Ponad 75 proc. oszustw w polskim sektorze finansowym to efekt manipulacji klientem, który sam autoryzuje przelew lub udostępnia dane. Banki dysponują narzędziami do wykrywania takich transakcji, ale prawo ogranicza ich stosowanie – klienci muszą wyrazić zgodę, a tej często brakuje.
Tak wynika z danych zaprezentowanych podczas sesji „Cyberbezpieczeństwo w finansach” na CYBERSEC EXPO & FORUM 2026 w Katowicach. Jarosław Biegański, dyrektor zespołu bezpieczeństwa banków w Związku Banków Polskich, powołał się na kwartalne raporty NBP: – 75,4 proc. oszustw zgłaszanych do NBP dokonywanych jest z wykorzystaniem manipulacji płatnikiem. Oznacza to, że płatnik sam uwierzytelnia transakcję, inicjuje ją albo udostępnia informacje wystarczające do zalogowania się do konta – powiedział.
Wśród wszystkich transakcji oszukańczych 84 proc. to efekt manipulacji. Nadinspektor Adam Cieślak, pierwszy komendant Centralnego Biura Zwalczania Cyberprzestępczości (do marca 2026), poinformował, że w ubiegłym roku policja odnotowała ponad 92 tys. oszustw internetowych i komputerowych, w tym około 6,5 tys. oszustw inwestycyjnych. – Są najbardziej niebezpieczne i najtrudniejsze do wykrycia: rozciągnięte w czasie, z ofiarą manipulowaną przez wiele tygodni. Przekłada się to na blisko 20 pokrzywdzonych osób dziennie – dodał.
Zorganizowane grupy przestępcze działają jak korporacje
Adam Cieślak podkreślił, że oszustwo socjotechniczne często łączy się z elementami cyber, służącymi do uwiarygodnienia legendy. – Przestępcy znają imię i nazwisko klienta, często wiedzą, w jakim banku ma konto. Te dane zazwyczaj pochodzą z wycieków – wskazał. Po drugiej stronie nie stoi pojedynczy oszust, lecz zorganizowane grupy działające jak dobrze wyposażone firmy. Dlatego wykrywalność sprawców oszustw inwestycyjnych sięga zaledwie około 20 proc.
Magdalena Korona, ekspertka ds. cyberbezpieczeństwa w mBanku, zwróciła uwagę na paradoks: banki wyłapują bardzo dużo oszustw inwestycyjnych, ale klienci odmawiają współpracy. – Kiedy dzwonimy do klienta albo prosimy go, żeby przyszedł do placówki, klient odmawia współpracy. Podpisuje oświadczenie, że nie rozmawia z żadnymi doradcami inwestycyjnymi, nagrywa nas i twierdzi, że to są jego pożyczki albo zaliczki – opisała.
Biometria behawioralna – narzędzie, które klienci odrzucają
Banki mają narzędzia do wykrywania oszustw w toku: analizę behawioralną, możliwość sprawdzenia rzeczywistej lokalizacji klienta. Nie mogą ich jednak stosować bez zgody, a klienci masowo odmawiają. – Ludzie mówią nam wprost, że nie zgodzą się na biometrię behawioralną, bo cenią swoją prywatność – relacjonowała Magdalena Korona. – Co ciekawe, jak udostępniają te dane oszustom, to już nie widzą w tym problemu – dodała.
Patryk Gęborys, dyrektor biura cyberbezpieczeństwa w PZU, przekonywał, że obawy są przesadzone: – Banki i tak wszystko o was wiedzą. Wasi dostawcy telekomunikacyjni wszystko o was wiedzą. Facebook o was wszystko wie. Więc nie musicie się martwić, że tutaj coś zostanie odkryte.
Łukasz Miedziński z ING Hubs Poland zwrócił uwagę na zmieniające się zagrożenia: – Atakujący nie potrzebują już bardzo zaawansowanej wiedzy. Mogą korzystać z gotowych automatów i komponentów dostępnych w darknecie, kupić ataki as-a-service. Procesy bezpieczeństwa będą musiały się zmienić – skupić na podatnościach zero-day. Ireneusz Jazownik z IBK Bank Polska ostrzegł przed ryzykiem koncentracji dostawców: – Pojedyncza awaria albo skuteczny cyberatak może wywołać efekt domina w całym sektorze finansowym.
Jarosław Biegański przypomniał, że od stycznia 2025 r. obowiązuje unijne rozporządzenie DORA, które daje bankom argumenty do monitorowania i audytowania dostawców oraz wymiany informacji o zagrożeniach. – Bezpieczeństwo zależy też od nas samych – dodał, zachęcając do blokowania kart na czas nieużywania. – Często wystarczy jeden suwak w telefonie.
Źródło: WNP.PL, Fot. PTWP