Jak zgłosić oszustwo internetowe: CERT Polska, policja i numer 8080 krok po kroku

Jak zgłosić oszustwo internetowe? Zacznij od banku i zastrzeżenia numeru PESEL, a zawiadomienie o przestępstwie złóż w dowolnej jednostce policji. Podejrzaną stronę zgłoś formularzem CERT Polska, a podejrzanego SMS-a z linkiem prześlij bezpłatnie na numer 8080. Poniżej masz kolejność kroków i listę rzeczy, które warto mieć przy sobie.

Piszę to na podstawie stron CERT Polska, Centralnego Biura Zwalczania Cyberprzestępczości i komunikatu UOKiK. Stan na 19 października 2026.

Co zrobić w pierwszych minutach po oszustwie?

Strona CBZC Policji opisuje to wprost: jeśli straciłeś pieniądze, bo ktoś podszył się pod pracownika banku, wykorzystał kod szybkiej płatności, sprzedał Ci towar na fałszywej stronie albo namówił na fałszywą inwestycję, działaj w tej kolejności:

• Pilnie skontaktuj się ze swoim bankiem.
• Zastrzeż numer PESEL: zdalnie w aplikacji mObywatel, na portalu gov.pl albo osobiście w urzędzie gminy lub w banku.
• Jeśli dostałeś podejrzany SMS z linkiem, przekaż go na bezpłatny numer 8080.
• Jeśli ktoś przejął Twoje konto społecznościowe i wyłudza przez nie pieniądze, ostrzeż wszystkich znajomych.

Dopiero potem zbieraj dokumenty i idź na policję. Strona CBZC nie podaje limitu czasu na zgłoszenie, ale z samej kolejności kroków widać, że bank jest pierwszy.

Jak zgłosić oszustwo internetowe na policji?

Według CBZC zawiadomienie o przestępstwie przyjmuje każda jednostka Policji. Nie musisz szukać wyspecjalizowanego komisariatu. Żeby przyspieszyć przyjęcie zawiadomienia i dalsze czynności, policja prosi o przygotowanie konkretnych informacji.

Co zabrać ze sobą:

• adres strony internetowej, przez którą doszło do przestępstwa,
• kopię korespondencji ze sprzedawcą, fałszywym pracownikiem banku, konsultantem czy przedstawicielem firmy inwestycyjnej - przy SMS-ach, mailach, Messengerze, WhatsAppie i innych komunikatorach w niezmienionej formie tekstowej lub elektronicznej,
• numer konta, na które wpłacono pieniądze, adres portfela kryptowalut albo link do pośrednika płatności, a do tego wersję papierową potwierdzeń wpłat i przelewów,
• informację, gdzie i kiedy pod wpływem manipulacji wypłacałeś pieniądze z banków, bankomatów, kantorów kryptowalutowych lub bitomatów,
• rodzaj skradzionych lub wykorzystanych danych i wysokość strat,
• informację, czy zastrzegłeś PESEL, a jeśli tak, to datę zastrzeżenia.

Jeśli podejrzewasz, że wykorzystano Twoje dane osobowe, przygotuj też całą korespondencję na ten temat. Szczegóły i aktualne wskazówki są na stronie Zgłoś cyberoszustwo - CBZC.

Gdzie zgłosić jaki rodzaj oszustwa?

Poszczególne kanały mają różne zadania. Policja zajmuje się przestępstwem i Twoją stratą. CERT Polska zajmuje się samą stroną lub wiadomością, żeby chronić kolejne osoby.

Jak zgłosić phishing do CERT Polska?

Każdy może zgłosić stronę wyłudzającą dane osobowe albo dane uwierzytelniające do kont bankowych lub serwisów społecznościowych. Służy do tego formularz CERT Polska. Jego adres podaje strona Listy Ostrzeżeń CERT Polska.

Jeśli źródłem strony jest SMS, CERT Polska prosi o przesłanie go na numer 8080 przez funkcję „przekaż" lub „udostępnij" w telefonie. Wysłanie jest bezpłatne, a w roamingu obowiązuje cennik operatora. Ten numer przyjmuje wyłącznie SMS-y. Numer do telefonicznego zgłaszania incydentów jest osobno na stronie CERT Polska.

Dlaczego to ważne? CERT Polska opisuje, że strony wyłudzające dane to zjawisko masowe. Są rejestrowane w dużych ilościach, używane w krótkim czasie od rejestracji i porzucane na rzecz nowych adresów. Dlatego liczy się szybkość zgłoszenia. Więcej o tym, jak takie schematy wyglądają, gdy w tle jest twórca internetowy, znajdziesz w tekście jak rozpoznać oszustwo internetowe z influencerem w tle.

Czym jest Lista Ostrzeżeń i kto z niej korzysta?

To lista domen, które wprowadzają użytkowników w błąd i wyłudzają dane. CERT Polska prowadzi ją nieprzerwanie od marca 2020 roku, całą dobę. Obecnie podstawą jest art. 20 ustawy z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej, a za listę odpowiada CSIRT NASK. Na listę trafiają domeny, których podstawowym celem jest wprowadzenie w błąd i doprowadzenie do wyłudzenia danych lub niekorzystnego rozporządzenia mieniem.

