Oszustwo na zdalny pulpit lub telefon od fałszywego pracownika banku – zwrot pieniędzy

Czy bank powinien zwrócić pieniądze po oszustwie na zdalny pulpit lub fałszywego pracownika banku?

Tak, jeżeli doszło do nieautoryzowanej transakcji płatniczej. Zgodnie z art. 40 ustawy o usługach płatniczych transakcja jest autoryzowana wtedy, gdy płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie z bankiem. Nie wystarcza więc samo techniczne przejście procedury logowania albo uwierzytelnienia.

Ma to zasadnicze znaczenie przy oszustwach, w których przestępca podszywa się pod pracownika banku, informuje o rzekomym zagrożeniu rachunku i nakłania klienta do zainstalowania aplikacji pozwalającej na zdalne sterowanie komputerem lub telefonem. Jeżeli następnie oszust sam inicjuje przelewy, zmienia limity, dodaje odbiorców albo przejmuje aplikację bankową, klient może twierdzić, że nie wyraził zgody na te operacje.

Podobnie należy analizować inne przypadki pobrania pieniędzy z konta: rozstrzygające nie jest samo to, że system bankowy rozpoznał poprawne dane uwierzytelniające, lecz to, czy rzeczywiście istniała zgoda płatnika na konkretną transakcję.

Art. 45 ustawy o usługach płatniczych nakłada na dostawcę usług płatniczych ciężar udowodnienia, że transakcja została autoryzowana i prawidłowo zapisana. Ustawa wyraźnie stanowi również, że samo zarejestrowane użycie instrumentu płatniczego nie wystarcza do wykazania ani autoryzacji, ani umyślnego działania lub rażącego niedbalstwa klienta.

Trzy sytuacje, które trzeba od siebie odróżnić

Co się wydarzyło?	Znaczenie prawne
Oszust po przejęciu telefonu lub komputera sam wykonał przelew.	To typowy przypadek, w którym można powoływać się na brak zgody i nieautoryzowaną transakcję.
Klient wpisał kod lub zatwierdził komunikat, ponieważ oszust przekonał go, że blokuje zagrożenie, potwierdza tożsamość albo zabezpiecza rachunek.	Samo zatwierdzenie techniczne nie rozstrzyga sprawy. Trzeba ustalić, czy klient świadomie zgodził się na konkretną transakcję i co dokładnie pokazywał komunikat autoryzacyjny.
Klient sam wpisał numer rachunku, kwotę i świadomie wykonał przelew, ale zrobił to dlatego, że oszust przekonał go np. o konieczności przeniesienia środków na bezpieczne konto.	Spór jest trudniejszy. Bank może twierdzić, że transakcja została autoryzowana. Nadal trzeba jednak zbadać rzeczywistą treść zgody, sposób manipulacji, komunikaty banku i wszystkie okoliczności oszustwa.

Oznacza to, że odpowiedź nie może opierać się wyłącznie na informacji banku, że transakcja została wykonana z prawidłowego urządzenia albo potwierdzona prawidłowym kodem. Trzeba odtworzyć cały przebieg zdarzeń.

Autoryzacja to nie to samo co uwierzytelnienie

Uwierzytelnienie jest techniczną procedurą pozwalającą bankowi zweryfikować użytkownika lub użycie instrumentu płatniczego. Może polegać przykładowo na podaniu hasła, użyciu biometrii, kodu SMS albo zatwierdzeniu operacji w aplikacji.

Autoryzacja ma inny charakter: oznacza zgodę płatnika na wykonanie określonej transakcji. Dlatego sytuacja, w której przestępca wykorzystał przejęte dane uwierzytelniające albo zdalny dostęp do urządzenia, nie staje się automatycznie transakcją autoryzowaną tylko dlatego, że system bankowy nie wykrył nieprawidłowości technicznych.

Również wtedy, gdy klient sam wykonał pewną czynność techniczną, trzeba ustalić, na co faktycznie wyrażał zgodę. Rzecznik Finansowy zwracał uwagę w 2026 r. na prawomocne orzeczenia, w których sądy nie utożsamiały automatycznie wpisania kodu albo zatwierdzenia operacji z rzeczywistą świadomą zgodą na skutki działania wywołanego manipulacją oszusta.

Czy instalacja zdalnego pulpitu oznacza rażące niedbalstwo?

