Sześć cyfr, które potrafią kosztować fortunę
Phishing kodu BLIK to jedno z najczęstszych i najgroźniejszych oszustw, z jakimi spotyka się dziś polski użytkownik bankowości mobilnej. Mechanizm jest przerażająco prosty: oszust nakłania ofiarę, by sama podała mu sześciocyfrowy kod, a potem realizuje za niego transakcję. Skala zjawiska jest ogromna — według danych CERT Polska w grudniu 2025 roku oszustwa komputerowe stanowiły aż 98 procent wszystkich incydentów, czyli około 24,7 tysiąca zgłoszeń. Za tą liczbą kryją się tysiące osób, które w jednej chwili nieuwagi straciły pieniądze.
Phishing to forma oszustwa oparta na socjotechnice — manipulacji, która skłania ofiarę do dobrowolnego przekazania danych lub potwierdzenia transakcji. W przypadku BLIK celem jest kod, bo to on otwiera drogę do twoich pieniędzy. Co istotne, oszustwo nie polega na włamaniu do systemu BLIK, który jest bezpieczny, lecz na oszukaniu człowieka, by sam oddał klucz. To czyni czujność najważniejszą linią obrony.
W tym tekście rozłożę phishing kodu BLIK na czynniki pierwsze: pokażę anatomię typowego oszustwa na konkretnym przykładzie, wskażę czerwone flagi w podejrzanych wiadomościach oraz wyjaśnię, co zrobić, jeśli już podałeś kod. Konkretnie i bez owijania w bawełnę, bo to wiedza, która realnie chroni przed stratą.
Anatomia oszustwa
Żeby skutecznie się bronić, trzeba zrozumieć, jak to oszustwo działa od środka. Phishing kodu BLIK nie jest dziełem przypadku, lecz przemyślanym scenariuszem, w którym każdy element gra na emocjach ofiary. Rozłóżmy go krok po kroku.
Najczęstszy scenariusz zaczyna się od przejęcia zaufanego kanału komunikacji. Dobitnie pokazała to sprawa nagłośniona przez CERT Polska, w której zorganizowana grupa wyłudzała kody BLIK po przejęciu kont na popularnym portalu społecznościowym — w toku działań zabezpieczono ponad 100 tysięcy wykradzionych loginów. To kluczowy mechanizm: oszust nie pisze do ciebie jako obcy, lecz podszywa się pod kogoś, komu ufasz — znajomego, którego konto przejął. Wiadomość przychodzi od „przyjaciela”, co od razu obniża twoją czujność.
Drugi element to wytworzenie presji i pilności. Przejąwszy konto znajomego, oszust pisze wiadomość w stylu „mam problem, pilnie potrzebuję pożyczyć, zaraz oddam” i prosi o kod BLIK, tłumacząc to nagłą sytuacją. Połączenie zaufania („to mój znajomy”) z presją czasu („to pilne”) to klasyczna kombinacja socjotechniczna, która wyłącza racjonalne myślenie. Ofiara, chcąc pomóc bliskiej osobie i działając w pośpiechu, podaje kod, zanim zdąży się zastanowić.
Trzeci element to wykorzystanie kodu, zanim ofiara się zorientuje. Mając kod, oszust realizuje transakcję — wypłatę, przelew lub płatność — w te same kilkadziesiąt sekund, w których kod jest ważny. Cały scenariusz jest zaprojektowany tak, by działać szybko: od przejętego konta, przez emocjonalną prośbę, po wykorzystanie kodu, wszystko dzieje się w tempie, które nie zostawia ofierze czasu na refleksję. Dlatego phishing jest tak skuteczny — nie atakuje systemu, lecz ludzką skłonność do pomagania i działania pod presją. Zrozumienie tej mechaniki to pierwszy krok do tego, by się jej nie poddać.
Czerwone flagi wiadomości
Skoro oszustwo opiera się na manipulacji, kluczem do obrony jest rozpoznanie sygnałów ostrzegawczych w samej wiadomości. Z mojego doświadczenia te czerwone flagi powtarzają się na tyle regularnie, że warto wbić je sobie do głowy raz na zawsze.
