Rzecznik Finansowy o transakcjach oszukańczych. Ma postulaty dla banków i rządzących (WYWIAD)

Audio generowane przez AI. Może zawierać błędy.

Niecałe dwa tygodnie temu Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał wyrok w sprawie C-70/25 (Tukowiecka). Stwierdził, że bank ma obowiązek niezwłocznie zwrócić klientowi pieniądze utracone w wyniku nieautoryzowanej transakcji. Ocenił też, że podniesienie przez bank zarzutu rażącego niedbalstwa po stronie klienta nie uzasadnia wstrzymania takiego zwrotu.

Rzecznik Finansowy Michał Ziemiak ocenia, że wyrok potwierdza jego stanowisko, które wygłaszał już od dawna. Jest ono zgodne również z interpretacją prezesa Urzędu Ochrony Konkurencji i Konsumentów (UOKiK) Tomasza Chróstnego, który podjął wobec czterech banków decyzje dotyczące zmiany praktyk i nadal prowadzi postępowania dotyczące 10 innych kredytodawców.

Ofiara oszustwa nie jest sprawcą kradzieży

Piotr Sobolewski, XYZ: Kolejny sukces?

Michał Ziemiak, Rzecznik Finansowy: Potwierdzenie, że celnie identyfikujemy, jak wygląda unijny standard ochrony klienta.

I nie był pan zaskoczony?

Nie, bo problem był zgłaszany także w innych krajach. Tam również banki stosowały dość zawiłą interpretację dyrektywy o usługach płatniczych (PSD2). Sprawa była o tyle oczywista, że w naszym prawie jasno mieliśmy opisane co może, a co nie może być podstawą zwrotu środków dla klienta. Przepis mówiący o „rażącym niedbalstwie” po stronie klienta nie jest wymieniony jako podstawa do odmowy dokonania zwrotu na jego konto. Może być ewentualnie podstawą, by po czasie żądać od klienta oddania zwróconych mu pieniędzy.

Tymczasem banki w Polsce, jak i na innych rynkach zaczęły podnosić kwestię „rażącego niedbalstwa”. Teraz Trybunał jasno im wskazał, że źle interpretowały prawo.

Banki muszą zmienić praktykę i zaczynają to robić

To co teraz?

Muszą zmienić praktykę. Widać, że banki już to robią.

Przestrzegam przy tym przed myśleniem, że wyrok zwalnia klientów z ostrożności. On po prostu wyjaśnia sposób postępowania banków. Po zgłoszeniu sprawy przez klienta bank powinien zwrócić mu następnego dnia pieniądze i dopiero potem badać tę sprawę. W razie rażącego niedbalstwa może wystąpić do klienta o zwrot pieniędzy, które do niego trafiły.

Często się zdarza takie „rażące niedbalstwo”?

Spraw na pewno nie można wrzucać do jednego worka. Rażące niedbalstwo to nieumyślność granicząca z umyślnością, coś jak zapisanie numeru PIN mazakiem na karcie płatniczej. Nie każdy przejaw nieostrożności, w tym sytuacja, gdy klient zostanie zmanipulowany, może być od razu kwalifikowany jako rażące niedbalstwo. Trzeba jasno powiedzieć, że ofiara oszustwa nie jest sprawcą kradzieży. Gdybyśmy wszystko sprowadzili tylko do uwierzytelnienia przez klienta, scamerzy, wyspecjalizowani w manipulacji, byliby na wygranej pozycji.

Jakie są kwoty takich oszustw?

Od kilku do kilkuset tysięcy złotych, zależy na kogo trafią scamerzy. Czasem nie chodzi wyłącznie o wyczyszczenie konta. Oszuści potrafią zaciągnąć też kredyt, jeśli w aplikacji banku jest dostępny kredyt na klik.

Centra scamerskie to działalność transgraniczna

Wiemy dokładnie, z kim toczy się ta walka?

Centra scamerskie są rozsiane po całym świecie i działają transgranicznie. To problem międzynarodowy. Co pewien czas pojawiają się doniesienia o likwidacji takiego profesjonalnego call center. Ale to jak z hydrą – w miejsce zlikwidowanych jednostek zaraz pojawiały się kolejne.

