Co zmienia jeden szczegół o oszustwach BLIK
W mediach najczęściej czytamy nagłówki „oszustwo na BLIK”. W rzeczywistości BLIK rzadko bywa źródłem oszustwa — niemal zawsze jest narzędziem, którego oszuści używają na końcu długiego łańcucha manipulacji. Tę różnicę dobrze ujął Jurand Drop, wiceminister finansów, w odpowiedzi na zapytanie parlamentarne: „Sformułowanie 'oszustwo na BLIKA’ jest uproszczeniem, które przerzuca odpowiedzialność z faktycznego źródła problemu, czyli podszywania się przez przestępców pod znajomych ofiar, na system płatności.”
Liczby, którymi otwieram tę analizę, pochodzą z dwóch źródeł — CERT Polska i Komendy Głównej Policji. W 2025 CERT Polska zarejestrował 658,3 tys. komunikatów o zagrożeniach i 260,8 tys. incydentów. Rok wcześniej takich incydentów było 2,5 razy mniej — wzrost o 152% rok do roku. W samym grudniu 2025 odnotowano 24,7 tys. incydentów, z czego 98% to oszustwa różnego rodzaju. Polska Policja w I półroczu 2025 prowadziła sprawy dotyczące prawie 52 tysięcy oszustw internetowych, znaczna część z nich obejmowała mechanizmy wyłudzania kodów BLIK i wykorzystanie deepfake.
Co z tego wynika dla osoby, która chce wpłacić w kasynie BLIKiem? Trzy rzeczy. Po pierwsze — system płatniczy BLIK sam w sobie jest bezpieczny, a faktyczne ryzyko leży gdzie indziej. Po drugie — kasyna są specyficznym wektorem ataku, używanym przez oszustów jako przykrywka. Po trzecie — większości ryzyk da się uniknąć, jeśli rozumie się mechanikę. Ten artykuł rozkłada każdą z tych trzech rzeczy na czynniki pierwsze, opierając się wyłącznie na liczbach z polskich rejestrów, nie na panicznych nagłówkach.
Architektura bezpieczeństwa BLIK
Zanim opowiem o oszustwach, muszę pokazać, dlaczego sam mechanizm BLIK jest pod względem bezpieczeństwa bardzo solidny. Patrzę na tę solidność z dwóch perspektyw — statystycznej i technicznej. Statystycznie — Związek Banków Polskich raportuje, że w I półroczu 2025 udział skarg na transakcje BLIK wynosił 0,0021% wszystkich transakcji. To jedna skarga na około 50 tysięcy transakcji. Dla porównania, dla kart płatniczych poziom skarg jest o rząd wielkości wyższy.
UOKiK przez ostatnie dwa lata otrzymał dokładnie 10 sygnałów dotyczących „oszustwa na BLIK” o łącznej wartości 13 268 zł. Dziesięć sygnałów. Trzynaście tysięcy złotych. To liczby, których nie zobaczysz w nagłówkach prasowych, bo nie generują kliknięć. Są jednak fundamentalne dla oceny realnego, a nie wyobrażanego, poziomu ryzyka systemu.
Technicznie BLIK ma trzy warstwy zabezpieczeń, które działają jednocześnie. Pierwsza — kod jednorazowy. Sześciocyfrowa wartość generowana w aplikacji bankowej, ważna 2 minuty, niemożliwa do powtórnego użycia. Jeśli kod zostanie wykorzystany lub upłynie czas, jest unieważniony bezpowrotnie. Druga warstwa — push notification. Każda transakcja musi zostać zatwierdzona w aplikacji bankowej, którą trzeba odblokować PIN-em, hasłem albo biometrią. Bez tego push nie zostanie zatwierdzony, a kod sam w sobie nie wystarczy do dokonania płatności. Trzecia warstwa — kontekst transakcji. Aplikacja bankowa pokazuje, do jakiego sprzedawcy ma trafić płatność i jaka jest jej kwota. To ostatnia szansa użytkownika na zauważenie, że coś jest nie tak.