Z listy korzystasz prawdopodobnie bez wiedzy. Operatorzy, którzy na początku 2020 roku przystąpili do porozumienia z Prezesem UKE, Ministrem Cyfryzacji i NASK, mogą blokować użytkownikom dostęp do wpisanych tam stron:

• Orange Polska S.A.,
• Polkomtel Sp. z o.o. (sieć Plus),
• P4 Sp. z o.o. (sieć Play),
• T-Mobile Polska S.A.

Czy Twój operator korzysta z listy, sprawdzisz w serwisie lista.cert.pl. Jeśli nie, CERT Polska podpowiada rozszerzenie przeglądarki obsługujące listy w formacie adblock, np. uBlock Origin. Z listy korzystają też dostawcy DNS quad9 i nextdns.io.

Jak długo domena jest na liście i co z odwołaniem?

Domeny są blokowane na 6 miesięcy. Jeśli po tym czasie nadal zawierają niebezpieczne treści, trafiają na listę jako nowy wpis. Administratorzy powinni odświeżać listę co 5 minut i blokować też subdomeny wpisanych domen.

Podmiot mający tytuł prawny do wpisanej domeny może według art. 21 ustawy wnieść do prezesa UKE sprzeciw wobec wpisu. CERT Polska zastrzega przy tym, że lista działa bez gwarancji kompletności, aktualności i złośliwego charakteru domen. Użytkownik korzysta z niej na własną odpowiedzialność.

Co zrobić, gdy ktoś przejął Twoje konto społecznościowe?

Jeśli straciłeś dostęp do konta albo ktoś rozsyła z niego masowo prośby o wsparcie finansowe lub zapłatę za towar, CBZC kieruje do formularzy platform. Na stronie CBZC znajdziesz linki do pomocy Facebooka, Instagrama i X, które pozwalają odzyskać dostęp i zgłosić naruszenie. Ten sam adres strony CBZC podajemy tutaj jako punkt wyjścia:

• Zgłoś cyberoszustwo - CBZC, linki do pomocy platform,
• Facebook, Instagram i X mają osobne formularze wskazane na tej stronie.

Policja dodaje jeszcze jedno: ostrzeż znajomych, bo to oni są kolejnym celem. Przy reklamach z wizerunkiem znanych osób zajrzyj też do tekstu o deepfake'owych reklamach i ostrzeżeniach CERT Polska, NASK, KNF i policji.

Fałszywe inwestycje: co mówią KNF i UOKiK?

Ten rodzaj oszustwa jest najliczniej zgłaszany instytucjom finansowym. Według raportu CSIRT KNF, opisanego przez Bankier.pl, w 2025 roku zespół zidentyfikował i zgłosił do blokady 41,75 tys. niebezpiecznych domen. Ponad 40 tys. z nich związanych było z fałszywymi inwestycjami, czyli ponad 96 proc. wszystkich zgłoszonych domen.

Dalsze liczby z raportu:

• zablokowano 9751 oszukańczych reklam na Facebooku,
• zgłoszono 4358 profili publikujących fałszywe reklamy, a to wzrost o 41,95 proc. wobec roku wcześniej,
• zarejestrowano 787 ataków DDoS na polski sektor finansowy.

UOKiK w osobnym komunikacie ostrzega przed inwestycjami alternatywnymi, które mogą być oszustwem lub piramidą. Prezes UOKiK napisał, że w ciągu ostatnich ośmiu miesięcy (komunikat nie podaje w treści daty publikacji) przekazał organom śledczym informacje o 16 projektach inwestycyjnych. Wśród nich były portfele kryptowalut i weksle inwestycyjne. Większość organizatorów ma siedzibę poza UE, więc odzyskanie wpłaconych pieniędzy może być trudne.

Komunikat nie opisuje trybu zgłaszania spraw przez konsumentów, więc nie sugeruję, że to osobny kanał zgłoszeń. Pokazuje natomiast skalę: scenariusz z obietnicą zysku za polecanie kolejnych osób powtarza się w wielu opisanych tam projektach. Podobną logikę znajdziesz w tekście o sprawach UOKiK wobec influencerów, a więcej poradników w dziale scam.

Jak przygotować zgłoszenie, żeby nie tracić czasu?

Zrób to jeszcze przed wizytą na policji lub wypełnieniem formularza:

• zapisz adres strony i nie zamykaj historii przeglądarki,
• zrób kopie rozmów w formie tekstowej, bez przerabiania,
• zbierz potwierdzenia przelewów i numery kont lub adresy portfeli,
• spisz daty i miejsca wypłat, jeśli ktoś kazał Ci wypłacać gotówkę,
• zanotuj datę zastrzeżenia PESEL.

Nie znalazłem na stronach CERT Polska ani CBZC informacji o terminie, w którym zgłoszenie musi zostać złożone, ani o gwarantowanym czasie reakcji. Instytucje tego nie publikują, więc nie podaję żadnych terminów.

FAQNajczęstsze pytania