Oszuści podszywający się pod pracowników banków, brokerów i doradców inwestycyjnych potrafią przejąć dostęp do bankowości elektronicznej, zlecić przelew, a nawet doprowadzić do zaciągnięcia kredytu. Z analizy prawomocnych spraw z udziałem Rzecznika Finansowego wynika, że sądy nie poprzestają na pytaniu, czy klient wpisał kod SMS albo zatwierdził operację w aplikacji. Badają również, czy rzeczywiście chciał zawrzeć umowę, czy działał pod wpływem manipulacji i czy bank odpowiednio zareagował na nietypowe zdarzenia na rachunku.

Rzecznik Finansowy opublikował analizę prawomocnych orzeczeń sądowych wydanych w latach 2023-2025 w sprawach dotyczących nieautoryzowanych transakcji płatniczych oraz tzw. kredytów "na klik". Opracowanie obejmuje sprawy, w których Rzecznik przystąpił do postępowania sądowego po stronie klienta albo sam wytoczył powództwo na jego rzecz.

Zestawienie obejmuje dziewięć zakończonych spraw. Siedem z nich zakończyło się prawomocnymi wyrokami, a dwie ugodami. Sześć dotyczyło kredytów "na klik", dwie nieautoryzowanych transakcji, a jedna łączyła oba problemy. Według analizy Rzecznika wszystkie rozstrzygnięcia lub ugody były korzystne dla klientów.

Kod SMS to jeszcze nie zawsze zgoda na kredyt

Jednym z najważniejszych wniosków płynących z analizy jest rozróżnienie pomiędzy technicznym wykonaniem określonej czynności w bankowości elektronicznej a rzeczywistą wolą zawarcia umowy.

Sądy wskazywały, że samo wpisanie kodu autoryzacyjnego, zatwierdzenie operacji w aplikacji mobilnej czy prawidłowe przejście procedury bankowej nie musi jeszcze oznaczać, że klient skutecznie złożył oświadczenie woli o zaciągnięciu kredytu.

Znaczenie ma to, czy klient miał świadomość, że podejmowane przez niego czynności prowadzą do zawarcia umowy oraz czy rzeczywiście zamierzał się zadłużyć.

Dobrze pokazuje to sprawa rozpoznana przez Sąd Rejonowy w Lublińcu, sygn. akt I C 167/23.

Do 71-letniego klienta zadzwonili przestępcy podszywający się pod doradców inwestycyjnych. W toku oszustwa doprowadzili do zawarcia w jego bankowości elektronicznej umowy pożyczki. Bezpośrednio po wypłacie pieniędzy dokonano nieautoryzowanych transakcji na rachunek osoby, której senior nie znał.

Bank wypowiedział umowę i zażądał od klienta blisko 40 tys. zł wraz z odsetkami.

Sąd oddalił jednak powództwo banku. Uznał, że umowa została zawarta w wyniku działań przestępczych osób trzecich, bez wiedzy i woli klienta. Samo przesłanie kodów SMS oraz ich wykorzystanie nie oznaczało jeszcze, że to klient złożył oświadczenie woli o zawarciu umowy.

Sąd stwierdził, że nie doszło do skutecznego złożenia oświadczenia woli w rozumieniu art. 60 Kodeksu cywilnego, a umowa pożyczki nie była dla klienta ważna ani skuteczna.

Trzy pożyczki na 114 tys. zł po zainstalowaniu zdalnego pulpitu

Jeszcze większych kwot dotyczyła sprawa rozpoznana przez Sąd Okręgowy w Katowicach, sygn. akt I C 1255/22.

Oszuści podszyli się pod pracownika departamentu bezpieczeństwa banku. Przekonali klienta, że konieczne jest przeprowadzenie procedury anulowania pożyczek rzekomo zaciągniętych na jego dane.

W tym celu nakłonili go do zainstalowania aplikacji umożliwiającej zdalne sterowanie komputerem. Dzięki temu przestępcy uzyskali możliwość wykonywania operacji bankowych bez jego wiedzy.

Efektem były trzy pożyczki na łączną kwotę 114 tys. zł.