Z perspektywy ataku to oznacza, że żeby przejąć cudze pieniądze, oszust nie potrzebuje „złamać BLIK”. On nie umie go złamać. Potrzebuje czegoś zupełnie innego — zmanipulować właściciela konta tak, żeby ten dobrowolnie wygenerował kod, podał go atakującemu, a następnie zatwierdził push notification, nie czytając, do kogo trafia kasa. To czysta socjotechnika, a nie atak kryptograficzny. I dlatego „oszustwo na BLIK” jest właściwie oszustwem na człowieka, w którym BLIK pełni rolę ostatniego zamka, którego ofiara sama otwiera.
Wniosek techniczny brzmi: jeśli kontrolujesz to, co dzieje się w twoim ekranie aplikacji bankowej w momencie autoryzacji, jesteś bezpieczny niezależnie od tego, ile kodów BLIK ktoś usiłuje ci wyłudzić. Każda manipulacja kończy się w momencie, w którym push pokaże nieznaną nazwę odbiorcy lub niezgodną kwotę. To dobre miejsce, żeby zacząć rozumieć, dlaczego mechanizm oszustwa zaczyna się od emocji, a nie od techniki.
Phishing pod BLIK w kontekście kasyn
40% — to udział Polaków, którzy w 2025 zetknęli się z próbą wyłudzenia kodu BLIK. Wzrost o 10 punktów procentowych rok do roku. Sam ten skok pokazuje, jak oszuści dostosowują się szybko. W tej sekcji rozłożę typowy schemat phishingu pod BLIK, ze szczególnym uwzględnieniem przypadków, w których przykrywką jest oferta kasyna online.
Mechanizm jest prosty i ma trzy fazy. Faza pierwsza — wabik. Ofiara dostaje wiadomość z reklamą bonusu w kasynie, „darmowego depozytu”, „promocji ekskluzywnej dla wybranych użytkowników”. Wiadomość ląduje na e-mailu, SMS-ie, Messengerze, Telegramie, czasem jako reklama w mediach społecznościowych. Treść wygląda profesjonalnie, grafika niekiedy jest ukradziona z autentycznej strony operatora. Często reklama nawiązuje do realnego operatora, którego oszuści po prostu podrabiają. Czasem to czysta fikcja.
Faza druga — przekierowanie. Klikając w link, ofiara trafia na stronę imitującą prawdziwe kasyno albo prawdziwy interfejs płatności BLIK. Strona ta najczęściej ma URL z drobnymi odchyleniami od oryginału: zamiana litery, dodatkowe słowo, inna końcówka domenowa. Polski rejestr blokad domen MF dodaje 700 takich domen miesięcznie. Co wskazuje, że to nie wpadka — to skala produkcji przemysłowej. Strona prosi o podanie kodu BLIK pod pretekstem aktywacji bonusu, weryfikacji konta, autoryzacji wpłaty.
Faza trzecia — autoryzacja. Tu zaczyna się klucz. Ofiara wpisuje kod, ale na ekranie pojawia się jednocześnie push notification w jej aplikacji bankowej. Push pokazuje rzeczywistego odbiorcę — najczęściej nazwisko osoby fizycznej, numer konta zupełnie niezwiązany z reklamowanym kasynem, albo nazwę firmy-podstawionego pośrednika. Tu kończy się 99% prób. Ofiary, które uważnie czytają, kończą atak. Te, które zatwierdzają push bez czytania, tracą pieniądze.
Polska Policja zarejestrowała w I półroczu 2025 prawie 52 tys. oszustw internetowych. Nie wszystkie dotyczą BLIK, ale udział wyłudzeń z kodem rośnie. CERT Polska podaje, że w grudniu 2025 oszustwa stanowiły 98% wszystkich incydentów cyberbezpieczeństwa. To bezprecedensowa koncentracja. Jeśli ktoś szuka jednej rzeczy, którą warto zrobić, żeby zmniejszyć ryzyko — odpowiedź brzmi: czytać tekst push notification przed zatwierdzeniem. Każdorazowo. Bez wyjątku.
