Bezpieczny czy nie, czyli pytanie źle postawione
Przez siedem lat analizowania płatności i oszustw nauczyłem się, że pytanie czy BLIK jest bezpieczny jest tak naprawdę źle postawione, choć zadaje je niemal każdy gracz. To trochę jak pytać, czy samochód jest bezpieczny. Samochód jako maszyna jest bezpieczny, dopóki ktoś nie wjedzie nim w drzewo, ignorując pasy. Z BLIK-iem jest podobnie: sam system jest solidnie zaprojektowany, a zdecydowana większość problemów bierze się nie z technologii, lecz z człowieka po drugiej stronie ekranu.
Liczby pokazują to bez litości. W grudniu 2025 oszustwa komputerowe stanowiły 98 procent wszystkich obsłużonych incydentów bezpieczeństwa, czyli około 24,7 tysiąca przypadków. To nie są ataki na infrastrukturę bankową przełamywaną przez genialnych hakerów. To w przeważającej części socjotechnika, czyli manipulowanie ludźmi, żeby sami oddali dostęp do swoich pieniędzy. Innymi słowy, najsłabszym ogniwem zabezpieczeń nie jest kod systemu, tylko nasza własna nieuwaga i zaufanie wykorzystane przez oszusta.
Tło, na którym dzieje się to wszystko, to ogromna popularność samego BLIK-a. W 2025 użytkownicy zrealizowali nim 2,9 mld transakcji o łącznej wartości 441,5 mld zł, a tam, gdzie płaci tylu ludzi i tak często, naturalnie ściągają oszuści, bo to po prostu kierunek, w którym płynie najwięcej pieniędzy. Skala adopcji jest więc jednocześnie powodem wygody i powodem ryzyka: metoda, którą wszyscy znają i której wszyscy ufają, jest też metodą, pod którą najłatwiej się podszyć, bo nikogo nie dziwi prośba o BLIK-a. Im bardziej coś staje się codziennością, tym mniej uważnie się temu przyglądamy, a oszust żyje właśnie z tej nieuwagi.
To dobra wiadomość, choć na pierwszy rzut oka brzmi groźnie. Skoro głównym wektorem ataku jesteś ty, a nie technologia, to większość zagrożeń da się zneutralizować wiedzą i kilkoma nawykami. Nie musisz być ekspertem od cyberbezpieczeństwa. Musisz rozumieć, jak działa autoryzacja BLIK, jak wyglądają najczęstsze oszustwa i co robić, gdy coś pójdzie nie tak. To wszystko mieści się w jednym artykule, który właśnie czytasz.
Uprzedzę ton całego tekstu, bo to ważne. Nie zamierzam cię straszyć ani malować świata pełnego czyhających złodziei. Zamierzam dać ci konkretną mapę zagrożeń i ochrony, żebyś poruszał się świadomie, a nie paranoicznie. Strach paraliżuje i prowadzi do błędów, wiedza uspokaja i prowadzi do dobrych decyzji. Po przeczytaniu będziesz wiedział, co naprawdę grozi przy płatnościach BLIK, a co jest tylko miejskim mitem, i jak odróżnić jedno od drugiego.
Jak naprawdę działa autoryzacja BLIK i dlaczego to ma znaczenie
Żeby zrozumieć, co ci grozi, a co nie, musisz najpierw zrozumieć jedną rzecz, którą większość ludzi rozumie błędnie: kod BLIK sam w sobie nie jest kluczem do twoich pieniędzy. To powszechne nieporozumienie leży u podstaw zarówno niepotrzebnej paniki, jak i, paradoksalnie, części realnych oszustw. Wyjaśnię to dokładnie, bo to fundament całego bezpieczeństwa.
Płatność BLIK ma dwa etapy, które działają jak dwie zapadki w zamku. Pierwszy to wpisanie sześciocyfrowego kodu w miejscu, gdzie płacisz. Drugi, kluczowy, to potwierdzenie transakcji w aplikacji bankowej, najczęściej PIN-em, odciskiem palca albo skanem twarzy. Sam kod jest tylko adresem, który mówi systemowi, do którego konta podłączyć transakcję. To dopiero drugi etap, autoryzacja w aplikacji, jest momentem, w którym faktycznie zgadzasz się na obciążenie. Bez tego potwierdzenia żadna transakcja nie dojdzie do skutku, choćby ktoś znał twój kod.