Skoro to problem międzynarodowy to jak inne kraje podchodzą do tematu?

W Unii Europejskiej wszyscy czekają na rozporządzenie o usługach płatniczych (PSR), które ma być przyjęte w grudniu 2026 r. Wejdzie w życie po 21 miesiącach od daty wpisu do dziennika urzędowego UE. Poza nią, np. w Australii powstaje system, gdzie pojawia się temat odpowiedzialności współdzielonej między banki, telekomy i platformy społecznościowe.

Unijne rozporządzenie PSR nakłada nowe obowiązki

Zostańmy przy Unii Europejskiej. Co zmieni to rozporządzenie?

PSR po raz pierwszy w prawie unijnym traktuje oszustwo jako problem całego łańcucha, a nie tylko banku i jego klienta. Oszustwo zwykle zaczyna się od fałszywego telefonu, SMS-a albo reklamy w mediach społecznościowych, a kończy przelewem. Obowiązki dostaną więc nie tylko banki, ale też operatorzy telekomunikacyjni i platformy internetowe. Musimy jednak pamiętać, że wciąż operujemy na projekcie, a nie ostatecznym tekście rozporządzenia.

Projekt PSR przewiduje, że jeśli oszust podszyje się pod bank (spoofing), używając jego numeru telefonu, e-maila czy strony, a klient zgłosi sprawę bankowi i policji, bank zwróci całą kwotę. Bank będzie też musiał wstrzymać przelew, który budzi uzasadnione podejrzenie oszustwa. Jeśli tego nie zrobi, nie będzie mógł obciążyć stratą klienta. Klient będzie mógł ustawić limity przelewów. Zdalne podwyższenie limitu albo aktywacja aplikacji na nowym telefonie ma wymagać kilku godzin odczekania. Te kilka godzin to często czas, w którym ofiara orientuje się, że rozmawia z oszustem.

A co z platformami społecznościowymi i telekomami?

Platformy i wyszukiwarki będą musiały sprawdzać, czy reklamodawca usług finansowych ma wymagane zezwolenie. Jeśli nie, reklama nie powinna się ukazać. Wynika to z doświadczenia, że fałszywa reklama inwestycyjna to dziś jedna z głównych dróg do portfela ofiary. Operatorzy telekomunikacyjni będą musieli natomiast przeciwdziałać podszywaniu się pod numery i współpracować z bankami.

PSR nie rozwiązuje jednak wszystkiego. Platformy i telekomy pozostają bowiem poza reżimem odpowiedzialności finansowej wobec ofiar. Ostatecznie, PSR buduje bardziej kompleksową architekturę ochrony klienta, ale wciąż są to rozwiązania nie tak daleko idące, jak proponowane w toku prac nad rozporządzeniem czy wdrażane w Australii.

Kampania ZBP wpędza klientów w poczucie winy

Czyli kraje unijne czekają. W Polsce banki pod presją postępowań prezesa UOKiK zmieniają swoją politykę. Może temat rozejdzie się po kościach, klienci dostaną pieniądze i po problemie?

Tylko wtedy mówimy o eliminowaniu skutków, a nam zależy na eliminacji przyczyny. Te 10 tys. spraw dotyczących nieautoryzowanych transakcji, które do nas trafiły to tylko mały wycinek problemu. Mnóstwo ludzi się nie zgłasza do banku i nie idzie na policję, czasami z poczucia wstydu.

Bo dali się okraść?

Tak, tym bardziej że mamy kampanię społeczną zorganizowaną przez banki, która poniekąd stygmatyzuje ofiary oszustw finansowych. W najnowszej odsłonie pomysłodawcy nie tylko zakładają klientowi na głowę atrybut przestępcy – czyli pończochę, ale wieńczą filmik stwierdzeniem: „Właśnie się okradłaś”. Komunikat mówiący, że to klient sam się okradł, a nie że klienta okradziono, to nic innego jak tylko wpędzanie w poczucie winy.

Mówi pan o kampanii Związku Banków Polskich.

