W skrócie
- 28 października 2026 r. CERT Polska poinformował o licznych zgłoszeniach e-maili udających PKO BP i adresowanych do firm (TVN24).
- Aktualizacja dokumentacji to pretekst: link prowadzi do strony przestępców, która wyłudza dane logowania do bankowości.
- 2154,4 zł wyniosła średnia strata na jedną oszukańczą transakcję w I kw. 2026 r. (NBP).
- Logowanie wyłącznie przez aplikację lub samodzielnie wpisany adres banku to podstawowa zasada CERT Polska; zgłoszenia trafiają na incydent.cert.pl.
- +46,8% kw./kw. wzrosła wartość oszustw bezgotówkowych w I kw. 2026 r. (NBP).
CERT Polska poinformował 28 października 2026 r., że otrzymuje liczne zgłoszenia wiadomości podszywających się pod PKO BP i kierowanych do firm (TVN24, Jan Sowa). Jeśli prowadzisz JDG (jednoosobową działalność gospodarczą) i fakturujesz około 22 tys. zł miesięcznie, jedno kliknięcie w taki link może narazić cały miesięczny przychód z konta firmowego.
Na czym polega atak na klientów biznesowych PKO BP?
CERT Polska (zespół reagowania na incydenty działający w NASK) opisuje kampanię, w której nadawca powołuje się na obowiązki regulacyjne i twierdzi, że firma musi zaktualizować dokumentację. Wiadomość każe natychmiast zalogować się do bankowości elektronicznej, rzekomo po to, by potwierdzić dane przedsiębiorstwa. Według relacji TVN24 z 28 października 2026 r. odnośnik prowadzi do strony przygotowanej przez przestępców.
"Link w e-mailu prowadzi jednak do strony przygotowanej przez przestępców, którzy próbują wykraść dane logowania." - Jan Sowa, tvn24.pl, relacja z komunikatu CERT Polska (28 października 2026)
Ta sama relacja wskazuje, że oszuści używali też motywów rachunków walutowych, nowych zasad autoryzacji przelewów i aktualizacji danych osobowych. Artykuł nie podaje adresu fałszywej domeny, więc nie ma jednej czarnej listy, na której można by polegać. Zasada obrony musi być prosta: żadnego logowania z linku w e-mailu.
Kampania celuje w firmy, bo konto przedsiębiorcy zwykle obsługuje wyższe kwoty niż rachunek prywatny, a jedno przejęte logowanie daje dostęp do przelewów, historii kontrahentów i danych firmy. W mikrofirmie, gdzie bankowością zajmuje się jedna osoba, nie ma drugiej pary oczu, która zatrzyma podejrzany przelew. Dobrym nawykiem jest zasada, że każde nietypowe polecenie związane z bankiem sprawdza się drugim kanałem, na przykład telefonicznie lub w aplikacji.
CERT Polska opisał 28 października 2026 r. pretekst regulacyjny (TVN24), a moim zdaniem jest on sprytny. Przedsiębiorcy faktycznie zderzają się z obowiązkami związanymi z białą listą podatników, KSeF-em, JPK i raportowaniem, więc hasło „musisz zaktualizować dokumentację” nie brzmi obco. Ta wiadomość trafia w realny, stały lęk właściciela firmy przed błędem formalnym.
Jak odróżnić prawdziwy e-mail banku od phishingu?
CERT Polska radzi logować się do bankowości wyłącznie przez oficjalną stronę banku, wyszukaną samodzielnie, albo przez aplikację mobilną. Drugi sygnał ostrzegawczy to presja czasu lub groźba ograniczenia dostępu do konta. Podejrzane wiadomości zgłasza się przez formularz na incydent.cert.pl.
| Motyw wiadomości | Co żąda nadawca | Jak reagować |
|---|---|---|
| Aktualizacja dokumentacji firmy | Natychmiastowe logowanie przez link | Wejść do banku samodzielnie lub przez aplikację |
| Rachunki walutowe | Potwierdzenie danych rachunku | Zadzwonić na numer z oficjalnej strony banku |
| Nowe zasady autoryzacji przelewów | Zalogowanie i zatwierdzenie zmian | Nie podawać kodów, zgłosić na incydent.cert.pl |
| Aktualizacja danych osobowych | Wpisanie loginu i hasła | Sprawdzić komunikaty w aplikacji, a nie w e-mailu |
Bank nie wymaga logowania z wiadomości, żeby „zaktualizować dokumentację”. Jeśli rzeczywiście zmienia się regulamin lub wymagana jest weryfikacja, informacja pojawi się po wejściu do aplikacji. To najprostszy test, jaki znam: prawdziwy komunikat da się znaleźć bez klikania w cokolwiek z poczty.