Deepfake i podszywanie się
Nowy wektor ataku, który zyskał skalę w 2024 i ekspandował w 2025 — deepfake. Wykorzystanie generatywnej AI do tworzenia syntetycznych głosów i twarzy, wystarczająco realistycznych, żeby przekonać ofiarę. W kontekście BLIK i kasyn schemat działa w dwóch wariantach.
Wariant pierwszy — podszywanie się pod osobę zaufaną. Oszust dzwoni do ofiary i odgrywa głos jej syna, córki, męża lub partnera. Mówi, że stracił dostęp do konta, prosi o szybką pomoc, „zrób BLIK”. Sukces ataku polega na tym, że ofiara słyszy znajomy głos i wyłącza krytyczne myślenie. Wariant ten formalnie nie dotyczy kasyna — pieniądze trafiają na konto kontrolowane przez oszustów. Ale często ślad prowadzi przez kasyno online, bo tam najłatwiej „wyprać” otrzymane środki, kupując żetony i wymieniając je z powrotem.
Wariant drugi — podszywanie się pod znaną osobę. Oszust tworzy reklamę video z syntetycznym wizerunkiem celebryty, polityka czy znanego ekonomisty. Reklama promuje „wyłączną platformę inwestycyjną”, „nową okazję”, często powiązaną z kasynem online albo z platformą tradingową. Ofiara klikając zostaje przekierowana do interfejsu, który prosi o depozyt BLIK. Wszystko w tej sekwencji wygląda autentycznie, łącznie z głosem znanym z TV.
Wiceminister finansów ujął sedno problemu tak: „Sformułowanie 'oszustwo na BLIKA’ jest uproszczeniem, które przerzuca odpowiedzialność z faktycznego źródła problemu, czyli podszywania się przez przestępców pod znajomych ofiar, na system płatności.” Diagnoza jest celna. Deepfake i podszywanie się to nie problem BLIK, to problem zaufania społecznego w erze syntetycznych mediów. BLIK pełni rolę finałową — gdy ofiara już uwierzyła w fałszywą reprezentację, ktoś musi pobrać pieniądze, i to robi BLIK.
Praktyczna obrona przed tym wektorem jest behawioralna, nie techniczna. Pierwsza zasada — żaden członek rodziny, który prosi o pieniądze przez komunikator albo telefon, nie obraża się, gdy oddzwonisz na znany numer i dwie minuty potwierdzasz historię. Druga zasada — żadna inwestycja, której okazja istnieje „tylko teraz”, nie jest legalną propozycją inwestycyjną. Trzecia zasada — żaden polityk, celebryta ani ekonomista nie poleca platformy inwestycyjnej. To są dwa różne światy. Jeśli widzisz reklamę, w której ktoś znany promuje „okazję”, to deepfake. Bez wyjątku.
Kasyna jako przykrywka dla wyłudzeń
Jeden konkretny przypadek z 2025, który tłumaczy więcej niż dziesięć statystyk. W Poznaniu Centralne Biuro Zwalczania Cyberprzestępczości rozbiło grupę, która przez kilkanaście miesięcy wyłudziła ponad 3 mln zł od około 1 300 pokrzywdzonych osób. Schemat działania tej grupy jest podręcznikowy i pokazuje, dlaczego kasyna online są w mechanice oszustwa preferowaną przykrywką.
Grupa działała tak. Po pierwsze — uruchomiono kilkanaście stron udających kasyna online, każda z osobną domeną i osobną reklamą w mediach społecznościowych. Strony oferowały bonusy powitalne wyjątkowo szczodre, na tle rynku praktycznie nieosiągalne. Po drugie — pozyskiwano klientów reklamami targetowanymi, najczęściej kierowanymi na osoby, które wykazywały zainteresowanie hazardem w historii przeglądania. Po trzecie — gdy klient próbował zrobić depozyt BLIK, otrzymywał kod z prośbą o wpisanie. Po czwarte — pieniądze trafiały na konta pośredników, a klient widział na ekranie komunikat „depozyt w przetwarzaniu”. Konto kasyna nie istniało, bonusu nigdy nie było, pieniądze były już poza zasięgiem.
