Oszustwo internetowe – co zrobić po wyłudzeniu pieniędzy?

Masz podobny problem prawny?

Opisz sprawę i otrzymaj wycenę porady od prawnika. Samo zadanie pytania do niczego nie zobowiązuje.

Wycena zwykle w ciągu 1 godziny • Pracujemy 7 dni w tygodniu

Oszustwo internetowe może przybrać postać fałszywego sklepu, podszycia się pod bank, wyłudzenia kodu BLIK, przejęcia konta społecznościowego, fałszywej inwestycji, fikcyjnej oferty sprzedaży albo wiadomości z linkiem prowadzącym do podrobionego panelu płatności. W każdej z tych sytuacji działania trzeba prowadzić równolegle: ograniczyć dalsze straty, uruchomić procedury bankowe, zabezpieczyć dowody i zawiadomić organy ścigania.

Czym jest oszustwo internetowe i co zrobić po wyłudzeniu pieniędzy?

Najczęściej oszustwo internetowe polega na celowym wprowadzeniu ofiary w błąd po to, aby przekazała pieniądze, dane logowania, kod autoryzacyjny, dane karty albo dostęp do urządzenia. Klasyczne oszustwo może odpowiadać znamionom z art. 286 § 1 Kodeksu karnego. Jeżeli sprawca bez upoważnienia wpływa na przetwarzanie danych lub zapis informatyczny w celu osiągnięcia korzyści majątkowej albo wyrządzenia szkody, w grę może wchodzić także oszustwo komputerowe z art. 287 Kodeksu karnego. Ostateczną kwalifikację prawną ustalają organy prowadzące postępowanie.

Z punktu widzenia odzyskania środków kluczowe jest ustalenie, kto faktycznie zainicjował i zatwierdził płatność. Inaczej ocenia się sytuację, gdy sprawca przejął konto i wykonał przelew bez zgody właściciela, a inaczej przypadek, w którym pokrzywdzony sam zlecił przelew, lecz zrobił to pod wpływem fałszywych informacji. Ta różnica wpływa na odpowiedzialność banku i możliwość żądania zwrotu na podstawie ustawy o usługach płatniczych.

Nie należy jednak czekać na samodzielne ustalenie kwalifikacji. Już przy pierwszym kontakcie z bankiem trzeba dokładnie opisać, czy płatność została wykonana bez wiedzy właściciela rachunku, czy też została zatwierdzona po manipulacji oszusta. Bank powinien otrzymać pełny, zgodny z prawdą opis, ponieważ błędne przedstawienie zdarzenia może utrudnić reklamację i późniejsze postępowanie.

Kiedy ten temat ma znaczenie w praktyce?

Procedura ma znaczenie nie tylko wtedy, gdy pieniądze zostały już zaksięgowane na rachunku oszusta. Reagować trzeba również po podaniu danych logowania, zainstalowaniu aplikacji do zdalnego pulpitu, ujawnieniu danych karty, kodu BLIK, numeru PESEL lub skanu dokumentu. Nawet jeśli rachunek nie został jeszcze obciążony, sprawca może próbować wykonać kolejne transakcje, zaciągnąć zobowiązanie albo przejąć inne konta.

Jeżeli doszło do utraty pieniędzy lub próby ich wyłudzenia, warto złożyć zawiadomienie o przestępstwie. Można zrobić to ustnie do protokołu albo pisemnie na Policji lub w prokuraturze. Organ nie powinien odsyłać pokrzywdzonego wyłącznie dlatego, że rachunek odbiorcy jest prowadzony w innym mieście albo sprawca działał z zagranicy.

Po złożeniu zawiadomienia pokrzywdzony może składać wnioski dowodowe, zapoznawać się z aktami w zakresie przewidzianym przepisami i zaskarżać określone decyzje. Szersze wyjaśnienie zawiera poradnik o prawach pokrzywdzonego.

Jeżeli sprawca żąda pieniędzy pod groźbą publikacji zdjęć, ujawnienia danych albo rozesłania kompromitujących materiałów, problem wykracza poza zwykłe wyłudzenie. Taki szantaż internetowy wymaga zabezpieczenia gróźb i szybkiego zawiadomienia organów; nie należy płacić kolejnych kwot w nadziei, że sprawca zakończy kontakt.

Jakie przepisy i zasady trzeba sprawdzić?

Najważniejsze warunki

W sprawie oszustwa internetowego zwykle nakładają się na siebie trzy obszary: prawo karne, zasady świadczenia usług płatniczych oraz ewentualne roszczenia cywilne lub konsumenckie. Postępowanie karne służy wykryciu sprawcy, zabezpieczeniu dowodów i pociągnięciu go do odpowiedzialności. Reklamacja bankowa dotyczy natomiast sposobu wykonania transakcji oraz odpowiedzialności dostawcy usług płatniczych.

