Sprzedający z ogłoszenia prosi o numer konta, pracodawca chce dane do wypłaty, a chwilę później w głowie pojawia się proste pytanie: czy to na pewno bezpieczne? W praktyce sam numer rachunku rzadko jest problemem — problem zaczyna się wtedy, gdy trafia w zły kontekst, razem z innymi danymi albo przy presji „trzeba kliknąć teraz”. Poniżej rozpisane są realne ryzyka, typowe scenariusze oszustw i granica między zwykłym udostępnieniem numeru a niepotrzebnym wystawieniem się na straty. To pomaga odróżnić sytuacje normalne od tych, w których warto od razu zapalić czerwoną lampkę.
Czy podawanie numeru konta jest bezpieczne? Tak, ale tylko w konkretnym zakresie
Sam numer rachunku nie wystarcza do kradzieży środków zwykłym przelewem. To najważniejszy punkt, bo wokół niego narosło sporo nieporozumień. W polskich bankach standardowy numer rachunku to NRB, czyli 26 cyfr. W wersji międzynarodowej działa jako IBAN: dla Polski to PL + 26 cyfr. Taki numer służy przede wszystkim do przyjmowania przelewów.
Z perspektywy technicznej numer konta jest bardziej adresem niż kluczem dostępu. Tak działa system Elixir obsługiwany przez KIR i analogiczne systemy przelewów w bankach. Żeby z rachunku zeszły pieniądze, potrzebne jest uwierzytelnienie po stronie właściciela konta: login, hasło, aplikacja mobilna, SMS autoryzacyjny albo inna metoda stosowana przez bank, np. PKO BP, mBank, Santander Bank Polska czy ING Bank Śląski.
Podanie samego numeru rachunku oznacza zwykle możliwość wysłania pieniędzy na konto, a nie wypłacenia ich z konta.
To jednak nie znaczy, że numer rachunku jest danymi „zupełnie obojętnymi”. Po pierwsze, w relacji biznesowej numer konta pozwala identyfikować płatności i łączyć je z konkretną osobą lub firmą. Po drugie, oszuści często używają go jako elementu budowania wiarygodności: „przecież podał numer konta, więc jest prawdziwy”. Po trzecie, ten numer nabiera znaczenia dopiero w pakiecie z innymi informacjami — imię i nazwisko, adres, PESEL, skan dowodu, login do banku, kod BLIK, dane karty.
Gdzie naprawdę zaczyna się ryzyko po podaniu numeru konta
Największe straty powoduje nie sam numer rachunku, tylko socjotechnika. Oszust nie musi „włamać się” na konto przez 26 cyfr. Znacznie częściej przekonuje ofiarę, by sama potwierdziła przelew, podała kod lub zalogowała się na fałszywej stronie.
Fałszywe dopłaty, odbiory przesyłek i linki do „potwierdzenia płatności”
To częsty scenariusz z serwisów ogłoszeniowych i komunikatorów. Ktoś prosi o numer konta, po czym wysyła link rzekomo z OLX, Vinted, InPost albo „banku”, żeby odebrać pieniądze. W rzeczywistości link prowadzi do phishingu: strony wyłudzającej login, hasło, dane karty albo kod BLIK. Samo wpisanie numeru rachunku nie robi szkody. Szkodę robi wejście dalej w ten scenariusz.
Podobnie działają wiadomości o „dopłacie 1,23 zł do przesyłki” czy „zwrocie 49 zł za nadpłatę”. Kwoty są małe, więc obniżają czujność. CERT Polska regularnie ostrzega właśnie przed takimi kampaniami SMS i e-mailowymi, a podejrzane wiadomości SMS można zgłaszać na numer 8080.
Fałszywa zmiana rachunku na fakturze
Drugi poważny problem dotyczy firm. Jeśli przestępca podszyje się pod kontrahenta i wyśle informację: „zmienił się numer konta do płatności”, odbiorca przelewu może wysłać pieniądze na rachunek oszusta. To nie jest atak na konto płatnika, tylko przejęcie płatności w obrocie gospodarczym. Przy większych kwotach skutki są dużo poważniejsze niż w oszustwach konsumenckich.