Podobny schemat omawialiśmy przy fałszywej aplikacji bankowej z atakiem NFC Relay, przed którą ostrzegał CSIRT KNF (zespół reagowania na incydenty Komisji Nadzoru Finansowego). Zmienia się przebranie, mechanizm pozostaje ten sam: pośpiech i podszycie się pod instytucję.
Ile kosztuje taki błąd? Dane NBP o oszustwach
NBP podał w informacji o transakcjach oszukańczych za I kwartał 2026 r., że liczba oszustw w płatnościach bezgotówkowych wzrosła o 3,4% kw./kw., a ich wartość aż o 46,8%. Średnia wartość jednej oszukańczej transakcji wyniosła 2154,4 zł. Oszustwa stanowiły 0,0029% liczby i 0,0026% wartości wszystkich operacji bezgotówkowych (dane NBP, cytowane przez media).
Skala wygląda na marginalną, ale wartość rośnie szybciej niż liczba, czyli przestępcy wyłudzają większe kwoty. Przy udziale 0,0026% wartości operacji pojedyncze zdarzenia są rzadkie, lecz dla konkretnego właściciela firmy mogą być bardzo dotkliwe. Dla porównania w I kwartale 2025 r. odnotowano 20 122 oszustwa poleceniem przelewu na prawie 162 mln zł (NBP). Według tego samego przeglądu danych od I kwartału 2024 r. oszustwa przelewowe napędza głównie nakłonienie płatnika do samodzielnego wykonania przelewu lub podania danych autoryzacyjnych - 61,9% wartości.
W tym miejscu nie zgadzam się z uspokajającym czytaniem statystyki „promile promila”. Średnia wartość nie pokazuje rozkładu: konto firmowe z dziennym limitem przelewów na kilkadziesiąt tysięcy złotych to inna liga ryzyka niż konto prywatne. Twoja strata nie musi się równać średniej.
Kto odpowiada za pieniądze z konta firmowego po phishingu?
Zgodnie z ustawą o usługach płatniczych bank co do zasady zwraca kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego (D+1), o czym piszemy w tekście o kradzieży z konta i zwrocie D+1. Jest tu jednak pułapka dla przedsiębiorców i przyznaję, że to najmniej oczywisty element całej sprawy.
Przepisy chroniące konsumenta można w umowach z klientami niebędącymi konsumentami częściowo wyłączać, więc zakres zwrotu zależy od regulaminu konta firmowego. Do tego dochodzi spór, czy transakcja po wpisaniu danych na fałszywej stronie jest „nieautoryzowana”, czy klient sam ją zlecił. Banki często przyjmują to drugie, a sądy oceniają sprawy indywidualnie. Zanim cokolwiek się stanie, otwórz regulamin swojego rachunku i sprawdź, czy i co wyłącza dla firm.
Wybór między kontem firmowym a osobistym omówiliśmy w analizie konta firmowego czy osobistego dla JDG. Mieszanie obu rachunków nie tylko komplikuje rozliczenia, ale też utrudnia dochodzenie zwrotu. Oferty kont dla firm porównasz w rankingu kont firmowych.
Liczby dla przedsiębiorcy: ile możesz stracić na JDG?
Przyjmijmy edukacyjny scenariusz dla Twojego JDG: faktury na 22 tys. zł netto miesięcznie, podatek liniowy 19%. Średnia strata z NBP, 2154,4 zł, to niecałe 10% jednej miesięcznej kwoty (2154,4 / 22 000 = 9,8%). To dolna granica, bo przestępca z dostępem do bankowości firmowej może zlecić przelew do wysokości Twojego limitu.
Gdybyś stracił cały miesięczny przychód, 22 tys. zł, musiałbyś wypracować go drugi raz, a składki ZUS i zaliczka na PIT nie znikają. Policz własne obciążenia w kalkulatorze składek ZUS. To przykład pokazujący mechanizm, nie rekomendacja produktu.
Obniż dzienny limit przelewów w bankowości firmowej do kwoty, której realnie potrzebujesz, i włącz powiadomienia push o każdej operacji. Jeden telefon do banku w ciągu minut od incydentu liczy się bardziej niż najlepszy regulamin.
