- Deepfake w oszustwach finansowych to spreparowany głos, obraz albo wideo użyte po to, aby wywołać zaufanie, presję czasu i skłonić Cię do przelewu, podania kodu BLIK, danych logowania, danych karty albo instalacji narzędzia do zdalnego dostępu.
- Najważniejsza zasada bezpieczeństwa: nie oceniaj autentyczności rozmówcy po samym głosie lub twarzy. O tożsamości decyduje wyłącznie niezależna weryfikacja innym kanałem, który sam wybierasz.
- Po incydencie liczy się czas: przerwij kontakt, skontaktuj się z bankiem przez oficjalny kanał, zabezpiecz dowody i zgłoś sprawę do CERT Polska oraz Policji.
- Przy zgłoszeniu do banku opisz konkrety: kto się podszył, jakiego kanału użył, jaka była presja, co zatwierdziłeś, jaka była kwota i dlaczego działanie nie było świadomą, swobodną decyzją.
Deepfake w oszustwach finansowych to realne narzędzie socjotechniki. Oszust nie musi już pisać nieporadnej wiadomości. Może użyć głosu podobnego do głosu bliskiej osoby, krótkiego połączenia wideo albo nagrania z wizerunkiem rzekomego eksperta, pracownika banku czy znanej osoby. Celem jest zawsze to samo: przejęcie pieniędzy, danych albo dostępu do urządzenia.
Ten artykuł pokazuje, jak rozpoznać próbę oszustwa, jak zweryfikować rozmówcę, co zrobić natychmiast po incydencie i jak przygotować zgłoszenie do banku, aby było rzeczowe, kompletne i użyteczne. Znajdziesz tu też checklistę, gotowe schematy działania oraz krótkie FAQ napisane pod praktyczne pytania użytkowników.
Warianty zagrożenia w skrócie – z czym najczęściej masz do czynienia?
| Scenariusz | Jak działa | Cel oszusta | Najczęstszy pretekst | Największe ryzyko |
|---|---|---|---|---|
| Fałszywa inwestycja z deepfake wideo | Nagranie znanej osoby lub „eksperta” kieruje do formularza albo konsultanta | Wpłata pieniędzy, przekazanie danych, logowanie do banku | „Pewny zysk”, „limitowana okazja”, „ostatnia szansa” | Utrata oszczędności i przejęcie danych |
| Fałszywy telefon z podrobionym głosem | Rozmówca podszywa się pod bank, Policję, urząd albo bliską osobę | Wymuszenie przelewu, kodu BLIK, danych karty lub instalacji aplikacji | „Zagrożone konto”, „wypadek”, „musisz działać teraz” | Autoryzacja operacji pod presją |
| Fałszywe wideo na komunikatorze | Krótka rozmowa wideo lub nagranie mają potwierdzić tożsamość rozmówcy | Obniżenie czujności i skłonienie do szybkiej decyzji | „To naprawdę ja”, „nie mogę teraz mówić normalnie” | Przelew na rachunek oszusta albo ujawnienie danych |
| Reklama i konsultant od „inwestycji” | Klikasz reklamę, zostawiasz numer, oddzwania konsultant i przejmuje kontrolę nad rozmową | Nakłonienie do przelewu lub instalacji narzędzia do zdalnego pulpitu | „Pomogę Ci założyć konto inwestycyjne”, „tylko przejdziemy przez konfigurację” | Przejęcie urządzenia i bankowości |
Praktyczna zasada: jeśli rozmowa dotyczy pieniędzy, kodów, danych logowania, karty albo instalacji czegokolwiek, uznaj ją za próbę oszustwa do czasu niezależnej weryfikacji.
Czym jest deepfake w oszustwach finansowych i dlaczego działa?
To nie jest osobny rodzaj transakcji bankowej. To narzędzie manipulacji. Deepfake ma sprawić, że uznasz rozmówcę za osobę zaufaną i zrezygnujesz z zwykłej ostrożności. W praktyce działa razem z presją czasu, autorytetem i strachem. Oszust podsuwa historię o zagrożonym koncie, pilnej inwestycji, problemie członka rodziny albo konieczności szybkiego „potwierdzenia” operacji.
Skuteczność tej metody bierze się z prostego mechanizmu psychologicznego. Gdy słyszysz znajomy głos albo widzisz twarz, mózg szybciej zakłada, że sytuacja jest prawdziwa. Dlatego najlepszą obroną nie jest analiza jakości głosu czy obrazu, lecz procedura bezpieczeństwa. O tożsamości nie rozstrzyga to, czy ktoś brzmi znajomo, tylko to, czy potrafisz go niezależnie zweryfikować.