Tak. Rozmawiałem o tym z ZBP. Nie przemawia do mnie argument, że kampania ma szokować, żeby pobudzić do refleksji. Wolałabym, że banki zamiast pogłębiania u poszkodowanych poczucia winy uczyły klienta prawidłowej reakcji. Przekaz powinien iść w stronę: odebrałeś podejrzany telefon, kliknąłeś w dziwny link – natychmiast poinformuj bank, powiedz o tym bliskiej osobie, nie zatrzymuj tej informacji dla siebie. Bo to z tym aspektem klienci mają często największy problem.

Rzecznik Finansowy ma pięć propozycji dla banków

To jak eliminować przyczynę, o której pan mówi? Pomogą inicjatywy samych banków?

Musimy podzielić te działania na dwie grupy. Pierwsza dotyczy działań po stronie banków, do których nie musimy zmieniać regulacji. Druga to stworzenie triady współodpowiedzialności, złożonej z banków, telekomów i platform społecznościowych, co wymagałoby zmian prawnych. Jak pokazał przykład prac nad PSR, nie jest to łatwe.

Zacznijmy od pierwszej grupy.

Od pewnego czasu podaję pięć takich rozwiązań. Nie eliminują one problemu, ale utrudniają życie scamerom.

Dziś, żeby poinformować bank o problemie, trzeba zadzwonić na infolinię i dopiero operator blokuje możliwość przelewów i zaciągnięcia pożyczki. Sprawę przyspieszyłoby rozwiązanie znane pod pojęciami „kill switch” czy „panic buton”. To przycisk w aplikacji lub skrót klawiszowy na infolinii (np. wciśnij 8), które natychmiast blokują wszystkie środki na rachunku i kartach.

Kolejna rzecz to wprowadzenie osoby zaufanej, do której bank zadzwoniłby, jeśli wykryje nietypowe zachowanie na naszych rachunku. To stawia mur manipulacji, bo klient może już być tak zmanipulowany, że nie będzie chciał słuchać pracownika banku.

Następna kwestia to wprowadzenie money lock, czyli ustanowienie pewnej nienaruszalnej kwoty na rachunku, którą klient „zamraża”, bo nie potrzebuje do niej codziennego dostępu i której nie da się ruszyć bez konieczności fizycznego udania się do oddziału banku.

Proponujemy też przy kredytach na klik wprowadzenie 24-godzinnego cooling period, które pozwoliłoby klientowi na ochłonięcie, a bankowi pozwoliłoby zweryfikować czy klient rzeczywiście chciał go zaciągnąć.

Piąte rozwiązanie to wdrożenie uproszczonych wersji aplikacji bankowych, dostępnych na życzenie klienta. Chodzi o interfejs ograniczony do podstawowych funkcji, np. sprawdzenie salda, wykonanie przelewu do zdefiniowanych odbiorców, ale bez opcji zaciągania kredytów. To rozwiązanie, które można by proponować osobom najbardziej narażonym na scam, czyli np. seniorom lub innym zainteresowanym.

To nie jest zamknięta lista. Niektóre banki wdrożyły np. rozwiązanie, które identyfikuje, że klient jednocześnie korzysta z aplikacji banku i rozmawia przez telefon. Aplikacja to wychwytuje i wysyła informację do klienta, że osoba, z którą właśnie rozmawia, nie jest pracownikiem banku. Wierzę, że da się to upowszechnić.

„W dużej mierze wdrożenia zależą od samych banków”

Co pan robi, by to przeforsować?

Rozmawiamy z bankowcami, bo w dużej mierze to od nich zależy. Każde wdrożenie takich rozwiązań pozwala na lepsze zabezpieczenie interesów klienta, ale i zabezpiecza interesy banków. Przypomnę, że wspomniane już rozporządzenie PSR przykłada dużą wagę do prewencji.

Może trzeba wprowadzić to ustawowo?

Nie wiem, czy przy tak dużym zróżnicowaniu ofert i systemów banków miałoby to sens. Proces legislacyjny nie dość, że trwa długo, to jeszcze ogranicza elastyczność rozwiązań. Takie wyjście samemu z inicjatywą byłoby lepsze, bo klient miałby wybór czy z tego skorzystać, czy nie.