Transakcja płatnicza jest autoryzowana, gdy płatnik wyraził zgodę w sposób uzgodniony z bankiem. Sam fakt użycia hasła, kodu SMS, aplikacji mobilnej lub potwierdzenia biometrycznego nie rozstrzyga automatycznie całej sprawy. Bank powinien wykazać, że transakcja została uwierzytelniona, prawidłowo zarejestrowana i nie została zakłócona awarią, ale w sporze może być również badane zachowanie klienta, w tym ewentualne umyślne naruszenie obowiązków lub rażące niedbalstwo.

Jeżeli przelew lub wypłata nastąpiły bez zgody właściciela rachunku, może chodzić o transakcję nieautoryzowaną. Co do zasady bank powinien zwrócić jej kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia. Wyjątkiem jest między innymi sytuacja, w której bank ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa ze strony zgłaszającego i pisemnie informuje o tym organy ścigania.

Jeżeli natomiast pokrzywdzony sam zlecił przelew na rachunek wskazany przez fałszywego doradcę, oszusta inwestycyjnego albo fikcyjnego sprzedawcę, bank może uznać, że transakcja została autoryzowana. Nie oznacza to, że nie należy składać reklamacji. Trzeba zażądać próby odwołania lub odzyskania przelewu, prześledzenia przepływu środków i wyjaśnienia, czy bank prawidłowo zareagował na nietypową operację. Sam ustawowy mechanizm zwrotu dla transakcji nieautoryzowanych może jednak nie mieć w takim przypadku bezpośredniego zastosowania.

Przy płatności kartą można również zapytać bank o procedurę chargeback. Nie jest to ogólny ustawowy zwrot każdej płatności, lecz procedura wynikająca z zasad organizacji kartowej i umowy. Jej dostępność oraz terminy zależą od przyczyny reklamacji, rodzaju transakcji i regulaminu banku, dlatego reklamację warto złożyć natychmiast.

Terminy, dokumenty i dowody

Nie istnieje praktyczny powód, aby zwlekać ze zgłoszeniem oszustwa. Nawet gdy prawo przewiduje dłuższy termin, bank, operator płatności, platforma i organy ścigania mają największą szansę zadziałać, gdy rachunek odbiorcy, domena, profil i urządzenia są jeszcze aktywne.

Do zawiadomienia i reklamacji należy przygotować przede wszystkim: potwierdzenia przelewów i płatności, historię rachunku, pełną korespondencję, numery telefonów, adresy e-mail, adresy stron i profili, identyfikatory ogłoszeń, numery rachunków, dane odbiorców, nagłówki wiadomości e-mail, zrzuty ekranu wraz z datą i godziną, historię połączeń oraz informacje o aplikacjach zainstalowanych na polecenie sprawcy. Przy kryptowalutach trzeba zachować adresy portfeli, identyfikatory transakcji i nazwę giełdy lub kantoru.

Dowody najlepiej zapisać w oryginalnej postaci i wykonać kopię na oddzielnym nośniku. Sam zrzut ekranu może być niewystarczający, jeśli można wyeksportować rozmowę, pobrać plik wiadomości wraz z nagłówkami albo zapisać potwierdzenie z systemu bankowego. Nie należy edytować plików źródłowych ani usuwać rozmów po sporządzeniu wydruków.

Co zrobić krok po kroku?