W Polsce dodatkowym filtrem bezpieczeństwa jest biała lista VAT prowadzona przez Krajową Administrację Skarbową. Przy przelewach między firmami, zwłaszcza powyżej 15 000 zł, sprawdzenie rachunku kontrahenta ma znaczenie nie tylko praktyczne, ale i podatkowe.
Zwykły użytkownik też powinien zwracać uwagę na kontekst. Jeśli ktoś prosi wyłącznie o numer konta do zwrotu lub wypłaty — to standard. Jeśli po chwili pojawia się prośba o kod z SMS, dane karty albo logowanie przez podesłany link — to jest właśnie moment, w którym bezpieczna sytuacja zamienia się w niebezpieczną.
Numer konta, karta, BLIK, PESEL — czego nie mylić i czego nie łączyć
Numeru konta nigdy nie powinno się wysyłać razem ze skanem dowodu osobistego i danymi logowania do banku. Problemem nie jest pojedyncza informacja, tylko zestaw, z którego da się zbudować podszycie, wniosek kredytowy albo skuteczną próbę wyłudzenia.
| Dane | Format / ważność | Do czego wystarczą same w sobie | Czego same nie umożliwiają | Kiedy podawać |
|---|---|---|---|---|
| Numer rachunku (NRB/IBAN) | 26 cyfr / PL + 26 cyfr | Przyjęcie przelewu, identyfikacja rachunku | Logowania do banku, autoryzacji wypłaty z konta | Pracodawcy, klientowi, kontrahentowi, do zwrotu pieniędzy |
| Numer karty płatniczej | Zwykle 16 cyfr + data ważności | Płatności kartą w części sklepów internetowych | Pełnej autoryzacji bez dodatkowych zabezpieczeń 3-D Secure | Tylko w zaufanych bramkach płatniczych, np. PayU, Przelewy24, Stripe |
| Kod BLIK | 6 cyfr, ważny około 2 minut | Natychmiastową transakcję po zatwierdzeniu w aplikacji | Stałego dostępu do konta | Tylko gdy samodzielnie inicjuje się płatność lub wypłatę |
| PESEL + skan dowodu | 11 cyfr + dokument ze zdjęciem | Podszycie, próby wyłudzeń, zakładanie usług na cudze dane | Automatycznego przelewu z konta bez autoryzacji | Wyłącznie gdy istnieje wyraźna podstawa prawna i zaufany odbiorca |
Z tej perspektywy widać najważniejszą różnicę: numer konta jest relatywnie mało wrażliwy, ale dane karty, kody BLIK i dokumenty to już zupełnie inna liga ryzyka. Wiele osób wrzuca to do jednego worka „dane bankowe”, a to błąd. Ten błąd wykorzystują oszuści, mieszając pojęcia i tworząc presję: „do wypłaty pieniędzy potrzebny jest kod BLIK”. Nie jest.
- Do otrzymania przelewu wystarczy zwykle numer rachunku, czasem także imię i nazwisko.
- Do płatności kartą nie podaje się numeru konta, tylko dane karty w certyfikowanej bramce.
- Do „odbioru pieniędzy” od kupującego nie podaje się kodu BLIK.
Komu podawać numer konta, a kiedy ograniczyć zakres danych
W relacjach oficjalnych numer rachunku podaje się normalnie; w relacjach przypadkowych podaje się tylko tyle, ile konieczne. To rozróżnienie porządkuje większość wątpliwości.
Pracodawca, urząd skarbowy, ZUS, uczelnia czy legalny sklep internetowy działają w przewidywalnym modelu. Tam numer konta jest zwykłym narzędziem do wypłaty pensji, zwrotu podatku albo refundacji. Ryzyko nie znika całkowicie, ale jest inne: dotyczy raczej jakości procedur po stronie instytucji niż samego faktu przekazania rachunku.
W sprzedaży prywatnej przez ogłoszenia warto zachować minimalizm. Jeśli ktoś kupuje przedmiot za 120 zł, nie potrzebuje zdjęcia dowodu, adresu zameldowania ani danych karty. Wystarczy numer rachunku lub bezpieczna płatność w ramach platformy. Im bardziej druga strona chce „więcej danych niż potrzeba”, tym bardziej trzeba zwolnić.