Jeśli za rok lub dwa możesz ubiegać się o hipotekę, historia incydentu na rachunku firmowym też ma znaczenie dla stabilności dochodów w oczach banku. Sprawdź, jak wyglądałaby Twoja zdolność w Decyzjomacie Hipotecznym, a nadwyżki gotówki policz w Decyzjomacie Nadpłata.
Co dalej z kampaniami podszywającymi się pod banki?
PKO BP to największy bank w Polsce: według wyników za I półrocze 2026 r. zarobił 5,29 mld zł netto (pkobp.pl, 13 sierpnia 2026 r.), a w II kwartale 2025 r. depozyty klientów sięgały 639 mld zł. Przy takiej skali każda wysłana masowo wiadomość z jego logo trafi do realnych posiadaczy kont.
Prognoza jest prosta: skoro rośnie wartość oszustw, a nie ich liczba, kolejne fale będą precyzyjniej celować w firmy, bo tam kwoty są większe. Jeśli nadzór i banki nie ograniczą anonimowych domen i reklam, skończy się na wyścigu zbrojeń. Dla Ciebie praktyczny wniosek jest jeden: raz skonfiguruj logowanie wyłącznie przez aplikację i zapisz numer infolinii banku w telefonie, zanim kolejna wiadomość dojdzie do skrzynki.
Więcej analiz o bezpieczeństwie pieniędzy znajdziesz w hubie kategorii finanse. Zagrożenie przenosi się też na szybkie płatności, o czym piszemy przy okazji projektu o błędnych przelewach BLIK.
Narzędzia do Twojej decyzji
Najczęstsze pytania
- Co zrobić, jeśli kliknąłem w link w fałszywym e-mailu od PKO BP?
- Natychmiast zadzwoń na oficjalną infolinię banku i zablokuj dostęp do bankowości oraz karty. Zmień hasło z zaufanego urządzenia, sprawdź historię operacji i limity przelewów. Zgłoś incydent przez formularz incydent.cert.pl, a w razie utraty środków złóż reklamację na piśmie i zawiadomienie na policję.
- Czy bank zawsze zwraca pieniądze po phishingu na koncie firmowym?
- Zwrot w terminie D+1 dotyczy transakcji nieautoryzowanych, ale w umowie z firmą bank może część przepisów chroniących konsumentów wyłączyć. Spór dotyczy też tego, czy przelew po podaniu danych na fałszywej stronie był nieautoryzowany. Sprawdź regulamin rachunku firmowego i złóż reklamację niezwłocznie po wykryciu.
- Jak rozpoznać e-mail podszywający się pod bank?
- Trzy sygnały z komunikatu CERT Polska z 28 października 2026 r.: powołanie się na obowiązki regulacyjne, presja czasu lub groźba ograniczenia konta oraz link do logowania. Prawdziwą informację da się znaleźć w aplikacji lub po samodzielnym wpisaniu adresu banku.
- Ile wynosi średnia strata z oszustwa płatniczego według NBP?
- 2154,4 zł wyniosła średnia wartość jednej oszukańczej transakcji bezgotówkowej w I kwartale 2026 r. (NBP). Wartość oszustw wzrosła w tym kwartale o 46,8% kw./kw., przy wzroście liczby o 3,4%, co oznacza większe kwoty pojedynczych wyłudzeń.
- Gdzie zgłosić podejrzaną wiadomość podszywającą się pod bank?
- Formularz na stronie incydent.cert.pl to kanał wskazany przez CERT Polska do zgłaszania podejrzanych wiadomości. Zgłoszenie pomaga dopisać fałszywe domeny do listy ostrzeżeń. Dodatkowo poinformuj swój bank, przesyłając wiadomość na adres wskazany w jego zakładce bezpieczeństwa.
- Czy warto obniżyć limit przelewów na koncie firmowym?
- Limit dzienny ustawiony na poziomie realnych potrzeb ogranicza maksymalną stratę w razie przejęcia konta. Przy przychodzie 22 tys. zł miesięcznie limit rzędu kilku tysięcy złotych na dobę znacząco zmniejsza ryzyko, a większe przelewy można jednorazowo odblokować w aplikacji.
Nadpłacać czy inwestować? Decyzjomat Nadpłata da werdykt
- NADPŁAĆ, INWESTUJ, PODZIEL lub PODUSZKA - z policzoną oszczędnością dla Twojej sytuacji
- Efektywny spread nadpłaty vs ETF/IKE/IKZE z uwzględnieniem podatku Belki i ulg
- Poduszka bezpieczeństwa - ile faktycznie trzymać przy Twoim DSTI i dochodzie