Nie automatycznie. Zgodnie z art. 46 ust. 3 ustawy o usługach płatniczych płatnik może ponosić pełną odpowiedzialność za nieautoryzowane transakcje, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia obowiązków dotyczących bezpiecznego korzystania z instrumentu płatniczego i ochrony danych uwierzytelniających.

Bank musi jednak wykazać okoliczności, z których ma wynikać rażące niedbalstwo. Nie wystarcza ogólne stwierdzenie: „klient podał kod”, „klient zainstalował aplikację” albo „transakcja została poprawnie uwierzytelniona”.

Przy ocenie mogą mieć znaczenie między innymi:

• jak przedstawiał się oszust i czy stosował spoofing numeru telefonu banku,
• czy klient otrzymał wcześniej wiarygodnie wyglądające komunikaty lub SMS-y,
• jaką historię przedstawił oszust i jak silna była presja czasu,
• czy bank wyświetlał jednoznaczne ostrzeżenie i czy wskazywało ono rzeczywistą kwotę oraz odbiorcę operacji,
• czy klient przekazał dane uwierzytelniające wprost oszustowi, czy oszust przechwycił je za pomocą zdalnego dostępu,
• czy na rachunku pojawiły się nietypowe operacje, zmiany limitów, nowe urządzenia albo nowi odbiorcy,
• czy bank zastosował mechanizmy bezpieczeństwa odpowiednie do ryzyka transakcji.

Inaczej ocenia się pojedyncze nieostrożne zachowanie, a inaczej oczywiste i poważne zignorowanie podstawowych zasad bezpieczeństwa. Rażące niedbalstwo jest kategorią dalej idącą niż zwykła nieuwaga.

Trzeba też odróżnić natychmiastowy obowiązek zwrotu od późniejszego sporu o ostateczne poniesienie straty. Aktualne stanowisko Rzecznika Finansowego i UOKiK zakłada, że samo powołanie się przez bank na możliwe rażące niedbalstwo nie powinno zastępować zwrotu przewidzianego w art. 46 ust. 1. Po dokonaniu zwrotu bank może dochodzić od klienta jego równowartości, jeżeli wykaże przesłanki odpowiedzialności klienta.

Jak szybko bank powinien oddać pieniądze?

Art. 46 ust. 1 ustawy o usługach płatniczych przewiduje zasadę D+1. Dostawca płatnika powinien zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca dnia roboczego następującego po dniu, w którym stwierdził taką transakcję albo otrzymał zgłoszenie od klienta.

Jeżeli klient korzysta z rachunku płatniczego, bank powinien przywrócić obciążony rachunek do stanu, jaki istniałby, gdyby nieautoryzowana transakcja nie miała miejsca.

Od tej reguły ustawa przewiduje istotny wyjątek: bank może nie dokonać natychmiastowego zwrotu, jeżeli ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony płatnika, oraz poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.

Nie należy mylić terminu zwrotu D+1 z terminem na rozpatrzenie reklamacji. Zgodnie z art. 15a ustawy o usługach płatniczych odpowiedź na reklamację dotyczącą usług płatniczych powinna zostać udzielona w ciągu 15 dni roboczych, a w szczególnie skomplikowanej sprawie termin może zostać wydłużony maksymalnie do 35 dni roboczych. Dłuższy termin na odpowiedź reklamacyjną nie oznacza automatycznie, że bank może przez tyle samo czasu wstrzymywać ustawowy zwrot nieautoryzowanej transakcji.

Czy klient zawsze odpowiada do równowartości 50 euro?

Nie. Limit z art. 46 ust. 2 ustawy nie jest uniwersalnym udziałem własnym pobieranym przy każdym oszustwie bankowym. Dotyczy wskazanych w ustawie przypadków nieautoryzowanych transakcji będących skutkiem użycia utraconego lub skradzionego instrumentu płatniczego albo jego przywłaszczenia, a ustawa przewiduje również wyjątki od tej odpowiedzialności.

Jeżeli bank nie wymagał silnego uwierzytelnienia użytkownika, art. 46 ust. 4a przewiduje dodatkową ochronę płatnika, chyba że działał on umyślnie. Ocena wymaga jednak sprawdzenia konkretnego sposobu wykonania transakcji.

Co zrobić natychmiast po wykryciu oszustwa?