1. Natychmiast powiadom bank. Użyj oficjalnego numeru infolinii lub aplikacji bankowej, a nie numeru podanego przez rozmówcę. Zażądaj zablokowania zagrożonych kart, dostępu do bankowości, płatności mobilnych i urządzeń zaufanych. Wskaż konkretną transakcję i poproś o próbę jej wstrzymania, odwołania, odzyskania albo kontakt z bankiem odbiorcy.
2. Zabezpiecz konta i urządzenia. Z bezpiecznego urządzenia zmień hasła do banku, poczty, mediów społecznościowych i serwisów, w których używano podobnego hasła. Wyloguj wszystkie aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i usuń nieznane urządzenia. Jeżeli zainstalowano aplikację do zdalnej obsługi, odłącz urządzenie od sieci i skonsultuj sposób zabezpieczenia danych; nie wykonuj pochopnego resetu przed zabezpieczeniem dowodów.
3. Zastrzeż dokumenty lub PESEL, gdy wyciekły dane tożsamości. Zastrzeżenie numeru PESEL może ograniczyć ryzyko wykorzystania danych do zaciągania określonych zobowiązań. Utratę dowodu osobistego trzeba zgłosić zgodnie z właściwą procedurą. Samo zastrzeżenie PESEL nie zastępuje zgłoszenia oszustwa bankowi i organom ścigania.
4. Zabezpiecz materiał dowodowy. Zapisz chronologię zdarzenia: kiedy nastąpił pierwszy kontakt, co mówił sprawca, jakie linki otwarto, jakie dane podano, jakie operacje zatwierdzono i kiedy zauważono stratę. Zachowaj treść rozmów oraz oryginalne pliki, a także zanotuj osoby, które widziały zdarzenie lub pomagały w kontakcie z bankiem.
5. Złóż zawiadomienie o podejrzeniu popełnienia przestępstwa. Możesz zgłosić sprawę w każdej jednostce Policji lub prokuraturze. Podaj kwotę szkody, sposób płatności, dane rachunku odbiorcy, identyfikatory transakcji i wszystkie znane dane sprawcy. Poproś o potwierdzenie złożenia zawiadomienia na podstawie art. 304b Kodeksu postępowania karnego.
6. Zgłoś incydent właściwym podmiotom. Podejrzany SMS z linkiem można przekazać na numer 8080, a incydent zgłosić do CSIRT NASK za pośrednictwem formularza CERT Polska. Zgłoś również fałszywy profil, ogłoszenie, sklep lub domenę administratorowi platformy. Takie zgłoszenie nie zastępuje zawiadomienia Policji lub prokuratury.
7. Złóż pisemną reklamację do banku lub operatora płatności. Opisz wszystkie istotne fakty i dołącz dowody. Przy transakcji nieautoryzowanej wskaż, że nie wyraziłeś zgody na jej wykonanie. Przy przelewie zleconym pod wpływem oszustwa zażądaj opisania działań podjętych w celu odzyskania środków i wyjaśnienia sposobu obsługi nietypowej transakcji.
8. Kontroluj dalszy tok sprawy. Zachowaj numery reklamacji, sygnaturę postępowania i potwierdzenia nadania pism. Odpowiadaj na wezwania, uzupełniaj dowody i informuj organ o nowych rachunkach, profilach albo kontaktach sprawcy. W razie odmowy banku lub umorzenia postępowania sprawdź terminy i właściwy środek zaskarżenia.

Najczęstsze błędy i ryzyka

• Czekanie na odpowiedź oszusta. Obietnica zwrotu, dodatkowej wypłaty albo odblokowania inwestycji często służy wyłudzeniu kolejnej opłaty. Kontakt z bankiem i organami powinien nastąpić niezależnie od dalszej korespondencji.
• Ukrywanie zatwierdzenia transakcji. Reklamacja musi opisywać rzeczywisty przebieg zdarzenia. Bank i organy mogą odtworzyć logowania, urządzenia i sposób autoryzacji, dlatego nieprawdziwy opis osłabia wiarygodność.
• Usunięcie wiadomości lub reset telefonu. Może to bezpowrotnie zniszczyć dane potrzebne do identyfikacji sprawcy. Najpierw należy zabezpieczyć kopie i ustalić, czy urządzenie powinno zostać przekazane do analizy.
• Ograniczenie się do zrzutów ekranu. Warto zachować także oryginalne wiadomości, nagłówki e-mail, linki, pliki, logi, potwierdzenia bankowe oraz eksport rozmów.
• Przyjęcie, że zawiadomienie karne automatycznie zwróci pieniądze. Postępowanie może prowadzić do zabezpieczenia mienia i orzeczenia obowiązku naprawienia szkody, lecz wynik zależy od ustalenia sprawcy i jego majątku. Równolegle trzeba wykorzystać procedury bankowe, konsumenckie i cywilne.
• Mylenie zgłoszenia do CERT z zawiadomieniem Policji. CERT Polska analizuje incydenty i może pomagać w blokowaniu zagrożeń, ale nie prowadzi postępowania karnego za pokrzywdzonego.
• Przeoczenie terminu zaskarżenia. Zażalenie na odmowę wszczęcia albo umorzenie postępowania wnosi się co do zasady w ciągu 7 dni od doręczenia postanowienia. Należy zawsze sprawdzić pouczenie dołączone do decyzji.
• Ponowne wpłaty na odzyskanie środków. Oszuści często podszywają się później pod kancelarię, urząd, giełdę lub specjalistę od odzyskiwania pieniędzy i żądają opłaty z góry. Każdą taką ofertę trzeba niezależnie zweryfikować.