Według KNF mówimy o 250 mln zł strat kwartalnie

W rozmowach z bankowcami nie pada argument, że dla małego odsetka klientów reszta klientów ma zrezygnować z wygody?

Rzeczywiście taka argumentacja była do tej pory dominująca. Jednak w ostatnim czasie zaczynają docierać do mnie głosy z banków, że czas, w którym priorytetem była szybkość, dobiega końca. Banki podchodzą do tego z obawą, jak zareagują klienci, czy nie zniechęcą się do ich usług.

Warto jednak zauważyć, że część tych rozwiązań nie musiałaby być obligatoryjna, ale może być opcją, z której mógłby skorzystać. Bank nie ustanowi przecież osoby zaufanej na siłę albo nie zrobi „money locka”. Podobnie z aplikacją – to byłaby decyzja klienta, na którą opcję się decyduje.

Według danych KNF za I kwartał 2026 r. mówimy nawet o ćwierć miliardzie złotych kwartalnie strat wynikających z transakcji oszukańczych. Skala problemu jest więc duża. Coraz więcej klientów realnie styka się z tym problemem. Wydaje się więc, że zaakceptują rozwiązania służące zwiększeniu bezpieczeństwa, kosztem szybkości.

To przejdźmy do triady współodpowiedzialności, której pan wspominał.

Warto się nad tym pochylić, np. w zakresie dostępu do usług telekomunikacyjnych i lepszej weryfikacji posiadaczy kart SIM. Na jednym z ostatnich spotkań widzieliśmy niepokojące dane, że już dziś w na jedną osobę może być zarejestrowanych tysiące kart SIM. Jak przejdziemy na e-SIMy, będzie to jeszcze łatwiejsze.  Zwykły konsument nie potrzebuje tysięcy kart SIM.

Oszustwa scamerów zaczynają się już na etapie reklam

Tylko jak to zmienić?

Lepszym adresatem tego pytania byłby np. Urząd Komunikacji Elektronicznej (UKE). Wydaje się, że tu jest pole do współpracy między naszymi instytucjami. Cały czas rozmawiamy o relacji banki-klienci, a przecież scamerzy korzystają z całej ekosystemu – od reklam, przez kontakt telefoniczny lub SMS aż do aplikacji bankowej, gdzie dokonywana jest transakcja. Można się zastanowić nad rozwiązaniami, które włączyłyby do systemu i telekomy, i platformy społecznościowe.

Czyli trzeba byłoby się zmierzyć z gigantami jak Meta.

Australijczykom się udało. To kraj, który od lat zmagał się z scamerami z Azji. Meta będzie tam nadzorowana właśnie przez mojego australijskiego odpowiednika. System w pełni ruszy w marcu 2027 roku. Na razie wiemy, że Meta przyjęła do wiadomości, że będzie uczestnikiem takiego systemu, ale dopiero okaże się, w jaki sposób się do tego dostosuje. Przyjęto zasadę, że klient mlnoże zgłosić roszczenie tam, gdzie został oszukany, czyli np. platformie społecznościowej, która przekaże je potem do AFCA. I to właśnie ten organ będzie to potem rozpatrywał. Wcześniej dochodziło do takich sytuacji, że platforma do momentu oficjalnego zgłoszenia potrafiła nadal udostępniać transakcję oszukańczą i pobierać za nią wyższe wynagrodzenie.

„Scamerzy nie działają w granicach prawa, nasza odpowiedź musi się w tych granicach mieścić”

Nie porywa się pan z motyką na słońce?

Nie dowiemy się, jeśli nie spróbujemy. Wszyscy wiemy, że takie rozmowy nie będą łatwe, jeśli w ogóle do nich dojdzie. W przeciwnym razie kapitulujemy i oddajemy pole scamerom. Cieszy mnie inicjatywa „150 proc.” [inicjatywa Rafała Brzoski, której celem jest ograniczenie oszustw na platformach społecznościowych – red.]. W listopadzie wspólnie z tym zespołem porozmawiamy, czy są jakieś wspólne punkty zaczepienia. Mam nadzieję, że podobnie podejdą do tego banki, bo w tym konkretnym obszarze sektor może liczyć na współpracę z Rzecznikiem Finansowym. Zresztą rozmawiamy o tym z ZBP i bankami przy wielu okazjach.