Sąd ustalił, że pomiędzy klientem a bankiem nie istnieją trzy sporne umowy pożyczek. Dodatkowo zasądził od banku na rzecz klienta 44 590,04 zł tytułem świadczeń pobranych w związku z tymi umowami.

Sąd uznał, że klient nie złożył świadomego oświadczenia woli, a czynności na jego rachunku zostały dokonane przez osoby trzecie bez jego zgody.

Dał się oszukać. Czy to oznacza rażące niedbalstwo?

To drugi bardzo ważny problem pojawiający się w sporach klientów z bankami.

Banki, odmawiając zwrotu pieniędzy utraconych w wyniku oszustwa, często powołują się na rażące niedbalstwo klienta.

Argument może wydawać się prosty: klient sam zainstalował program, kliknął w link, podał określone dane albo wykonywał instrukcje osoby, z którą rozmawiał.

Z analizy Rzecznika Finansowego wynika jednak, że samo wykonanie takich czynności nie przesądza automatycznie o rażącym niedbalstwie.

Sądy badają konkretną sytuację, w tym wiek klienta, jego doświadczenie w korzystaniu z bankowości elektronicznej, wcześniejszy sposób korzystania z rachunku oraz skalę i charakter manipulacji zastosowanej przez sprawców.

Senior zainstalował AnyDesk i stracił ponad 107 tys. zł

Jedna z takich spraw została rozpoznana w pierwszej instancji przez Sąd Okręgowy w Płocku, sygn. akt I C 2601/22, a następnie przez Sąd Apelacyjny w Łodzi.

74-letni klient nawiązał współpracę z osobami podającymi się za brokerów inwestycyjnych. Został nakłoniony do zainstalowania programu AnyDesk umożliwiającego zdalne sterowanie urządzeniem. Przestępcy uzyskali dostęp do rachunku i zlecili transakcje na łączną kwotę 107 139,57 zł.

Sąd zwrócił uwagę, że klient wcześniej miał ustawiony limit transakcji na poziomie 2 tys. zł, a większe przelewy wykonywał wyłącznie w oddziale banku.

Podkreślono także, że AnyDesk nie jest programem zakazanym ani nielegalnym, a klient mógł nie znać jego funkcjonalności i ryzyka wykorzystania przez przestępców.

Sąd I instancji nie dopatrzył się rażącego niedbalstwa. Taką ocenę podzielił następnie Sąd Apelacyjny w Łodzi. Zasądzona na rzecz klienta kwota została zmniejszona jedynie o 460,43 zł, które klient odzyskał wcześniej w związku z postępowaniem karnym.

Bank też ma obowiązki

Analiza Rzecznika pokazuje również, że sądy nie koncentrują się wyłącznie na zachowaniu klienta.

Znaczenie ma także pytanie, czy bank jako profesjonalna instytucja właściwie zabezpieczył świadczone usługi i odpowiednio zareagował na nietypową aktywność na rachunku.

Dobrze pokazuje to sprawa rozpoznawana przez Sąd Rejonowy dla Warszawy-Mokotowa w Warszawie, sygn. akt XVI C 1165/24 upr., a następnie przez Sąd Okręgowy w Warszawie, sygn. akt V Ca 276/25.

Seniorka nawiązała kontakt z rzekomym brokerem działającym w imieniu spółki notowanej na giełdzie. Za jego namową zainstalowała aplikację do zdalnego zarządzania telefonem. Po przejęciu urządzenia przez osoby trzecie straciła swoje oszczędności.

Sądy obu instancji uznały, że transakcja na kwotę 19 tys. zł nie była przez nią autoryzowana.

Istotne okazało się również zachowanie banku. Na rachunku doszło w krótkim czasie do szeregu nietypowych zdarzeń, takich jak nagła likwidacja lokaty, wysoki przelew oraz dodanie nowego odbiorcy. Mimo tego bank nie przeprowadził dodatkowej weryfikacji.

Sąd zwrócił także uwagę, że komunikaty banku nie były wystarczająco szczegółowe i odpowiednio dostosowane do stosowanego przez przestępców mechanizmu oszustwa.

85-latka i fałszywa inwestycja w Orlen

Jedna z najbardziej obrazowych spraw została rozpoznana przez Sąd Rejonowy Katowice-Zachód w Katowicach, sygn. akt II C 453/24.