Pierwsza i najważniejsza czerwona flaga to każda prośba o podanie kodu BLIK. To absolutna zasada: nikt — ani znajomy, ani bank, ani sklep — nie potrzebuje twojego kodu BLIK podanego w wiadomości. Kod służy do tego, byś to ty autoryzował własną transakcję, a nie byś przekazywał go komukolwiek. Jeśli ktoś prosi o kod, niezależnie od tego, kim się przedstawia, jest to oszustwo. Kropka. Nie ma legalnego scenariusza, w którym przesyłasz komuś swój kod BLIK.
Druga czerwona flaga to presja czasu i emocji. Wiadomości phishingowe niemal zawsze wytwarzają poczucie pilności — „szybko”, „pilne”, „tylko teraz”, „mam problem”. Ten pośpiech jest celowy, bo ma uniemożliwić ci spokojne zastanowienie. Gdy czujesz, że ktoś cię popędza do finansowej decyzji, to sam w sobie sygnał ostrzegawczy. Trzecia flaga to nietypowa prośba od znajomego, zwłaszcza dotycząca pieniędzy. Jeśli „przyjaciel” nagle prosi o pożyczkę przez kod BLIK albo o pieniądze w nietypowy sposób, należy założyć, że jego konto mogło zostać przejęte. Czwarta flaga to drobne nieścisłości — inny styl pisania niż zwykle, dziwne sformułowania, prośba przez kanał, którym dana osoba normalnie się nie komunikuje.
Najprostsza obrona przed tym wszystkim jest zarazem najskuteczniejsza: weryfikacja innym kanałem. Jeśli znajomy prosi o pieniądze przez wiadomość, zadzwoń do niego albo skontaktuj się inną drogą i potwierdź, czy to naprawdę on. Ten jeden telefon rozbraja niemal każdy scenariusz phishingowy, bo oszust przejął tylko jeden kanał, a nie całe życie twojego znajomego. Chwila spokojnej weryfikacji jest wszystkim, czego potrzeba, by nie stać się ofiarą.
Co zrobić, gdy podałeś kod
Załóżmy najgorsze: presja zadziałała i podałeś kod. Co teraz? Najważniejsze to nie panikować, lecz działać szybko, bo liczy się każda minuta.
Pierwszym i najpilniejszym krokiem jest natychmiastowy kontakt z własnym bankiem. To bank zarządza twoim kontem i to on może podjąć działania zabezpieczające — zablokować podejrzane transakcje, zabezpieczyć konto, doradzić dalsze kroki. Im szybciej zadzwonisz, tym większa szansa, że uda się ograniczyć szkodę. Drugim krokiem jest zmiana danych dostępowych i zabezpieczenie kont, zwłaszcza tego, przez które przyszła wyłudzająca wiadomość, oraz zgłoszenie incydentu odpowiednim służbom, w tym zespołowi reagowania na zagrożenia. Warto też ostrzec znajomych, jeśli oszustwo szło przez przejęte konto, by nie padli ofiarą tego samego scenariusza. W kontekście samej marki BLIK warto wiedzieć, że jej operator nie pozostaje bierny — przedstawiciele wskazywali, że spółka podejmuje kroki, by blokować bezprawne wykorzystanie, gdy tylko o nim wie. Nie zwalnia to jednak z własnej czujności, bo pierwszą i najważniejszą linią obrony pozostajesz ty sam. Szerszy obraz wszystkich zagrożeń i całego modelu ochrony układam w przewodniku o bezpieczeństwie płatności BLIK.
Phishing kodu BLIK nie atakuje systemu, lecz człowieka — jego zaufanie, emocje i skłonność do działania pod presją. Najgroźniejszy scenariusz to przejęte konto znajomego i pilna prośba o kod, a obrona sprowadza się do jednej żelaznej zasady: nikomu nie podajesz swojego kodu BLIK, nigdy, niezależnie od tego, kto i jak o niego prosi. Gdy czujesz presję, zatrzymaj się i zweryfikuj prośbę innym kanałem — ten jeden telefon rozbraja niemal każde oszustwo. A jeśli już podałeś kod, licz się z każdą minutą i natychmiast skontaktuj z bankiem. Czujność jest tu warta więcej niż jakiekolwiek zabezpieczenie techniczne.