Jednocześnie powstał zespół parlamentarny posłów i senatorów, który chce podjąć tę problematykę. W ubiegłym piątek [23 października – red.] brałem udział w pierwszym posiedzeniu. Liczę więc na to, że ta koalicja podmiotów, które mają pomysły i wolę wprowadzenia odpowiednich rozwiązań, będzie coraz szersza. Scamerzy nie działają w granicach prawa, ale nasza odpowiedź musi być taką, która się w tych granicach mieści.

Uważam bowiem, że ten system powinien być tak stworzyć, że klient byłby zaopiekowany przez bank, ale bank zyskałby prawo regresu do telekomu lub platformy społecznościowej, gdyby zauważył, że problem leżał po ich stronie. Motywowałoby ono banki do tego, by nie kłócić się z klientem, ale zamiast tego przerzucić z klienta ciężar odpowiedzialności na podmioty profesjonalne. Z drugiej strony wymuszałoby to np. na platformach społecznościowych większą proaktywność w usuwaniu oszukańczych reklam.

Najlepsza opcja? Bank mający prawo do regresu

To jednak wymagałoby już inicjatywy legislacyjnej?

Oczywiście, taki regres musiałby mieć podstawę prawną.

W Singapurze 100 proc. kosztów ponosi bank, telekom lub klient, w zależności od tego, kto zawinił.

Ten system mi się nie podoba, bo nie byłby do końca zgodny z unijną dyrektywą PSD2 oraz rozporządzeniem PSR, gdzie to bank jest adresatem roszczenia ze strony klienta. Tutaj natomiast mamy sytuację, że klient jest odsyłany. System musi być „klientocentryczny”, to bank mu zwraca pieniądze, ale może potem sam dochodzić roszczeń np. od telekomu.

A inne rozwiązanie, z Wielkiej Brytanii, gdzie istnieje podział w kosztach między bankiem wysyłającym oszukańczy przelew a tym odbierającym?

To też wymagałoby ustawy, a dodatkowo pojawiłby się problem, co w sytuacji, gdy któryś z banków jest zagraniczny. Jeśli tak by było, klient dostałby pieniądze tylko od polskiego banku, a od tego zagranicznego byłoby trudniej. Takie rozwiązania mogłoby zadziałać, ale znów wracamy do regresu. Niech bank, w którym doszło do nieautoryzowanej transakcji, wypłaci całość środków, a potem niech się rozlicza z bankiem odbierającym przelew. Żaden model, w którym klient musiałby chodzić od Annasza do Kajfasza, nie zyska mojej akceptacji.

Kluczowe jest znalezienie dla projektu woli politycznej

Co jest największym wyzwaniem we wprowadzaniu takich przepisów?

Przekonanie tych podmiotów, by uczestniczyły w projekcie i znalezienie dla niego odpowiedniej woli politycznej. Sprawę utrudnia fakt, że mówimy o problemie globalnym, bo centra scamerów znajdują się także poza Polską. To znaczy, że nie będzie się dało zastosować wobec nich np. lokalnego prawa karnego. Jedynym rozwiązaniem jest zatem wypracowanie innych przepisów, czyli odpowiedzialności różnych podmiotów i zgłaszanie naruszeń do banków, które mają prawo do regresu, odpowiadającego kwocie wypłaconej klientowi.

Mówimy też o przepisach dotyczących autoryzacji reklam, tak aby wymusić sprawdzanie przez platformy, czy dany podmiot rzeczywiście może dane produkty reklamować. Przecież te platformy mają algorytmy, które mogą bez problemu wyłapać, że prezydent nie reklamuje raczej platformy inwestycyjnej, albo największa polska firma paliwowa nie promuje inwestycji w kryptoaktywa.