85-letnia klientka natrafiła na Facebooku na reklamę rzekomej inwestycji w akcje PKN Orlen. Podała swój numer telefonu, a następnego dnia skontaktowała się z nią osoba, która za pomocą zabiegów socjotechnicznych wyłudziła dane do bankowości elektronicznej.

Następnie, bez wiedzy i zgody klientki, wykorzystano jej dane do zawarcia umowy pożyczki.

Sąd ustalił, że klientka nie zawarła z bankiem umowy, ponieważ nie złożyła oświadczenia woli w tym zakresie. Oświadczenie zostało złożone przez osobę trzecią podszywającą się pod seniorkę.

Sąd ustalił nieistnienie stosunku prawnego wynikającego z rzekomej umowy pożyczki i zasądził na rzecz klientki 33 381,99 zł wraz z odsetkami ustawowymi za opóźnienie, tytułem świadczeń wcześniej przez nią spłaconych.

Nieautoryzowany przelew a kredyt to nie to samo

Analiza Rzecznika Finansowego zwraca uwagę na istotne rozróżnienie pomiędzy oceną zawarcia umowy kredytowej a odpowiedzialnością za nieautoryzowaną transakcję płatniczą.

W przypadku kredytu podstawowym pytaniem jest to, czy klient w ogóle złożył oświadczenie woli o zawarciu umowy.

W przypadku przelewu trzeba natomiast ustalić, czy klient wyraził zgodę na wykonanie konkretnej transakcji płatniczej.

W sprawie 85-letniej klientki Sąd Rejonowy Katowice-Zachód zwrócił uwagę, że przepisy ustawy o usługach płatniczych odnoszą się do usług płatniczych i nie mogą służyć do automatycznego przypisania klientowi odpowiedzialności za umowę pożyczki zawartą przez osobę trzecią.

Dlatego sytuacji, w której przestępca zaciągnął kredyt przy wykorzystaniu danych klienta, nie można sprowadzać wyłącznie do pytania, czy właściciel rachunku wystarczająco dobrze chronił dane do bankowości elektronicznej.

Najpierw trzeba ustalić, czy rzeczywiście chciał zawrzeć umowę.

Kolejny senior wygrał z bankiem w dwóch instancjach

Podobne stanowisko zajęły sądy w kolejnej sprawie dotyczącej kredytu "na klik".

Sąd Rejonowy w Lublińcu, sygn. akt I C 189/23, oddalił powództwo banku przeciwko seniorowi o zapłatę. Następnie Sąd Okręgowy w Częstochowie, sygn. akt VI Ca 737/24, oddalił apelację banku.

Senior został zmanipulowany przez osoby podszywające się pod doradców inwestycyjnych. Sąd ustalił, że nie miał zamiaru zawierania umowy pożyczki, a kody autoryzacyjne przesłane przez bank zostały wykorzystane przez osobę trzecią bez jego wiedzy i woli.

Sąd zwrócił również uwagę na brak reakcji banku na przelewy znacznych kwot wykonywane w krótkim czasie, obejmujące praktycznie całe środki klienta.

Fałszywa inwestycja w energię i kryptowaluty

Jeszcze jedna sprawa dotyczyła klientki, która zainteresowała się reklamą rzekomej inwestycji w energię odnawialną i kryptowaluty.

Sąd Rejonowy w Sokółce, sygn. akt I C 5/23, ustalił nieistnienie umowy pożyczki. Następnie Sąd Okręgowy w Białymstoku, sygn. akt II Ca 787/24, oddalił apelację banku.

Osoby trzecie zawarły przy wykorzystaniu danych klientki pożyczkę na kwotę 59 400 zł i dokonały transakcji, których klientka nie autoryzowała.

Sąd Okręgowy wskazał, że postępowanie dowodowe wykazało brak oświadczenia woli po stronie klientki, której intencją nigdy nie było zawarcie umowy pożyczki.

Zasada D+1. Bank powinien zwrócić pieniądze szybko

Osobnym zagadnieniem są nieautoryzowane transakcje płatnicze.

Zgodnie z przedstawioną przez Rzecznika Finansowego wykładnią ustawy o usługach płatniczych bank powinien co do zasady zwrócić klientowi kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu lub zgłoszeniu.