- Presja czasu ma wyłączyć spokojne myślenie.
- Autorytet ma obniżyć czujność.
- Emocje mają skłonić do szybkiej autoryzacji.
Jakie są najczęstsze scenariusze oszustw z użyciem deepfake?
Najpierw pojawia się bodziec: reklama, telefon, wiadomość albo połączenie wideo. Potem oszust przejmuje kontrolę nad rozmową i prowadzi Cię do konkretnego celu. Może chcieć przelewu, kodu BLIK, danych karty, danych logowania albo instalacji programu, który da mu dostęp do urządzenia. Deepfake nie musi być perfekcyjny. Wystarczy kilka sekund wiarygodnego obrazu lub głosu, aby obniżyć czujność i utrudnić racjonalną ocenę sytuacji.
W oszustwach inwestycyjnych często pojawia się wizerunek znanej osoby, rzekomego eksperta albo instytucji finansowej. W oszustwach „na pracownika banku” dominują komunikaty o zagrożeniu środków, konieczności wykonania „przelewu technicznego” albo szybkiej weryfikacji danych. W oszustwach „na bliską osobę” pojawia się pośpiech, wstydliwy pretekst, prośba o natychmiastowy przelew lub kod BLIK i niechęć do dłuższej rozmowy.
Jak rozpoznać deepfake głosu podczas rozmowy telefonicznej?
Niektóre sygnały bywają pomocnicze: nienaturalny rytm rozmowy, opóźnione reakcje na nietypowe pytania, zbyt równa intonacja, brak charakterystycznych powiedzeń danej osoby albo odpowiedzi pasujące do skryptu, ale nie do konkretnego pytania. Problem polega na tym, że coraz lepsze narzędzia potrafią ograniczać te błędy. Z tego powodu analiza „czy głos brzmi prawdziwie” nie jest metodą wystarczającą.
Najskuteczniejsze są pytania kontrolne i zmiana kanału kontaktu. Zapytaj o szczegół znany tylko Tobie i tej osobie. Poproś o oddzwonienie za kilka minut na numer, który masz zapisany wcześniej. Gdy rozmówca naciska, żeby się nie rozłączać, albo próbuje utrzymać Cię w rozmowie do chwili autoryzacji operacji, to jest sygnał alarmowy niezależnie od jakości głosu.
- Pytanie kontrolne: o wspólne zdarzenie lub ustalone wcześniej hasło.
- Zmiana reguł rozmowy: przerwij połączenie i sam oddzwoń.
- Odmowa działania pod presją: żadnych kodów, danych ani przelewów w trakcie rozmowy.
Jak rozpoznać deepfake wideo podczas połączenia lub nagrania?
Do sygnałów pomocniczych należą rozjazdy między ruchem ust a dźwiękiem, nienaturalna mimika, migotanie okolic włosów, okularów lub krawędzi twarzy, problemy ze światłem oraz bardzo krótka, chaotyczna rozmowa. Oszuści chętnie tłumaczą słabą jakość „problemami z kamerą” albo „słabym zasięgiem”, bo gorszy obraz pomaga ukryć niedoskonałości.
Brak takich błędów nie potwierdza autentyczności. Dlatego nie podejmuj decyzji finansowych na podstawie połączenia wideo. Jeśli ktoś prosi o pieniądze, dane, kody albo instalację aplikacji, zakończ kontakt i wróć do rozmówcy wyłącznie przez kanał, który znasz wcześniej. Tak samo potraktuj reklamę inwestycyjną z twarzą znanej osoby. Wizerunek nie jest dowodem legalności oferty.
| Sygnał | Co budzi podejrzenie | Jak zareagować |
|---|---|---|
| Usta i głos | niewielkie rozjazdy obrazu i dźwięku | zakończ kontakt i samodzielnie oddzwoń |
| Twarz | migotanie twarzy, włosów, okularów, cieni | nie wykonuj żadnych operacji finansowych |
| Przebieg rozmowy | pośpiech, chaotyczne tłumaczenia, wymówki o jakości połączenia | wróć do sprawy innym, znanym kanałem |
Jak szybko zweryfikować rozmówcę, aby nie dać się oszukać?