1. Skontaktuj się z bankiem przez oficjalny kanał. Zablokuj dostęp do bankowości, karty, tokeny lub inne instrumenty, jeżeli mogły zostać przejęte. Jeżeli telefon nadal jest kontrolowany zdalnie, kontakt z bankiem wykonaj z innego urządzenia.
2. Zgłoś każdą nieautoryzowaną transakcję. Podaj datę, kwotę, odbiorcę i wyraźnie napisz, że nie wyraziłeś zgody na jej wykonanie, jeżeli rzeczywiście tak było.
3. Zażądaj zwrotu na podstawie art. 46 ustawy o usługach płatniczych. Wskaż, że oczekujesz przywrócenia rachunku do stanu sprzed nieautoryzowanej operacji.
4. Poproś o natychmiastową próbę zatrzymania lub odzyskania przelewu. Im szybciej bank otrzyma informację, tym większa szansa na techniczne zatrzymanie środków znajdujących się jeszcze w systemie bankowym. Mechanizm ten trzeba odróżnić od sytuacji, w której chodzi o zwrot błędnie wykonanego przelewu.
5. Zawiadom Policję lub prokuraturę. Przekaż historię kontaktu z oszustem, numery telefonów, dane rachunków, potwierdzenia przelewów i informacje o zainstalowanej aplikacji zdalnego dostępu.
6. Zabezpiecz dowody. Nie kasuj wiadomości, historii połączeń, e-maili ani komunikatorów przed wykonaniem kopii. Zapisz nazwy aplikacji, daty instalacji i możliwe godziny zdalnego połączenia.
7. Zabezpiecz urządzenia i dane dostępowe. Usuń zdalny dostęp, zmień hasła z bezpiecznego urządzenia i sprawdź, czy oszust nie uzyskał dostępu również do poczty elektronicznej, kont społecznościowych lub innych usług.

Jeżeli oszust nakłonił Cię również do kolejnych płatności albo korzystał z fałszywych stron i komunikatorów, pomocne może być szersze omówienie, jak reagować na oszustwo internetowe.

Co powinna zawierać reklamacja do banku?

Reklamacja powinna przede wszystkim umożliwić odtworzenie przebiegu zdarzeń. Nie ograniczaj jej do jednego zdania, że zostałeś oszukany. Opisz kolejno, kto się z Tobą kontaktował, za kogo się podawał, do jakich czynności Cię nakłonił i które operacje zostały wykonane bez Twojej zgody.

W reklamacji warto wskazać:

• numery i daty kwestionowanych transakcji,
• kwoty i odbiorców przelewów,
• moment, w którym dowiedziałeś się o utracie środków,
• czy instalowałeś program do zdalnej obsługi i na czyje polecenie,
• czy wpisywałeś kody lub zatwierdzałeś komunikaty oraz co – według informacji przekazanej przez oszusta – miała oznaczać dana czynność,
• czy sam wpisywałeś numer rachunku i kwotę przelewu,
• czy oszust sterował urządzeniem,
• kiedy zgłosiłeś sprawę bankowi i organom ścigania.

Żądanie może obejmować zwrot kwoty nieautoryzowanych transakcji i przywrócenie rachunku do stanu sprzed ich wykonania. Warto powołać się na art. 40, art. 45 i art. 46 ustawy o usługach płatniczych.

Jeżeli bank twierdzi, że transakcja została autoryzowana, można zażądać przedstawienia podstaw tego twierdzenia, w szczególności informacji pozwalających ustalić:

• sposób uwierzytelnienia każdej operacji,
• czas logowania i wykonania transakcji,
• urządzenie lub kanał użyty do wykonania operacji,
• treść komunikatu prezentowanego klientowi przy zatwierdzaniu transakcji,
• informację o ewentualnym dodaniu nowego odbiorcy, zmianie limitów lub rejestracji nowego urządzenia,
• jakie mechanizmy antyfraudowe zadziałały i czy bank kontaktował się z klientem w związku z nietypową aktywnością.

Co zrobić, jeżeli bank odmawia zwrotu?

Najpierw trzeba ustalić, dlaczego bank odmówił. Najczęściej pojawiają się cztery argumenty:

• bank uznaje, że klient sam autoryzował transakcję,
• bank powołuje się na rażące niedbalstwo klienta,
• bank twierdzi, że zgłoszenie nastąpiło za późno,
• bank utrzymuje, że istnieją przesłanki do podejrzenia oszustwa ze strony samego klienta.

