Kradzież danych do konta bankowego wymaga szybkiej reakcji, bo liczy się każda minuta. Poniżej kolejność działań: od blokady karty i dostępu, przez zgłoszenie w banku, po zastrzeżenie dokumentu, PESEL i kontrolę w BIK. Wyjaśniamy też, kiedy bank musi oddać pieniądze.
Pierwsze minuty: blokada karty i dostępu
ZBP radzi działać natychmiast: najpierw zablokować kartę w aplikacji mobilnej albo telefonicznie w banku. Bez dostępu do aplikacji można zadzwonić pod (+48) 828 828 828, czyli do Systemu Zastrzegania Kart ZBP. To bezpłatna, całodobowa usługa, która przekierowuje do właściwego banku.
Jeśli przestępca mógł poznać login, hasło lub kody, trzeba też zablokować dostęp do bankowości elektronicznej przez infolinię. Po odzyskaniu kontroli warto zmienić hasło, sprawdzić listę zaufanych urządzeń i limity przelewów. Szczegóły blokowania opisujemy w tekście o zastrzeżeniu karty płatniczej.
Zgłoszenie w banku i reklamacja
Nieautoryzowane transakcje, kradzież lub nieuprawniony dostęp trzeba zgłosić bankowi niezwłocznie (art. 42 i 44 ustawy o usługach płatniczych). Ostateczny termin to 13 miesięcy od obciążenia rachunku – po nim roszczenia wygasają. Zgłoszenie warto złożyć w formie, która zostawia ślad, np. w aplikacji lub na piśmie.
Na reklamację dotyczącą usług płatniczych bank odpowiada w ciągu 15 dni roboczych. W szczególnie skomplikowanych sprawach termin może wydłużyć się do 35 dni roboczych, ale bank musi wyjaśnić przyczynę. Jak przygotować reklamację, wyjaśniamy w poradniku reklamacja w banku.
Kiedy bank musi oddać pieniądze
Zwrot nieautoryzowanej transakcji nie czeka na rozpatrzenie reklamacji. Bank musi oddać pieniądze niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu (art. 46 ust. 1). Może tego nie zrobić tylko przy udokumentowanym podejrzeniu oszustwa klienta, które zgłasza na piśmie organom ścigania.
To bank musi udowodnić, że klient autoryzował transakcję – samo zarejestrowanie użycia karty lub aplikacji nie wystarcza (art. 45). Przy utraconej lub skradzionej karcie klient odpowiada najwyżej do równowartości 50 euro. Za całą kwotę odpowiada tylko wtedy, gdy działał umyślnie albo przez rażące niedbalstwo, np. podając kody osobie trzeciej.
Po zgłoszeniu utraty karty lub danych klient nie odpowiada za kolejne nieautoryzowane transakcje, chyba że działał umyślnie. Tak samo jest, gdy bank nie wymagał silnego uwierzytelniania (art. 46 ust. 4 i 4a).
Zastrzeżenie dokumentu i numeru PESEL
Skradziony lub zgubiony dowód osobisty najpierw zastrzega się w banku, w systemie DOKUMENTY ZASTRZEŻONE. Wystarczy jeden bank, bo informacja trafia do wszystkich uczestników systemu. Można to też zrobić bezpłatnie w portalu BIK, jeśli konto założono wcześniej.
Osobną sprawą jest unieważnienie dowodu: zgłoszenie utraty w gov.pl lub zgłoszenie kradzieży policji. Unieważnienie jest bezpłatne i działa od razu, a u osoby pełnoletniej powoduje też zastrzeżenie numeru PESEL z urzędu. Zgłoszenie policji nie zastępuje jednak zastrzeżenia w systemie bankowym.
Zastrzeżenie PESEL jest bezpłatne i można je zrobić przez internet albo w urzędzie gminy. Od 1 czerwca 2024 r. banki muszą je sprawdzać przed zawarciem m.in. umowy kredytu, pożyczki czy rachunku. Jeśli mimo to ktoś zawrze umowę na cudze dane, bank nie może żądać spłaty od osoby z zastrzeżonym PESEL-em (art. 105d Prawa bankowego).
Przy zastrzeżonym PESEL-u bank wstrzymuje na 12 godzin wypłatę gotówki w placówce powyżej dziennego progu. Próg to trzykrotność minimalnego wynagrodzenia, czyli 14 418 zł w 2026 r. Przelewy i wypłaty z bankomatu działają normalnie. Więcej piszemy w tekście o zastrzeżeniu PESEL.
Kontrola w BIK
Skradzione dane mogą posłużyć do wyłudzenia kredytu lub pożyczki. Warto więc od razu sprawdzić, czy na te dane nie zaciągnięto już zobowiązań. Krok po kroku opisujemy sprawdzanie kredytów na swoje dane.
Alerty BIK wysyłają SMS, gdy ktoś złoży wniosek kredytowy na dane klienta lub spróbuje zawrzeć umowę, np. z operatorem komórkowym. Rejestracja i zakup alertów kosztuje 36 zł, a po nieoczekiwanym alercie BIK zaleca kontakt pod numerem 22 348 4444. Jak działa ta usługa, opisujemy w tekście o Alertach BIK.