Dlaczego kasyno jako przykrywka działa tak dobrze? Bo wpłaty hazardowe są jedyną kategorią płatności online, w której losowe straty wydają się ofierze normalne. Jeśli kupisz buty na fałszywym sklepie internetowym i ich nie dostaniesz, to oszustwo. Jeśli wpłacisz 500 zł do kasyna i pieniądze „zniknęły”, to gracz często myśli, że przegrał — i nie zgłasza. Ta luka psychologiczna jest cenniejsza dla oszusta niż jakakolwiek technika hackingowa. Daje mu komfort, że około połowa ofiar nie zgłosi nawet do banku.
Drugi wektor tej samej kategorii — kasyna używane do prania pieniędzy uzyskanych z innych oszustw. Ofiara phishingu pod inną przykrywkę, np. fałszywa promocja Allegro, traci kasę. Trafia ona na konto pośrednika. Pośrednik przelewa ją do nielegalnego kasyna online, gdzie kupuje żetony. Żetony są obracane w grach z minimalnym ryzykiem, a wypłata trafia na inne konto, już „czyste”. W przypadku poznańskiej grupy część schematu zakładała właśnie taką wymianę.
Wniosek operacyjny — wpłacając BLIKiem do kasyna, oprócz pytania o legalność operatora pod kątem polskiego prawa, warto zadać sobie drugie pytanie. Czy ten operator istnieje rzeczywiście, czy to atrapa wygenerowana po to, żeby przejąć moje pieniądze? Dwa filtry, które pomagają — sprawdzenie domeny w rejestrze MF (każda nielegalna domena tam ląduje wcześniej czy później) oraz sprawdzenie wieku domeny w bezpłatnych narzędziach WHOIS. Strona starsza niż 5 lat z setkami opinii w niezależnych rejestrach to inna kategoria ryzyka niż domena zarejestrowana 6 tygodni temu.
Co mówią ZBP i UOKiK
Dwie liczby z polskich instytucji, które wyglądają tak nisko, że trudno je uwierzyć, dopóki nie spojrzy się na metodologię. ZBP — Związek Banków Polskich — podaje 0,0021% jako udział skarg dotyczących transakcji BLIK w I półroczu 2025. UOKiK przez ostatnie 2 lata otrzymał 10 sygnałów konsumenckich dotyczących „oszustwa na BLIK” o łącznej wartości 13 268 zł. To dane, których nie zobaczy się w bulwarówkach, bo są nudne.
Czemu liczby instytucjonalne są tak niskie, skoro media donoszą o tysiącach przypadków? Odpowiedź leży w klasyfikacji. ZBP rejestruje skargi zgłaszane bezpośrednio do banku, gdzie klient kwestionuje konkretną transakcję. UOKiK rejestruje sygnały zgłaszane jako zarzut wobec praktyki rynkowej operatora płatniczego. Jeśli ofiara phishingu sama wygenerowała kod i sama zatwierdziła push, formalnie nie ma podstaw do skargi na BLIK ani na bank — nie doszło do nieautoryzowanej transakcji w rozumieniu Dyrektywy PSD2. Doszło do oszustwa, w którym ofiara była stroną aktywną.
Stąd statystyka się rozjeżdża. Liczby Policji i CERT-u mówią o atakach, czyli sytuacjach, w których ktoś próbował lub udało mu się oszukać. Liczby ZBP i UOKiK mówią o przypadkach, w których obwinia się instytucję finansową. To dwie różne miary i obie są poprawne, każda dla swojego pytania.
Polityka ZBP w sprawie odpowiedzialności brzmi spójnie z resztą sektora bankowego — bank odpowiada za nieautoryzowane transakcje. Jeśli kod BLIK został przechwycony bez udziału klienta, np. w wyniku ataku na infrastrukturę banku albo udokumentowanej kradzieży tożsamości, środki są zwracane w trybie reklamacji. Jeśli klient sam zatwierdził push, sprawa idzie do oceny indywidualnej i najczęściej skutkuje odmową zwrotu, z uzasadnieniem rażącego niedbalstwa. Polskie sądy w sprawach BLIK trzymają się tej linii konsekwentnie od kilku lat.