Każda z tych podstaw wymaga innej odpowiedzi. Jeżeli bank ogranicza uzasadnienie do informacji, że użyto prawidłowego kodu, hasła lub aplikacji, trzeba odwołać się do art. 45 ust. 2 ustawy: zarejestrowane użycie instrumentu płatniczego samo w sobie nie wystarcza do udowodnienia autoryzacji ani rażącego niedbalstwa.

Po wyczerpaniu drogi reklamacyjnej klient może zwrócić się do Rzecznika Finansowego z wnioskiem o podjęcie interwencji. Możliwe jest także pozasądowe postępowanie mające na celu rozwiązanie sporu z podmiotem rynku finansowego.

Jeżeli sporu nie uda się zakończyć polubownie, pozostaje droga sądowa. W procesie przeciwko bankowi analizuje się nie tylko zapis techniczny transakcji, ale także cały proces autoryzacji, sposób działania oszustów, zachowanie klienta oraz dowody przedstawione przez bank. Art. 45 ustawy ma w takim sporze duże znaczenie, ponieważ to na dostawcy spoczywa ciężar wykazania wskazanych w tym przepisie okoliczności.

Zawiadomienie UOKiK może mieć znaczenie, gdy problem wynika z szerszej praktyki stosowanej przez bank wobec konsumentów, jednak UOKiK nie zastępuje sądu ani postępowania prowadzonego w indywidualnej sprawie o zapłatę konkretnej kwoty.

Terminy: 13 miesięcy, D+1 oraz 15 i 35 dni roboczych

W tych sprawach funkcjonuje kilka różnych terminów, których nie należy ze sobą utożsamiać.

• Niezwłocznie po wykryciu transakcji – klient ma obowiązek zawiadomić dostawcę o stwierdzonej nieautoryzowanej transakcji.
• 13 miesięcy – jeżeli użytkownik nie powiadomi dostawcy w tym terminie liczonym zasadniczo od obciążenia rachunku, jego roszczenia wobec dostawcy z tytułu nieautoryzowanej transakcji wygasają. Nie jest to zwykły termin przedawnienia, lecz ustawowe wygaśnięcie roszczenia przewidziane w art. 44 ustawy.
• Do końca następnego dnia roboczego – zasadniczy termin zwrotu nieautoryzowanej transakcji określony w art. 46 ust. 1.
• 15 dni roboczych – podstawowy termin na odpowiedź banku na reklamację dotyczącą usług płatniczych.
• 35 dni roboczych – maksymalny termin odpowiedzi w szczególnie skomplikowanym przypadku, jeżeli bank spełni wymogi dotyczące poinformowania klienta o przyczynach opóźnienia.

Inne roszczenia, które mogą powstać obok roszczenia o zwrot nieautoryzowanej transakcji – np. roszczenia kontraktowe lub odszkodowawcze – mogą podlegać odrębnym terminom przedawnienia. Nie należy więc automatycznie przenosić terminu 13 miesięcy na każdy możliwy spór związany z oszustwem bankowym.

Co w sytuacji, gdy klient sam wykonał przelew na „bezpieczne konto”?

To jedna z najtrudniejszych sytuacji. Oszust przekonuje ofiarę, że dzwoni z działu bezpieczeństwa banku, a pieniądze są zagrożone. Następnie poleca przelać środki na wskazany rachunek albo wykonać serię czynności rzekomo zabezpieczających konto.

Jeżeli klient świadomie wpisał kwotę i numer rachunku oraz wiedział, że zatwierdza przelew, bank może argumentować, że transakcja została autoryzowana, mimo że decyzja o jej wykonaniu została wywołana oszustwem. Wtedy zastosowanie prostego mechanizmu zwrotu dla nieautoryzowanej transakcji może być sporne.

Nie oznacza to jednak, że każdy taki przypadek jest przesądzony na korzyść banku. Trzeba zbadać rzeczywistą świadomość klienta, treść komunikatu autoryzacyjnego, zachowanie oszusta, ostrzeżenia banku oraz to, czy klient rozumiał, jaką operację zatwierdza. Rzecznik Finansowy w 2026 r. zwracał uwagę na orzeczenia, w których sądy szczegółowo badały, czy wykonanie określonej czynności technicznej rzeczywiście oznaczało świadomą zgodę na transakcję.

Jakie znaczenie ma zawiadomienie Policji lub prokuratury?