Nie potwierdzaj tożsamości po numerze widocznym na ekranie. Numer telefonu można podszyć. Jeśli dzwoni rzekomy pracownik banku, rozłącz się i wybierz numer z oficjalnej strony, aplikacji albo karty bankowej. Jeśli dzwoni bliska osoba, zakończ rozmowę i oddzwoń samodzielnie. Jeśli kontakt zaczął się od reklamy inwestycji, nie kontynuuj rozmowy bez samodzielnego sprawdzenia firmy, ostrzeżeń i rejestrów.
W rodzinie dobrze działa jedno krótkie hasło bezpieczeństwa albo pytanie kontrolne. W firmie sprawdza się zasada dwóch kanałów: polecenie finansowe potwierdza się drugim, niezależnym sposobem. Im prostsza procedura, tym większa skuteczność. Oszust najskuteczniej działa wtedy, gdy narzuca tempo i kanał kontaktu. Jeśli Ty przejmiesz kontrolę nad sposobem weryfikacji, jego przewaga znika.
Co zrobić natychmiast po podejrzeniu oszustwa z użyciem deepfake?
- Rozłącz rozmowę i nie wdawaj się w dalszą dyskusję.
- Sprawdź rachunek, kartę, BLIK i historię logowań, aby ustalić, czy pojawiły się nowe operacje.
- Zastrzeż kartę, dostęp albo urządzenie zaufane, jeśli podałeś dane, zatwierdziłeś operację albo instalowałeś aplikację.
- Zmień hasła do bankowości i poczty e-mail, jeśli logowałeś się po kliknięciu w link albo podałeś dane dostępu.
- Skontaktuj się z bankiem przez numer z oficjalnej strony, aplikacji albo dokumentów banku.
- Zgłoś incydent do CERT Polska i przygotuj zawiadomienie na Policję.
Jeśli źródłem ataku był SMS z linkiem, przekaż go na numer 8080. Jeśli chodzi o podejrzaną stronę, domenę albo formularz, użyj formularza zgłoszeniowego CERT Polska. Gdy doszło do utraty pieniędzy, nie ograniczaj się do telefonu do banku. Zadbaj też o formalny ślad zgłoszenia i dokumentację zdarzenia.
Jak zabezpieczyć dowody i przygotować zgłoszenie incydentu?
Zrób zrzuty ekranu połączenia, profilu, reklamy, wiadomości, potwierdzeń transakcji i komunikatów z aplikacji bankowej. Zachowaj link, jeśli klikałeś w stronę. Zapisz dokładne sformułowania używane przez oszusta, zwłaszcza te, które wywoływały presję albo podszywały się pod zaufaną instytucję.
Uporządkuj wszystko w krótkiej osi czasu. Taka chronologia pomaga bankowi, CERT i Policji szybciej zrozumieć, co się wydarzyło. Nie przerabiaj zrzutów, nie przycinaj ich agresywnie i nie nadpisuj oryginalnych plików. Jeśli materiał deepfake był osadzony w reklamie albo na stronie, zapisz pełny adres, nazwę profilu, datę i godzinę kontaktu. Nie próbuj samodzielnie „testować” oszusta ani zbierać dodatkowych materiałów przez przedłużanie rozmowy.
| Element dowodu | Co zachować | Po co |
|---|---|---|
| Połączenie | numer, godzina, długość rozmowy, screen historii połączeń | ustalenie przebiegu kontaktu |
| Transakcja | kwota, odbiorca, identyfikator operacji, metoda autoryzacji | analiza płatności i reklamacji |
| Materiał oszusta | plik, link, screen reklamy, profil, treść wiadomości | wykazanie mechanizmu podszycia się |
Jakie informacje przekazać bankowi, aby przyspieszyć analizę sprawy?
Bankowi przekaż datę i godzinę zdarzenia, numer telefonu lub identyfikator kontaktu, sposób kontaktu, treść żądania, metodę płatności, kwotę, identyfikator transakcji oraz informację, czy podałeś dane logowania, dane karty, kod BLIK, PIN albo zatwierdziłeś operację w aplikacji. Wyjaśnij też, pod kogo podszywał się rozmówca i jakie elementy wzbudzały zaufanie: znajomy głos, wizerunek, nazwa instytucji, presja czasu albo komunikat o zagrożeniu środków.