W działalności gospodarczej dochodzi jeszcze kwestia weryfikacji. Przy fakturach, zwłaszcza na wyższe kwoty, warto porównać numer rachunku z wcześniejszymi dokumentami i sprawdzić go na białej liście VAT. Jeden telefon na znany wcześniej numer kontrahenta bywa tańszy niż strata 15 000 zł lub 50 000 zł po przelewie na podmienione konto.
Jeśli do przekazania pieniędzy ktoś żąda więcej niż numeru rachunku, najczęściej nie chodzi już o przelew, tylko o próbę przejęcia czegoś cenniejszego.
Co zrobić, gdy numer konta trafił do oszusta albo przelew poszedł na zły rachunek
Po wykryciu oszustwa liczą się minuty, nie dni. Jeśli podany został tylko numer konta, zwykle nie ma powodu do paniki. Warto jednak zachować czujność na phishing, fałszywe faktury i próby kontaktu podszywające się pod bank.
Jeśli oprócz numeru rachunku przekazane zostały też dane logowania, kody SMS, kod BLIK albo dane karty, potrzebna jest natychmiastowa reakcja:
- Skontaktować się z bankiem i zablokować dostęp lub kartę.
- Zmienić hasło do bankowości i powiązanego e-maila.
- Zgłosić incydent do CERT Polska — np. podejrzany SMS na 8080.
- Przy podejrzeniu przestępstwa złożyć zawiadomienie na policji.
Przy przelewie wysłanym na zły rachunek sprawa wygląda inaczej niż wielu osobom się wydaje. Bank nie „cofa” automatycznie przelewów tylko dlatego, że nadawca się rozmyślił. Istnieje jednak procedura dochodzenia zwrotu omyłkowo wysłanych środków wynikająca z ustawy o usługach płatniczych. W praktyce trzeba jak najszybciej zgłosić sprawę w swoim banku. Przy przelewach natychmiastowych, np. Express Elixir, czasu jest jeszcze mniej, bo pieniądze docierają niemal od razu.
Dobrym ruchem po incydencie z danymi osobowymi jest także zastrzeżenie numeru PESEL, jeśli istnieje ryzyko wyłudzenia. Od 1 czerwca 2024 instytucje finansowe mają obowiązek weryfikować zastrzeżenie PESEL przy wielu operacjach kredytowych, co realnie ogranicza skutki kradzieży tożsamości.
Najczęstsze pytania
Czy ktoś może wypłacić pieniądze z konta, mając tylko numer rachunku?
Nie, sam numer rachunku nie daje dostępu do środków. Do wykonania przelewu wychodzącego potrzebna jest autoryzacja w banku lub inny mechanizm zatwierdzający transakcję.
Czy podanie numeru konta kupującemu na OLX jest bezpieczne?
Samo podanie numeru konta do zwykłego przelewu jest co do zasady bezpieczne. Niebezpieczne staje się dopiero klikanie w linki do „odbioru płatności” i podawanie kodów BLIK, danych karty albo logowania do banku.
Czy numer konta to to samo co dane karty płatniczej?
Nie. Numer konta służy do przelewów, a numer karty do płatności kartowych. To dwa różne zestawy danych i dwa różne poziomy ryzyka.
Czy do zwrotu pieniędzy trzeba podawać PESEL albo zdjęcie dowodu?
W typowej sytuacji nie. Do zwrotu środków wystarcza zwykle numer rachunku i dane identyfikujące odbiorcę, a żądanie skanu dowodu przy drobnej transakcji powinno budzić ostrożność.
Co zrobić, jeśli przez pomyłkę wysłano przelew na zły numer konta?
Trzeba od razu zgłosić to w swoim banku. Bank uruchomi procedurę przewidzianą w ustawie o usługach płatniczych, ale skuteczność i tempo odzyskania środków zależą od tego, jak szybko sprawa została zgłoszona i jaki typ przelewu został użyty.