Zawiadomienie organów ścigania nie zastępuje reklamacji do banku. Są to dwa odrębne tory działania: postępowanie karne dotyczy przestępstwa i sprawcy, natomiast żądanie zwrotu nieautoryzowanej transakcji kierowane jest do dostawcy usług płatniczych na podstawie ustawy o usługach płatniczych.

Nie trzeba czekać na zakończenie postępowania karnego, aby złożyć reklamację do banku. Zawiadomienie warto jednak złożyć jak najszybciej, ponieważ może ułatwić zabezpieczenie rachunków, danych telekomunikacyjnych, materiałów bankowych lub innych dowodów.

Do zawiadomienia należy dołączyć lub wskazać w szczególności potwierdzenia przelewów, numery rachunków odbiorców, numer telefonu oszusta, historię komunikacji, informacje o aplikacji do zdalnego dostępu oraz potwierdzenie zgłoszenia bankowi.

Najczęstsze pytania

Czy bank może odmówić zwrotu tylko dlatego, że podałem oszustowi kod SMS?

Nie powinien opierać odmowy wyłącznie na tym fakcie. Samo zarejestrowane użycie instrumentu płatniczego lub prawidłowe uwierzytelnienie nie dowodzi jeszcze autoryzacji ani rażącego niedbalstwa. Trzeba ustalić między innymi, co klient wiedział o operacji i jaka była treść komunikatu zawierającego kod.

Czy zainstalowanie AnyDesk, TeamViewer lub podobnej aplikacji przekreśla możliwość odzyskania pieniędzy?

Nie. Może być istotnym elementem oceny zachowania klienta, ale nie tworzy automatycznego domniemania rażącego niedbalstwa. Znaczenie ma cały sposób działania oszusta i to, czy aplikacja została przedstawiona jako narzędzie rzekomo wymagane przez bank do ochrony rachunku.

Czy bank może powiedzieć, że poczeka 15 albo 35 dni z oddaniem pieniędzy?

Termin na rozpatrzenie reklamacji jest czym innym niż przewidziany w art. 46 ust. 1 termin zwrotu kwoty nieautoryzowanej transakcji. Jeżeli zachodzą przesłanki tego przepisu, zwrot co do zasady powinien nastąpić najpóźniej do końca następnego dnia roboczego.

Czy muszę najpierw zgłosić sprawę na Policję, aby bank przyjął reklamację?

Nie jest to ustawowy warunek zgłoszenia bankowi nieautoryzowanej transakcji. Zawiadomienie organów ścigania jest jednak zdecydowanie wskazane i może dostarczyć ważnych dowodów. Nie należy czekać z reklamacją do czasu zakończenia postępowania karnego.

Co zrobić, gdy oszust zaciągnął również kredyt lub pożyczkę?

Wtedy trzeba oddzielnie zbadać skuteczność zawarcia umowy kredytowej lub pożyczkowej oraz transakcje, za pomocą których pieniądze zostały wyprowadzone. Są to powiązane, ale nie zawsze tożsame problemy prawne. Samo stwierdzenie, że oszust dostał się do bankowości, nie rozstrzyga automatycznie o skuteczności umowy kredytowej.

Czy po 13 miesiącach można jeszcze żądać od banku zwrotu nieautoryzowanej transakcji?

Art. 44 ustawy przewiduje co do zasady wygaśnięcie roszczeń z tytułu nieautoryzowanej transakcji, jeżeli użytkownik nie powiadomi dostawcy w ciągu 13 miesięcy od obciążenia rachunku. Ustawa przewiduje wyjątek, gdy dostawca nie udostępnił wymaganej informacji o transakcji. Inne podstawy odpowiedzialności mogą podlegać odrębnej ocenie.

Źródła

• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, tekst jednolity: Dz.U. z 2026 r. poz. 623, w szczególności art. 15a, art. 40, art. 42 oraz art. 44–46 – ELI – Dziennik Ustaw.
• Rzecznik Finansowy, „Transakcje nieautoryzowane” – materiał informacyjny RF.
• Rzecznik Finansowy, „Nie każdy klik oznacza zgodę. Sądy stają po stronie klientów”, 22 września 2026 r. – informacja RF.
• UOKiK, „Nieautoryzowane transakcje płatnicze: cztery banki zmieniają praktyki po decyzjach Prezesa UOKiK”, 7 września 2026 r. – komunikat UOKiK.