Z tego wynika rzecz, która powinna cię uspokoić, ale i uczulić zarazem. Jeśli ktoś pozna twój kod BLIK w typowym scenariuszu płatności, to wciąż nie może zabrać ci pieniędzy, bo brakuje mu twojego potwierdzenia w aplikacji. Ale, i tu jest haczyk, jeśli ktoś nakłoni cię, żebyś to ty potwierdził transakcję, którą zainicjował on, to po wszystkim. Cała sztuczka oszustów nie polega więc na wykradzeniu kodu, tylko na tym, żeby skłonić cię do autoryzacji obcej płatności w twojej własnej aplikacji. Zrozumienie tej różnicy to połowa twojego bezpieczeństwa.
Pojawia się tu pojęcie, które będzie wracać przez cały tekst: socjotechnika. To metoda ataku, w której celem nie jest system, lecz człowiek. Oszust nie łamie szyfrów, tylko buduje sytuację, w której sam, dobrowolnie i w dobrej wierze, robisz to, czego on potrzebuje. Wzbudza pośpiech, strach albo zaufanie, a potem prowadzi cię za rękę przez kroki, które kończą się autoryzacją jego transakcji. Cała branża oszustw BLIK to w gruncie rzeczy teatr, w którym ty jesteś jednocześnie widzem i nieświadomym aktorem.
Druga warstwa, którą warto rozumieć, to scenariusze, w których ryzyko rośnie poza standardową płatnością. Generowanie kodu na czyjąś prośbę, podawanie go przez telefon, wpisywanie na stronie, na którą ktoś cię przekierował, albo, najgroźniejsze, instalowanie aplikacji do zdalnego dostępu na polecenie rzekomego konsultanta. W tych sytuacjach mechanizm dwóch zapadek przestaje cię chronić, bo sam, krok po kroku, otwierasz oba zamki na życzenie oszusta. Zabezpieczenia BLIK są mocne dokładnie tak długo, jak długo to ty decydujesz, co autoryzujesz, i robisz to świadomie.
Dla porównania warto zestawić to z kartą płatniczą, bo różnica tłumaczy, dlaczego BLIK bywa bezpieczniejszy w codziennym użyciu. Dane karty, czyli numer, data ważności i kod z tyłu, są statyczne. Raz wyciekną, można nimi płacić wielokrotnie, dopóki nie zablokujesz karty. Kod BLIK jest jednorazowy i wygasa po około dwóch minutach, a każda płatność wymaga osobnej, świeżej autoryzacji w aplikacji. To zasadnicza przewaga konstrukcyjna: nie istnieje coś takiego jak skradzione dane BLIK, które działają w nieskończoność, bo każda transakcja jest osobnym zdarzeniem wymagającym twojej zgody w czasie rzeczywistym. Oszust nie może zebrać twoich danych na zapas i używać ich tygodniami, jak przy karcie. Musi za każdym razem na nowo nakłonić cię do autoryzacji, a to właśnie czyni cały system odpornym, dopóki ty pozostajesz czujny.
Zapamiętaj więc jedną zasadę, do której sprowadza się cała ta sekcja. Twoje bezpieczeństwo nie zależy od tego, czy ktoś pozna twój kod, tylko od tego, czy ktoś nakłoni cię do potwierdzenia transakcji, której nie chciałeś. Każda rada w dalszej części tego tekstu jest w gruncie rzeczy wariacją na ten jeden temat: nie autoryzuj niczego, czego sam świadomie nie zainicjowałeś.
Najczęstsze oszustwa, które naprawdę działają
Teoria to jedno, a konkretne sztuczki, na które ludzie dają się nabrać każdego dnia, to drugie. Pokażę ci najpopularniejsze scenariusze nie po to, żeby cię przestraszyć, ale dlatego, że oszustwo rozpoznane traci całą moc. Gdy znasz mechanizm z góry, scenariusz, który miał cię zaskoczyć, staje się przewidywalny i nudny, a nuda to najlepsza tarcza.
Klasyk numer jeden to przejęcie konta na portalu społecznościowym i prośba o BLIK. Oszust włamuje się na konto twojego znajomego, pisze do ciebie wiadomość w jego stylu, że pilnie potrzebuje przelać niewielką kwotę i nie ma teraz dostępu do swojego BLIK-a, więc prosi, żebyś wygenerował kod i mu podał. Ufasz, bo to przecież znajomy. Generujesz kod, podajesz, a oszust użyje go do płatności, którą ty potem potwierdzisz, bo poprosi cię o to, twierdząc, że to formalność. Ten schemat jest masowy. W jednej ze spraw opisanych przez zespół reagowania na incydenty grupa wyłudzała kody BLIK właśnie po przejęciu kont na popularnym portalu, a przy okazji zabezpieczono ponad 100 tysięcy wykradzionych loginów i haseł. To pokazuje, jak przemysłowa jest skala tego procederu.