Jeśli nie wyrażałeś zgody na wykonanie płatności, wskaż to wprost i zgłoś sprawę jako nieautoryzowaną transakcję płatniczą. Jeśli bank może twierdzić, że technicznie zatwierdziłeś operację, opisz dokładnie, że działanie nastąpiło pod wpływem oszustwa, podszycia się i presji, a zgoda nie była świadoma ani swobodna. Kwalifikacja takiej sprawy zależy od konkretnego stanu faktycznego, dlatego precyzyjny opis zdarzenia ma duże znaczenie.
Przykładowa formuła do reklamacji: „W dniu 10/03/2026 r. o godz. 09:14 odebrałem połączenie od osoby podszywającej się pod pracownika banku. Rozmówca wywoływał presję natychmiastowego działania i wskazywał, że moje środki są zagrożone. W wyniku oszustwa doszło do operacji płatniczej. Wnoszę o pilną analizę incydentu, zabezpieczenie sprawy i potraktowanie zgłoszenia jako reklamacji dotyczącej transakcji nieautoryzowanej albo transakcji zatwierdzonej pod wpływem oszustwa, zależnie od ustalonego przebiegu zdarzeń.”
| Adresat | Co przekazać | Cel zgłoszenia |
|---|---|---|
| Bank | chronologia zdarzeń, dane transakcji, sposób autoryzacji, opis podszycia się, kwota, screeny | zabezpieczenie rachunku, analiza sprawy, reklamacja |
| CERT Polska | link, domena, numer telefonu, treść SMS, reklama, profil, screeny | analiza incydentu i ograniczanie skali oszustwa |
| Policja | pełny opis zdarzenia, dowody, potwierdzenia operacji, dane kontaktowe sprawcy jeśli są dostępne | formalny ślad sprawy i postępowanie karne |
Co do zasady masz do 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana, aby zgłosić transakcję nieautoryzowaną, ale bank należy powiadomić niezwłocznie. W sprawach usług płatniczych odpowiedź na reklamację co do zasady powinna zostać wysłana w terminie 15 dni roboczych od dnia otrzymania reklamacji, a w szczególnie skomplikowanych przypadkach termin może zostać wydłużony maksymalnie do 35 dni roboczych.
Jak ograniczyć ryzyko oszustw z deepfake w przyszłości?
Najskuteczniejsza ochrona nie zaczyna się od technologii, tylko od zasad. Ustal w rodzinie, że pilna prośba o pieniądze zawsze wymaga oddzwonienia i pytania kontrolnego. Ustal w firmie, że polecenia finansowe weryfikuje się drugim kanałem. W bankowości przyjmij jedną prostą regułę: bank nie zleca ratowania środków przelewem na obcy rachunek, nie prosi przez telefon o kod BLIK do „weryfikacji” i nie wymaga instalacji AnyDesk albo TeamViewer do zabezpieczenia pieniędzy.
Do zasad dołóż technikę. Ustaw limity przelewów, powiadomienia push, silne hasła i ostrożność wobec reklam inwestycyjnych. Nie ufaj reklamie tylko dlatego, że widzisz znaną twarz albo słyszysz profesjonalny głos. Przygotowana wcześniej procedura odcina większość scenariuszy oszustwa, bo usuwa najważniejszą przewagę przestępcy: możliwość narzucenia Ci tempa i emocji.
Czego bank co do zasady nie robi
- Nie każe robić „przelewu technicznego” na obcy rachunek w celu ochrony środków.
- Nie prosi przez telefon o pełne dane karty, PIN, hasło do bankowości ani kod BLIK do „weryfikacji”.
- Nie wymaga instalacji narzędzia do zdalnego pulpitu, aby „zabezpieczyć konto”.
Checklista: co zrobić krok po kroku po podejrzeniu deepfake
- Przerwij kontakt i niczego dalej nie zatwierdzaj.
- Zweryfikuj sytuację innym kanałem, samodzielnie wybranym.
- Sprawdź rachunek, kartę, BLIK i historię logowań.
- Zastrzeż to, co trzeba: kartę, dostęp, urządzenie zaufane.
- Zmień hasła, jeśli podałeś dane albo logowałeś się po kliknięciu w link.
- Zabezpiecz dowody: screeny, numery, godziny, linki, potwierdzenia.
- Złóż zgłoszenie do banku i opisz podszycie się, presję oraz przebieg zdarzenia.
- Zgłoś incydent do CERT Polska; podejrzany SMS z linkiem prześlij na 8080.