To tzw. zasada D+1.

Wstrzymanie zwrotu jest możliwe, gdy bank ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa oraz pisemnie poinformuje o tym organy powołane do ścigania przestępstw.

Rzecznik Finansowy wskazuje jednak, że w praktyce dostawcy usług płatniczych często odrzucają reklamacje, powołując się na rażące niedbalstwo klienta. Zdarzają się też sytuacje, gdy bank zwraca pieniądze, a następnie sam dochodzi ich zwrotu od klienta, opierając się na tej samej przesłance.

Co z tego wynika dla klientów banków?

Analizowane orzeczenia pokazują przede wszystkim, że w sporze z bankiem liczą się szczegóły.

Sam fakt użycia prawidłowego loginu, kodu SMS czy zatwierdzenia określonej czynności w aplikacji nie przesądza jeszcze automatycznie o tym, że klient chciał zaciągnąć kredyt.

Tak samo fakt, że osoba oszukana zainstalowała aplikację, kliknęła w link czy wykonywała instrukcje przestępcy, nie oznacza jeszcze automatycznie rażącego niedbalstwa.

Sąd może badać między innymi:

• w jaki sposób doszło do oszustwa,


• czy klient wiedział, jakie skutki wywołują wykonywane przez niego czynności,


• czy rzeczywiście zamierzał zaciągnąć kredyt lub wykonać przelew,


• wiek i doświadczenie klienta,


• jego dotychczasowy sposób korzystania z bankowości elektronicznej,


• rodzaj manipulacji zastosowanej przez sprawców,


• presję wywieraną na klienta przez oszustów,


• zachowanie banku i jego reakcję na nietypowe operacje,


• to, czy bank zastosował odpowiednie procedury bezpieczeństwa.

Rzecznik Finansowy zastrzega jednak, że każdy przypadek wymaga indywidualnej oceny. Analiza siedmiu prawomocnych wyroków nie oznacza, że każda osoba oszukana automatycznie wygra spór z bankiem.

Pokazuje natomiast wyraźnie, że odpowiedzialności za skutki oszustwa nie można sprowadzać do prostego stwierdzenia:

"Kod został wpisany, więc klient odpowiada".

W analizowanych sprawach sądy badały rzeczywisty przebieg zdarzeń, zamiar klienta, sposób działania przestępców oraz to, czy bank jako profesjonalna instytucja prawidłowo zabezpieczył usługę i zareagował na sygnały mogące wskazywać na oszustwo.

Orzeczenia opisane w analizie Rzecznika Finansowego

• Sąd Rejonowy w Lublińcu, sygn. akt I C 167/23 - wyrok z 7 grudnia 2023 r.


• Sąd Okręgowy w Katowicach, sygn. akt I C 1255/22 - wyrok z 16 października 2024 r.


• Sąd Okręgowy w Płocku, sygn. akt I C 2601/22 - wyrok z 9 lutego 2024 r.


• Sąd Rejonowy dla Warszawy-Mokotowa w Warszawie, sygn. akt XVI C 1165/24 upr. - wyrok z 16 września 2024 r.


• Sąd Okręgowy w Warszawie, sygn. akt V Ca 276/25 - wyrok z 12 czerwca 2025 r.


• Sąd Rejonowy Katowice-Zachód w Katowicach, sygn. akt II C 453/24 - wyrok z 2 października 2025 r.


• Sąd Rejonowy w Lublińcu, sygn. akt I C 189/23 - wyrok z 28 maja 2024 r.


• Sąd Okręgowy w Częstochowie, sygn. akt VI Ca 737/24 - wyrok z 26 listopada 2025 r.


• Sąd Rejonowy w Sokółce, sygn. akt I C 5/23 - wyrok z 29 marca 2024 r.


• Sąd Okręgowy w Białymstoku, sygn. akt II Ca 787/24 - wyrok z 22 grudnia 2025 r.

Źródło:
Rzecznik Finansowy,

"Analiza dotycząca zakończonych spraw sądowych z udziałem Rzecznika Finansowego w sprawach nieautoryzowanych transakcji płatniczych oraz kredytów na klik", Warszawa 2026
.