Klasyk numer dwa to fałszywy kupujący na portalu ogłoszeniowym. Sprzedajesz coś online, zgłasza się chętny, ale zamiast zapłacić, twierdzi, że wyśle ci pieniądze, i przekierowuje cię na stronę łudząco podobną do bramki płatniczej albo banku. Tam masz wpisać kod BLIK, żeby rzekomo odebrać płatność. W rzeczywistości żadnej płatności do ciebie nie ma, a ty właśnie autoryzujesz wypływ pieniędzy ze swojego konta. Zapamiętaj nienaruszalną zasadę: kodu BLIK używa się wyłącznie do płacenia, nigdy do odbierania pieniędzy. Jeśli ktoś każe ci wpisać kod, żeby coś dostać, to oszustwo, bez wyjątku.
Klasyk numer trzy to telefon od rzekomego konsultanta banku albo policjanta. Dzwoni ktoś podający się za pracownika twojego banku, twierdzi, że twoje konto jest atakowane i że trzeba natychmiast zabezpieczyć środki. Pod presją czasu i strachu prowadzi cię przez kroki, które w rzeczywistości autoryzują przelew na konto oszusta albo instalują aplikację dającą mu zdalny dostęp do twojego telefonu. To najgroźniejszy wariant, bo gra na najsilniejszych emocjach i potrafi ogłuszyć nawet czujnych ludzi. Żaden prawdziwy bank nigdy nie poprosi cię przez telefon o podanie kodu, autoryzację przelewu ani instalację oprogramowania.
Łączy je wszystkie jeden wzorzec. Wytworzenie emocji, która wyłącza myślenie, czyli pośpiechu, strachu albo współczucia, a następnie poprowadzenie cię za rękę do działania, które wygląda na pomoc, a jest kradzieżą. Gdy nauczysz się rozpoznawać ten wzorzec, przestaje mieć znaczenie, jaki konkretny pretekst wymyśli oszust. Mechanizm jest zawsze ten sam, zmienia się tylko kostium.
W kontekście kasyn dochodzi czwarty scenariusz, skrojony pod gracza. Oszust podszywa się pod obsługę serwisu albo pod dział wypłat i kontaktuje się z tobą z informacją, że twoja wygrana czeka, ale żeby ją odebrać, musisz potwierdzić tożsamość kodem BLIK albo zatwierdzić jakąś transakcję weryfikacyjną. Gra tu na tym, na co gracz czeka najbardziej, czyli na wypłatę, i dlatego potrafi uśpić czujność nawet u ostrożnych. Prawdziwy serwis nigdy nie wypłaca wygranej przez wpisanie kodu BLIK, bo, jak już wiesz, kod służy wyłącznie do płacenia. Każda wiadomość, która łączy obietnicę wypłaty z prośbą o kod lub autoryzację, jest oszustwem ubranym w kostium dobrej nowiny.
Phishing i fałszywe strony udające bramki płatności
Osobna kategoria zagrożeń zasługuje na własną sekcję, bo działa inaczej niż rozmowa z oszustem i wymaga innej czujności. Phishing to podszywanie się pod zaufaną stronę albo instytucję po to, żeby wyłudzić twoje dane lub skłonić cię do płatności. W kontekście kasyn i BLIK przybiera postać fałszywych stron płatności, podrobionych serwisów i wiadomości, które wyglądają jak od banku.
Skala oszustw płatniczych w Polsce nie pozostawia złudzeń, że to problem masowy, a nie marginalny. W pierwszym półroczu 2025 odnotowano 41,8 tysiąca oszustw z wykorzystaniem polecenia przelewu, o 30,8 procent więcej niż rok wcześniej, a ich łączna wartość sięgnęła 334,8 miliona złotych. Za tymi liczbami stoją realni ludzie, którzy w większości nie zostali okradzeni przez włamanie do banku, lecz nakłonieni do działania na fałszywej stronie albo pod wpływem spreparowanej wiadomości. To pokazuje, że phishing nie jest egzotycznym ryzykiem dla nieuważnych, ale codziennym tłem, w którym wszyscy się poruszamy.