- Złóż zawiadomienie na Policji, jeśli doszło do utraty pieniędzy lub danych.
Słowniczek pojęć
FAQ, najczęściej zadawane pytania
Czy bank dzwoni i każe przelać pieniądze na konto techniczne, żeby je zabezpieczyć?
Nie traktuj takiego polecenia jako standardowej procedury. Rozłącz się i samodzielnie skontaktuj się z bankiem oficjalnym kanałem.
Czy znajomy głos w telefonie oznacza, że naprawdę dzwoni bliska osoba?
Nie. Głos można podrobić. Tożsamość potwierdzaj wyłącznie przez niezależny kontakt innym kanałem.
Jakie sygnały są najbardziej podejrzane przy oszustwie z deepfake?
Pośpiech, zakaz rozłączania się, prośba o przelew, kod BLIK, dane logowania, dane karty albo instalację aplikacji.
Czy po oszustwie z deepfake mam zgłosić sprawę tylko do banku?
Nie. Poza bankiem zgłoś incydent do CERT Polska, a przy utracie pieniędzy lub danych także na Policję.
Ile czasu mam na zgłoszenie nieautoryzowanej transakcji do banku?
Co do zasady do 13 miesięcy od dnia obciążenia rachunku albo od dnia, w którym transakcja miała być wykonana, ale zgłoszenie złóż od razu.
Czy mam przedłużać rozmowę, żeby nagrać oszusta?
Nie. Najpierw przerwij kontakt i zabezpiecz to, co już masz: numer, godzinę, screeny, historię połączeń i potwierdzenia operacji.
Co powiedzieć bankowi, gdy podejrzewam deepfake w oszustwie finansowym?
Powiedz, kto się podszył, jakiego kanału użył, jaka była presja, co zatwierdziłeś i dlaczego działanie nie było świadomą decyzją.
Źródła i podstawa prawna
- Urząd Komisji Nadzoru Finansowego, Centrum Edukacji dla Rynku Finansowego, „Deepfake”, dostęp: 11/03/2026 r., strona źródłowa
- Urząd Komisji Nadzoru Finansowego, Centrum Edukacji dla Rynku Finansowego, „Fałszywe inwestycje”, dostęp: 11/03/2026 r., strona źródłowa
- CERT Polska, „Zgłoś incydent”, dostęp: 11/03/2026 r., formularz zgłoszenia
- Gov.pl, „Dostałeś niepokojący SMS albo e-mail? Zgłoś go do CERT Polska”, dostęp: 11/03/2026 r., artykuł informacyjny
- Rzecznik Finansowy, „Transakcje nieautoryzowane”, dostęp: 11/03/2026 r., opracowanie PDF
- Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, ISAP, dostęp: 11/03/2026 r., tekst ustawy PDF
Dane i procedury aktualne na dzień: 11/03/2026 r.
Uwaga redakcyjna: przykłady w artykule pokazują mechanikę oszustwa i sposób działania po incydencie. Nie zastępują oceny konkretnej sprawy przez bank, Policję, CERT Polska ani przez prawnika.
Co możesz zrobić po przeczytaniu tego artykułu?
- Ustal w rodzinie jedno pytanie kontrolne albo krótkie hasło bezpieczeństwa na wypadek pilnej prośby o pieniądze.
- Zapisz oficjalny numer infolinii swojego banku i nie oddzwaniaj na numer podany przez rozmówcę.
- Przyjmij prostą regułę: żadnych kodów, przelewów, danych ani instalacji aplikacji pod wpływem telefonu, wideo albo nagrania.
- Jeśli podejrzewasz oszustwo, działaj według checklisty: przerwij kontakt, zabezpiecz konto, zbierz dowody i zgłoś sprawę.
Aktualizacja artykułu: 11 marca 2026 r.
Autor: Jacek Grudniewski
Kontakt za pośrednictwem LinkedIn:
https://www.linkedin.com/in/jacekgrudniewski/
Artykuł ma charakter informacyjny i nie stanowi porady finansowej, prawnej ani inwestycyjnej. Decyzje podejmujesz na własną odpowiedzialność. Treść nie uwzględnia Twojej indywidualnej sytuacji, dlatego przed działaniem skonsultuj się ze specjalistą. Nie gwarantuję pełnej aktualności i kompletności informacji ani nie odpowiadam za skutki decyzji podjętych na ich podstawie. Artykuł może zawierać linki afiliacyjne bez dodatkowego kosztu dla Ciebie.