Proszę zauważyć, że w ustawie o kryptoaktywach był pomysł blokowania stron przez KNF bez trybu odwoławczego. Dlaczego tego rozwiązania nie można stosować wobec reklam na platformach społecznościowych, które umożliwiają scamerom działanie? Tylko że musiałaby być to siatka różnego rodzaju powiązań. Nie możemy powiedzieć, że jeden podmiot ma codziennie monitorować  Facebooka. Jeśli jednak na uzasadniony wniosek jednego z kilkunastu organów, np. policji, Rzecznika Finansowego, prokuratury, UKE można byłoby wzywać do natychmiastowego zablokowania strony czy reklamy, to moglibyśmy znacząco ograniczyć ten proceder. Nie wyeliminujemy w pełni fraudów, ale możemy maksymalnie utrudnić działanie oszustów.

Edukować trzeba nie tylko klientów, ale i bankowców

Zwłaszcza gdyby uzupełnić to kampanią edukacyjną. Będziecie tu podejmować jakieś kroki?

Widzimy olbrzymie pole do edukacji i podejmujemy je wspólnie np. z KNF, policją czy ZUS. Z drugiej strony edukować trzeba też policję oraz pracowników banków. Ci pierwsi muszą rozumieć jakie mechanizmy i techniki stosują przestępcy, a drudzy powinni być zdolni wykrywać sytuacje, gdy mają do czynienia ze zmanipulowanym klientem działającym pod presją czasu.

A czego trzeba nauczyć klientów? By sprawdzali wszystko dwa razy?

Odruchu bezpieczeństwa. Nie trzeba im robić wykładów, czym są transakcje nieautoryzowane i jak działają. Musimy się skupić, by ten odruch był automatyczny, tak samo, jak wyciąganie rąk do przodu w sytuacji przewracania się, albo cofania rąk po kontakcie z czymś gorącym. Gdy dzwoni do mnie bank z informacją po rzekomych podejrzanych transakcjach na moim koncie – rozłączam się i dzwonię sam na infolinię. Gdy dzwoni córka, syn albo ktoś, kto podaje się za ich znajomego, mówi, że są potrzebne pieniądze – rozłączam się i dzwonię do nich.

Obawiam się, że do wypracowania takiego odruchu nie wystarczą seminaria z policją i KNF, ale potrzebna jest duża długoterminowa kampania społeczna...

Takich kampanii jest wiele. Nie da się wejść do serwisu transakcyjnego banku, bez natrafienia na ostrzeżenie. Jednak nie przerzucajmy całej winy za rosnący problem oszustw w internecie na braki edukacji klientów. Cyberbezpieczeństwo to siatka naczyń połączonych. Równie ważne są działania banków na rzecz ograniczania możliwości wykonania podejrzanych transakcji oraz ograniczenie liczby oszukańczych materiałów na platformach społecznościowych.

Główne wnioski

1. Działania banków bez czekania na regulacje. Banki mogą od razu podnieść poziom bezpieczeństwa bez czekania na unijne rozporządzenie PSR. Wdrożenie przycisku „panic button”, limitów kwotowych czy weryfikacji połączenia telefonicznego skutecznie utrudni pracę oszustom. Sektor powinien postawić na ochronę klientów, odchodząc od priorytetu wygody i szybkości transakcji.
2. Triada odpowiedzialności i prawo regresu. Skuteczna walka z wyłudzeniami wymaga stworzenia triady współodpowiedzialności banków, telekomów i platform internetowych. Wzorując się na rozwiązaniach z Australii czy Wielkiej Brytanii, należy przyznać bankom prawo regresu do dostawców usług. Tylko tak zmusimy gigantów technologicznych do blokowania fałszywych reklam.
3. Mądra edukacja zamiast obwiniania ofiar. Niezbędna jest wyważona edukacja oparta na wyrabianiu nawyków bezpieczeństwa, a nie straszeniu. Obecna kampania ZBP, sugerująca, że klient sam się okradł, wpędza ofiary w poczucie winy i paraliżuje przed zgłoszeniem sprawy. Edukować trzeba też pracowników banków i policję, by lepiej rozumieli manipulacje scamerów.