Jak rozpoznać fałszywą stronę płatności. Pierwszy sygnał to adres. Prawdziwa bramka ma adres zgodny z operatorem płatności, a fałszywka zwykle ma adres podobny, ale z drobną różnicą: dodaną literą, myślnikiem, inną końcówką domeny. Drugi sygnał to sposób, w jaki na stronę trafiłeś. Jeśli przyszedłeś z linku w wiadomości, którą dostałeś niespodziewanie, jesteś w grupie podwyższonego ryzyka, bo legalną płatność niemal zawsze inicjujesz sam, wchodząc na stronę, którą znasz. Trzeci sygnał to prośba o dane, których prawdziwa płatność nie wymaga, na przykład pełne dane logowania do banku wpisywane na stronie sklepu.
Fałszywe kasyna to szczególny przypadek phishingu, bo łączą wyłudzenie z pozorem legalnej rozrywki. Serwis wygląda jak prawdziwe kasyno, kusi bonusami, przyjmuje wpłatę, a potem albo znika z pieniędzmi, albo nigdy nie wypłaca wygranych. Z perspektywy bezpieczeństwa płatności to nie tyle problem BLIK-a, ile problem zaufania do strony, na której go używasz. Umiejętność odróżnienia prawdziwego serwisu od podróbki jest osobnym tematem, który rozłożyłem w tekście o tym, jak rozpoznać nielegalne kasyno online, bo to wiedza, która chroni cię nie tylko przy płatności, ale na każdym etapie kontaktu z serwisem.
Zasada bezpieczeństwa wobec phishingu jest prosta i działa niezawodnie: inicjuj płatność sam. Nie klikaj w linki płatności z wiadomości, których się nie spodziewałeś. Wchodź na stronę, na której chcesz zapłacić, wpisując jej adres samodzielnie albo z zaufanej zakładki. Phishing żywi się tym, że to oszust prowadzi cię na stronę. Gdy odbierasz mu tę inicjatywę, większość jego sztuczek przestaje działać.
Jak chronić swój kod i konto na co dzień
Wiedza o zagrożeniach jest bezużyteczna bez nawyków, które ją wcielają w życie. Zebrałem przez lata zestaw zasad, które są na tyle proste, że da się ich trzymać bez wysiłku, a na tyle skuteczne, że eliminują zdecydowaną większość ryzyka. Nie ma tu nic dla ekspertów, są same rzeczy do natychmiastowego stosowania.
Najważniejsza zasada brzmi: kod BLIK służy wyłącznie do płacenia, które sam inicjujesz. Nigdy nie generuj kodu na czyjąś prośbę, nigdy nie podawaj go przez telefon ani w wiadomości, nigdy nie wpisuj go po to, żeby coś odebrać. Jeśli ktokolwiek, znajomy, konsultant, kupujący, prosi cię o kod albo o autoryzację, której sam nie zainicjowałeś, to z definicji jest podejrzane, niezależnie od tego, jak przekonująco brzmi pretekst.
Druga zasada dotyczy potwierdzania transakcji. Zawsze czytaj okno autoryzacji w aplikacji bankowej, zanim je zatwierdzisz. To tam widać prawdziwego odbiorcę i prawdziwą kwotę. Oszustwa udają się głównie dlatego, że ludzie klikają potwierdź odruchowo, nie patrząc, co potwierdzają. Pięć sekund na przeczytanie odbiorcy i kwoty to najtańsze ubezpieczenie, jakie istnieje. Jeśli odbiorca albo kwota nie zgadzają się z tym, czego się spodziewałeś, przerywasz, i koniec.
Trzecia zasada to higiena dostępu do telefonu i aplikacji. Twój telefon z aplikacją bankową jest dziś tym, czym kiedyś był portfel z gotówką, tyle że potencjalnie cięższym w skutkach, gdy wpadnie w niepowołane ręce. Blokada ekranu, osobne zabezpieczenie aplikacji bankowej, nieinstalowanie oprogramowania na polecenie kogoś z telefonu i ostrożność wobec publicznych sieci to absolutne minimum. Limit dzienny BLIK ustawiony rozsądnie jest dodatkowym buforem, bo ogranicza szkodę, gdyby mimo wszystko coś poszło nie tak.
