generujesz w swojej aplikacji bankowej i potwierdzasz tam, nie na obcej stronie

Co grozi sprawcom i jakie masz prawa

Wyłudzenie kodu BLIK to przestępstwo — art. 286 Kodeksu karnego (oszustwo) zagrożone jest karą do 8 lat pozbawienia wolności. Zgłoszenie na policję ma sens, nawet jeśli kwota była niewielka. Buduje to statystyki i może pomóc w schwytaniu seryjnych oszustów.

Warto też sprawdzić, czy twoje dane nie wyciekły — Jak sprawdzić, czy moje dane wyciekły? Przewodnik krok po kroku pokaże ci, czy hasła lub emaile skończyły w rękach przestępców.

Jak chronić swoje konto przed przejęciem

Jeśli konto znajomego zostało przejęte, to najczęściej dlatego, że hasło było słabe lub zostało skradzione przez phishing. Możesz zadbać o swoje konto:

• Włącz Weryfikacja dwuetapowa (2FA): jak działa i dlaczego warto ją włączyć w każdym serwisie, który tego wymaga
• Używaj unikalnych haseł — menedżer haseł bardzo w tym pomaga
• Sprawdź, czy twoje hasło nie wyciekło: Jak sprawdzić, czy twoje hasło wyciekło? Poradnik

Co zrobić teraz?

1. Jeśli właśnie podałeś kod BLIK — zadzwoń natychmiast na infolinię banku (numer na odwrocie karty lub w aplikacji) i poproś o zablokowanie transakcji.
2. Jeśli dostałeś podejrzaną prośbę — zadzwoń do znajomego bezpośrednio, by sprawdzić, czy to naprawdę on pisał. Jego konto mogło zostać przejęte.
3. Zgłoś oszustwo do CERT Polska — przez stronę incydent.cert.pl możesz zgłosić fałszywą stronę lub SMS-a.
4. Złóż zawiadomienie na policji — nawet jeśli kwota jest niewielka, zgłoszenie buduje dowody przeciwko seryjnym oszustom.
5. Zabezpiecz swoje konta — zmień hasła, włącz dwuskładnikowe uwierzytelnianie i sprawdź Jak chronić się przed phishingiem? Praktyczny poradnik.