Wniosek praktyczny — jeśli już doszło do wyłudzenia, ścieżka odzyskania pieniędzy zależy od tego, czy umiesz wykazać, że transakcja była nieautoryzowana. Sama klikalność push i wygenerowanie kodu po obu stronach drzwi nie kwalifikuje się jako nieautoryzowana operacja. To jest twarde i niezmienne. Dlatego cała filozofia obrony przed oszustwem BLIK musi zaczynać się przed transakcją, a nie po niej.
Co robić po wyłudzeniu BLIK
Jeśli już doszło do strat, kolejność działań w pierwszych 24 godzinach decyduje o tym, czy istnieje jakakolwiek szansa odzyskania środków. Pokażę protokół, który stosują profesjonalne biura konsumenckie, krok po kroku.
Krok pierwszy — bank. Natychmiast po zauważeniu strat zadzwoń na infolinię banku albo wejdź do aplikacji i zablokuj kanał płatniczy. Większość banków ma w aplikacji opcję „zablokuj BLIK”. Część również opcję „zablokuj kartę”. Im szybciej zostanie wstrzymana możliwość dalszych operacji, tym mniejsza szansa, że oszust pobierze kolejne kwoty. Zgłoś sytuację bankowi formalnie — wniosek o reklamację transakcji. Zachowaj numer zgłoszenia.
Krok drugi — policja. Złożenie zawiadomienia o popełnieniu przestępstwa należy zrobić w 24 godziny od zdarzenia. Najszybciej przez stronę policji.pl albo formularz online ePUAP. Można też udać się na komisariat osobiście. W zawiadomieniu opisz mechanizm — jak doszło do ataku, jakie wiadomości, jaki link, jakie dane. Im więcej szczegółów, tym większa szansa, że sprawa dołączy do śledztwa, które już się toczy. CBZC łączy sygnały z różnych miast, jeśli mają wspólny modus operandi.
Krok trzeci — CERT Polska. Zgłoszenie elektroniczne na incydent.cert.pl. Działa to równolegle do policji. CERT analizuje techniczne aspekty incydentu i wpisuje stronę phishingową do rejestrów blokad. To nie odzyskuje pieniędzy, ale chroni innych przed tym samym atakiem. Zajmuje 3 minuty.
Krok czwarty — operator telekomunikacyjny. Jeśli kanał ataku był SMS-owy lub głosowy, zgłoś sytuację swojemu operatorowi. Numery podszywające się pod znane firmy bywają blokowane operacyjnie w ciągu godzin. Operatorzy w Polsce mają od kilku lat obowiązek aktywnej współpracy z CERT-em.
Krok piąty — Rzecznik Finansowy. Jeśli bank odrzucił reklamację, masz prawo zwrócić się do Rzecznika Finansowego. Procedura jest bezpłatna, przebiega pisemnie, a jej skuteczność zależy od jakości udokumentowania sprawy. W przypadkach oczywistego niedopełnienia obowiązków przez bank — na przykład gdy bank widzi nietypowe transakcje i ich nie blokuje — Rzecznik często wymusza zwrot.
Pełne szczegóły dotyczące samego mechanizmu phishingowego znajdziesz w naszej osobnej, dedykowanej analizie phishingu BLIK w kasynach. Tam pokazuję na konkretnych przykładach, jak rozpoznawać nieautentyczne strony, fałszywe SMS-y i jak działa łańcuch instytucji w trakcie weryfikacji zgłoszenia. W tej sekcji dostajesz minimum operacyjne, w tamtej rozszerzone studium przypadków.
Znaki ostrzegawcze fałszywego kasyna
Po latach analizowania platform hazardowych mam mentalną listę kontrolną, którą można przejść w 3 minuty i która eliminuje 90% ryzyk. Pokażę ją w trzech grupach — domena, treść, technologia.