Czwarta zasada to zdrowy dystans do pośpiechu. Każde oszustwo socjotechniczne potrzebuje, żebyś działał szybko, bo refleksja jest jego wrogiem. Gdy ktoś wywiera presję czasu, twierdzi, że trzeba natychmiast, że konto jest atakowane, że oferta zaraz wygaśnie, to sam ten pośpiech jest sygnałem ostrzegawczym. Prawdziwe instytucje dają ci czas. Oszust go zabiera. Reguła brzmi: im większa presja, tym wolniej się ruszaj. Zatrzymanie się na minutę i sprawdzenie sytuacji niezależnym kanałem rozbija niemal każdy scenariusz oszustwa.
Piąta zasada dotyczy weryfikacji niezależnym kanałem i jest praktycznym przedłużeniem czwartej. Gdy dostajesz niepokojącą wiadomość albo telefon, nie weryfikuj ich tam, gdzie przyszły. Jeśli rzekomy znajomy prosi o BLIK na portalu, zadzwoń do niego pod numer, który masz zapisany, a nie odpisuj w czacie, bo czat może być przejęty. Jeśli dzwoni rzekomy bank, rozłącz się i oddzwoń na oficjalny numer z karty. Oszust kontroluje kanał, którym się z tobą skontaktował, ale nie kontroluje twoich własnych, niezależnych dróg sprawdzenia. Ta jedna czynność, wyjście poza kanał ataku, demaskuje praktycznie każdą próbę podszycia, bo prawdziwa osoba lub instytucja potwierdzi sprawę bez problemu, a oszust nagle przestaje być osiągalny.
Co zrobić, gdy już podałeś kod albo autoryzowałeś obcą transakcję
Załóżmy najgorsze: zorientowałeś się, że dałeś się nabrać. Pierwsza rzecz, jaką musisz wiedzieć, to że panika jest twoim wrogiem, a tempo twoim sprzymierzeńcem. Liczy się każda minuta, ale liczy się też, żeby działać we właściwej kolejności, a nie chaotycznie. Pokażę, co robić krok po kroku, bo to wiedza, którą lepiej mieć z góry niż zdobywać w panice.
Pierwszy ruch to natychmiastowy kontakt z bankiem. Zadzwoń na oficjalną infolinię swojego banku, tę, której numer znasz z aplikacji albo z karty, nie z wiadomości od kogokolwiek. Zgłoś, co się stało, i poproś o zablokowanie podejrzanej transakcji oraz zabezpieczenie konta. Im szybciej, tym większa szansa, że transakcję uda się zatrzymać lub cofnąć, zanim środki rozpłyną się dalej. To absolutny priorytet, ważniejszy niż cokolwiek innego.
Drugi ruch to zmiana danych dostępowych i zabezpieczenie pozostałych kont. Jeśli oszust mógł poznać twoje hasła albo uzyskać zdalny dostęp do telefonu, zmień hasła do banku i powiązanych usług, najlepiej z innego, pewnego urządzenia. Jeśli instalowałeś jakąkolwiek aplikację na polecenie oszusta, usuń ją, a w razie wątpliwości co do czystości telefonu skonsultuj się ze specjalistą. Chodzi o to, żeby odciąć oszustowi dalszą drogę, nawet jeśli pierwszą transakcję już wykonał.
Trzeci ruch to zgłoszenie. Oszustwo warto zgłosić odpowiednim służbom oraz zespołowi zajmującemu się incydentami bezpieczeństwa, bo twoje zgłoszenie pomaga namierzyć schemat działający na masową skalę i chroni kolejnych ludzi. To także istotne z punktu widzenia ewentualnego dochodzenia roszczeń. Warto pamiętać, że nawet sam operator systemu reaguje na nadużycia: biuro prasowe BLIK deklarowało, że za każdym razem, gdy dowiaduje się o bezprawnym wykorzystaniu BLIK-a, podejmuje kroki, żeby zablokować takie działania. Twoje zgłoszenie jest częścią tego łańcucha reakcji.
Na koniec rzecz, o której łatwo zapomnieć w stresie, a która ma znaczenie dla twojej głowy. Padnięcie ofiarą socjotechniki nie jest dowodem głupoty. Te schematy są projektowane przez ludzi, którzy robią to zawodowo i doskonalą je latami, a ofiarami padają osoby inteligentne, ostrożne i wykształcone. Wstyd, który czujesz, jest dokładnie tym, na co liczy oszust, bo wstyd opóźnia zgłoszenie. Im szybciej odrzucisz to poczucie i zaczniesz działać, tym lepiej dla twoich pieniędzy. Reakcja, nie samobiczowanie, jest tu jedyną walutą, która się liczy.