FAQ

Czy bank może cofnąć przelew wysłany do oszusta?

Bank może podjąć próbę odwołania przelewu, skontaktować się z bankiem odbiorcy albo uruchomić procedurę odzyskania środków, ale po wykonaniu zlecenia cofnięcie nie zawsze jest możliwe. Największe znaczenie ma natychmiastowe zgłoszenie, zanim pieniądze zostaną wypłacone lub przesłane dalej.

Czy bank musi oddać pieniądze po każdym oszustwie?

Nie po każdym. Szczególna zasada szybkiego zwrotu dotyczy transakcji nieautoryzowanych. Jeżeli klient sam zatwierdził przelew pod wpływem oszustwa, ocena może być inna. Trzeba jednak złożyć reklamację, ponieważ znaczenie mają sposób autoryzacji, działania banku, wykrywanie nietypowych operacji i dokumenty sprawy.

Co oznacza transakcja nieautoryzowana?

To transakcja wykonana bez zgody płatnika udzielonej w sposób uzgodniony z dostawcą usług płatniczych. Spór często dotyczy tego, czy zgoda rzeczywiście została wyrażona oraz czy bank prawidłowo wykazał uwierzytelnienie i rejestrację operacji.

Gdzie zgłosić oszustwo internetowe?

Zawiadomienie można złożyć w jednostce Policji albo prokuraturze, ustnie do protokołu lub pisemnie. Niezależnie od tego trzeba skontaktować się z bankiem, a podejrzaną stronę, wiadomość lub profil można zgłosić także do CERT Polska i administratora platformy.

Jakie dowody są najważniejsze?

Najważniejsza jest pełna chronologia oraz dane pozwalające powiązać kontakt sprawcy z przepływem pieniędzy: korespondencja, numery rachunków i telefonów, adresy e-mail i stron, potwierdzenia transakcji, identyfikatory ogłoszeń i profili, nagłówki e-mail, historia połączeń, logi oraz dane urządzeń.

Czy zatwierdzenie kodu BLIK wyklucza zwrot?

Nie można odpowiedzieć automatycznie. Trzeba ustalić, kto zainicjował operację, co dokładnie zatwierdził użytkownik, jakie komunikaty wyświetlała aplikacja i czy sprawca przejął konto lub urządzenie. Samo użycie kodu albo potwierdzenie w aplikacji jest ważnym dowodem, ale nie zawsze kończy analizę prawną.

Czy anonimowe zawiadomienie wystarczy?

Anonimową informację można przekazać, ale pokrzywdzony, który chce uczestniczyć w sprawie, składać wnioski i otrzymywać decyzje, powinien podać swoje dane i opisać szkodę. Brak kontaktu z zawiadamiającym może utrudnić szybkie uzupełnienie dowodów.

Co zrobić, gdy oszust użył kryptowalut albo rachunku zagranicznego?

Nadal należy zgłosić sprawę. Trzeba przekazać adres portfela, identyfikator transakcji, dane giełdy, rachunku lub pośrednika oraz pełną korespondencję. Ustalenie i odzyskanie środków może być trudniejsze, ale szybkie zabezpieczenie danych zwiększa szansę na identyfikację przepływu i współpracę z zagranicznymi podmiotami.

Podsumowanie

Po oszustwie internetowym nie należy wybierać między bankiem a Policją. Działania powinny być prowadzone równolegle: blokada dostępu i instrumentów płatniczych, próba zatrzymania środków, reklamacja, zabezpieczenie dowodów, zawiadomienie organów oraz zgłoszenie fałszywej strony lub profilu. Szczególnie ważne jest prawidłowe opisanie, czy transakcja została wykonana bez zgody, czy została zatwierdzona pod wpływem oszustwa.

Po otrzymaniu decyzji banku albo organu trzeba sprawdzić uzasadnienie i pouczenie. Odmowa zwrotu, odmowa wszczęcia lub umorzenie postępowania nie zawsze kończą sprawę, ale dalsze działania wymagają zachowania terminów i oparcia zarzutów na konkretnych dokumentach.

Źródła

• Ustawa z dnia 6 czerwca 1997 r. – Kodeks karny, w szczególności art. 286 i art. 287.
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego, w szczególności art. 304–307 i art. 460.
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, w szczególności art. 40 oraz art. 44–46 i art. 51.
• Centralne Biuro Zwalczania Cyberprzestępczości – „Zgłoś cyberoszustwo”.
• Serwis Gov.pl – „Zgłoś przestępstwo”.
• Rzecznik Finansowy – informacje dotyczące transakcji nieautoryzowanych.