Grupa pierwsza — domena. Sprawdź wiek domeny w bezpłatnym narzędziu WHOIS. Domeny młodsze niż 12 miesięcy to silny sygnał ryzyka. Sprawdź, czy domena jest w rejestrze blokad Ministerstwa Finansów — rejestr zawiera dziś ponad 55 tysięcy wpisów i jest aktualizowany co 2 dni robocze. Jeśli operator twierdzi, że jest licencjonowany w Polsce, sprawdź jego nazwisko na liście podmiotów uprawnionych MF. Lista ta jest publicznie dostępna i krótka. W kategorii kasyn online figuruje na niej tylko jedno nazwisko.
Grupa druga — treść. Każde „ekskluzywne”, „tylko teraz”, „wyjątkowe” w reklamie podnosi flagę. Wiarygodne kasyna nie zachowują się jak agresywni dealerzy. Każda obietnica zysku gwarantowanego, każda obietnica „wygrasz na pewno” jest niezgodna z naturą hazardu — i niezgodna z polskim prawem reklamy hazardu. Ujęte poważnie — w polskim systemie reklama hazardu jest zakazana z drobnymi wyjątkami, więc każda strona, która agresywnie reklamuje się polskim graczom, formalnie łamie prawo niezależnie od reszty.
Grupa trzecia — technologia. Sprawdź certyfikat SSL strony, klikając kłódkę przy adresie. Jeśli certyfikat został wystawiony tydzień temu, ostrożność rośnie. Sprawdź, czy strona ma w stopce numery licencyjne — i sprawdź je w rejestrze właściwego regulatora. W praktyce 100% offshore kasyn, które obsługują polskich graczy, ma numery licencji Curacao (eGaming albo CGCB) albo Malty (MGA). Żaden z tych numerów nie ma jednak żadnej mocy prawnej w Polsce — to jest istotne rozróżnienie.
Czwarty filtr, którego używam zawodowo — opinie w niezależnych rejestrach. Nie chodzi mi o opinie Google ani reklamowane recenzje. Chodzi o fora typu Casino Guru, AskGamblers, ThePOGG, gdzie pojawiają się skargi graczy z całego świata. Jeśli operator istnieje od pięciu lat i ma sumarycznie 12 wpisów, z czego 8 to pochwały o tym samym tonie — to fałsz. Jeśli istnieje od dwóch lat i ma 800 wpisów, w tym setki konkretnych skarg z numerami spraw — to autentyczny operator, choćby kontrowersyjny.
Dobre praktyki gracza
Niemal wszystkie ryzyka opisane w tym artykule sprowadzają się do trzech zachowań — zachowań, które ofiary mają wspólne. Brak weryfikacji domeny, brak czytania push notification, brak limitów dziennych. W tej sekcji konkretne, krótkie zalecenia, których przestrzeganie eliminuje statystyczną większość scenariuszy strat.
Po pierwsze — limity. W aplikacji bankowej ustaw indywidualny dzienny limit BLIK na kwotę, którą rzeczywiście możesz przeznaczyć na rozrywkę bez konsekwencji. Domyślny limit (500-1000 zł, w niektórych bankach więcej) jest zwykle za wysoki dla codziennej kontroli budżetu. Limit indywidualny ustawiasz w 30 sekund i zmieniasz, gdy potrzeba. To pierwsza linia obrony, działająca niezależnie od twojej uwagi.
Po drugie — push. Każde push notification z prośbą o autoryzację BLIK czytaj uważnie. Nazwa odbiorcy, kwota, kontekst. Jeśli choć jeden szczegół nie zgadza się z tym, co właśnie robisz, anuluj i zacznij od nowa. Sekunda uważności kosztuje mniej niż tysiąc złotych, które inaczej znikną. Druga reguła ekstremalna — nigdy nie autoryzuj push, jeśli nie ty wygenerowałeś kod. Ktoś poprosił o BLIK przez telefon? Rozłącz i zadzwoń sam na znany numer.
Po trzecie — segregacja. Konto, z którego korzystasz w kasynach online, nie powinno być tym samym kontem, na które wpływa pensja. Większość banków pozwala otworzyć konto pomocnicze w aplikacji w 2 minuty. Trzymaj tam tylko kwotę zamierzoną do gry. To zarówno bariera bezpieczeństwa, jak i element odpowiedzialnej gry — fizycznie nie da się przegrać więcej, niż jest na koncie.