Zawiadomienie na policję
Kradzież danych i ich użycie warto zgłosić policji, a ZBP zaleca to zawsze, gdy doszło do przestępstwa. Podszywanie się pod inną osobę z użyciem jej danych, które wyrządza szkodę, to przestępstwo z art. 190a § 2 Kodeksu karnego. Grozi za nie od 6 miesięcy do 8 lat więzienia, a ściganie następuje na wniosek pokrzywdzonego.
Przy wyprowadzeniu pieniędzy z konta w grę wchodzą też oszustwo komputerowe (art. 287) i oszustwo (art. 286). Kopię zawiadomienia warto dołączyć do reklamacji w banku. Podejrzane SMS-y i e-maile, przez które wyłudzono dane, można zgłosić do CERT Polska na numer 8080 lub przez incydent.cert.pl.
Gdy bank odrzuci reklamację
Odmowa musi zawierać uzasadnienie faktyczne i prawne oraz pouczenie o dalszych krokach (art. 9–10 ustawy o reklamacjach). Klient może skorzystać z odwołania w banku, mediacji, wniosku do Rzecznika Finansowego albo pozwu do sądu. Przy Rzeczniku prowadzone są też pozasądowe postępowania w sporach z instytucjami finansowymi.
Jak przestępcy zdobywają dane do konta
Najczęściej dane wyłudza się fałszywym SMS-em lub e-mailem z linkiem do strony udającej bank albo telefonem od rzekomego pracownika banku. PKO BP przypomina, że jego pracownik nigdy nie poprosi o PIN, login i hasło, kod autoryzacyjny ani kod BLIK. Nie poprosi też o instalację dodatkowego oprogramowania czy zdalny dostęp do komputera.
Jeśli ktoś dzwoni w imieniu banku, bezpieczniej się rozłączyć i samodzielnie wybrać numer infolinii. W aplikacji PKO można też sprawdzić, czy dzwoni prawdziwy pracownik, bo bank wysyła powiadomienie z jego danymi. Przy potwierdzaniu każdej operacji trzeba czytać numer konta i kwotę, na co zwraca uwagę CSIRT KNF.
Jak zabezpieczyć konto po incydencie
Po odblokowaniu dostępu warto ustawić nowe hasło, którego nie używa się w innych serwisach. Trzeba też przejrzeć listę zaufanych urządzeń i usunąć wszystkie nieznane. Zmiany danych kontaktowych, odbiorców zdefiniowanych i zleceń stałych również warto sprawdzić, bo mogły zostać dodane przez przestępcę.
Niski dzienny limit przelewów i powiadomienia o każdej transakcji ograniczają skutki kolejnej próby. Dane mogą krążyć w sieci jeszcze długo po wycieku, więc zastrzeżenie PESEL i dokumentu warto utrzymać na stałe. Cofnąć je można w każdej chwili, gdy zajdzie potrzeba, np. przed wzięciem kredytu.
Krok po kroku
- zablokuj kartę i dostęp w aplikacji lub pod (+48) 828 828 828,
- zgłoś nieautoryzowane operacje w banku i złóż reklamację,
- zastrzeż dowód w systemie DOKUMENTY ZASTRZEŻONE i unieważnij go w gov.pl,
- zastrzeż numer PESEL,
- sprawdź BIK i rozważ alerty,
- złóż zawiadomienie na policji,
- zmień hasła i usuń nieznane urządzenia z listy zaufanych.
Najczęstsze pytania o kradzież danych do konta
To (+48) 828 828 828 – System Zastrzegania Kart ZBP. Usługa jest bezpłatna i całodobowa, a połączenie trafia do banku klienta.
Do końca następnego dnia roboczego po zgłoszeniu (art. 46 ustawy o usługach płatniczych). Wyjątkiem jest udokumentowane podejrzenie oszustwa klienta, które bank zgłasza na piśmie organom ścigania.
Zgłoszenie policji unieważnia dowód, ale nie zastrzega go w bankowym systemie DOKUMENTY ZASTRZEŻONE. To trzeba zrobić osobno w banku lub w portalu BIK.
Można skorzystać z odwołania w banku, złożyć wniosek do Rzecznika Finansowego albo pozew do sądu. Bank musi o tych możliwościach pouczyć w odpowiedzi odmownej.
Źródła:
- PKO Bank Polski – Czy to na pewno telefon z banku?
- PKO Bank Polski – Jak sprawdzić, czy dzwoni pracownik banku
- gov.pl – CSIRT KNF ostrzega: nie daj się okraść cyberprzestępcom
- ZBP – Karty płatnicze: co robić w razie kradzieży lub oszustwa
- System Zastrzegania Kart ZBP – zastrzegam.pl
- ZBP – Zastrzeganie dokumentów tożsamości
- gov.pl – Zgłoś utratę dowodu osobistego – unieważnij dowód
- gov.pl – Zastrzeż swój numer PESEL
- BIK – Wyciek danych osobowych – co robić krok po kroku
- BIK – Alerty BIK
- gov.pl – Zgłoś podejrzany SMS lub e-mail do CERT Polska
- Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 105d
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 15a, 42, 44–46
- Ustawa o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (t.j. Dz.U. 2026 poz. 823)
- Kodeks karny (t.j. Dz.U. 2026 poz. 1342), art. 190a, 286, 287
