Czy bank musi zwrócić pieniądze po phishingu? Odpowiedzialność banku wyjaśniona

Data ostatniej modyfikacji 10 kwietnia, 2026

Bank odmówił zwrotu i napisał, że transakcja była autoryzowana — bo klient sam wpisał kod SMS albo sam przelał pieniądze. Dla wielu poszkodowanych to zdanie brzmi jak zamknięcie sprawy. W praktyce częściej jest punktem wyjścia do sporu niż jego końcem.

Czy bank musi zwrócić pieniądze po phishingu to pytanie, na które nie da się odpowiedzieć wyłącznie przez stwierdzenie, że klient „coś kliknął” albo „coś potwierdził”. Spór zwykle dotyczy tego, czy doszło do nieautoryzowanej transakcji płatniczej, czy bank może wykazać przesłanki odmowy oraz czy rzeczywiście istnieją podstawy do przypisania klientowi umyślności albo rażącego niedbalstwa.

Na tej stronie wyjaśniono, kiedy zwrot środków jest co do zasady ustawową regułą, jakie znaczenie mają autoryzacja i uwierzytelnienie, jak banki budują odmowy oraz dlaczego decyzja reklamacyjna nie zamyka jeszcze sprawy. Szerszy opis pomocy w takich sprawach znajduje się tutaj: pomoc prawna w sprawach nieautoryzowanych transakcji płatniczych i phishingu.

Gdzie naprawdę zaczyna się spór

Bank nie może automatycznie odmówić zwrotu tylko dlatego, że klient podał kod, zalogował się albo zatwierdził operację.

W centrum takich spraw znajdują się nie tylko fakty techniczne, ale także nieautoryzowana transakcja płatnicza, ciężar dowodu po stronie banku oraz rażące niedbalstwo jako wyjątek, a nie wygodna etykieta dla każdej pomyłki klienta. To, że oszust doprowadził do wykonania operacji, nie przesądza jeszcze, że bank skutecznie uwolnił się od odpowiedzialności.

zwrot jest co do zasady regułą
odmowa wymaga podstawy prawnej
sam kod SMS nie zamyka sprawy
rażące niedbalstwo trzeba wykazać

Powiązane tematy w sprawach o phishing i nieautoryzowane transakcje płatnicze

Spis treści

Jeżeli bank twierdzi, że zwrot nie przysługuje, bo klient sam potwierdził operację, sprawę zwykle warto ocenić szerzej niż tylko przez treść odpowiedzi reklamacyjnej.

Prześlij sprawę do analizy

Czy bank musi zwrócić pieniądze po phishingu – od czego zależy odpowiedź

Nie ma jednej odpowiedzi, która brzmiałaby tak samo w każdej sprawie. Ocena odpowiedzialności banku zależy od kilku kwestii analizowanych łącznie, a nie od jednego wyrwanego z kontekstu faktu.

Sam fakt oszustwa nie przesądza jeszcze wyniku sprawy

Pierwszym pytaniem jest to, czy doszło do nieautoryzowanej transakcji płatniczej w rozumieniu ustawy o usługach płatniczych. Jeżeli klient wpisał kod SMS albo wykonał przelew pod wpływem manipulacji, w błędnym przekonaniu co do celu operacji, sama warstwa techniczna nie rozstrzyga jeszcze, czy bank może skutecznie powołać się na autoryzację.

Znaczenie ma cały układ obowiązków, nie tylko zachowanie klienta

Ocenie podlega również to, czy bank może wykazać autoryzację, prawidłowe zapisanie transakcji i brak zakłóceń po swojej stronie, a także czy istnieją podstawy do przypisania klientowi umyślności albo rażącego niedbalstwa w sprawie phishingowej. Znaczenie mogą mieć też obowiązki banku dotyczące silnego uwierzytelniania, treści komunikatów autoryzacyjnych i wykrywania transakcji nietypowych.

Szerszą mapę problemów, które pojawiają się w takich sprawach, omawia hub: phishing i nieautoryzowane transakcje płatnicze.

Zasada D+1 – kiedy zwrot środków jest ustawową regułą

Ustawa o usługach płatniczych przyjmuje, że po stwierdzeniu nieautoryzowanej transakcji płatniczej dostawca powinien co do zasady niezwłocznie zwrócić jej kwotę, nie później niż do końca następnego dnia roboczego. W praktyce właśnie ten mechanizm bywa określany jako zasada D+1.

Zwrot jest regułą, a odmowa wyjątkiem

Istotą tego rozwiązania jest szybkie przywrócenie stanu rachunku, bez przerzucania na klienta pełnego ciężaru oczekiwania na wewnętrzne ustalenia banku. Spór o odpowiedzialność nie powinien automatycznie blokować samego zwrotu, jeżeli bank nie ma szczególnej podstawy ustawowej, by od tej reguły odejść.

Wyjątek nie dotyczy każdej sprawy, w której bank zarzuca klientowi błąd

Wyjątek jest ujmowany wąsko i dotyczy sytuacji, w których bank ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa po stronie samego płatnika, przy jednoczesnym zawiadomieniu organów ścigania. To nie jest furtka dla każdej odmowy opartej na schematycznym zarzucie, że klient zachował się nierozsądnie.

Czy podanie kodu SMS albo zatwierdzenie operacji kończy sprawę

Nie. Sam fakt, że system bankowy odnotował użycie kodu SMS, zatwierdzenie operacji w aplikacji mobilnej albo użycie innego narzędzia uwierzytelniającego, nie przesądza jeszcze ani autoryzacji, ani rażącego niedbalstwa.

Bank nie może poprzestać na stwierdzeniu, że klient coś potwierdził

W tego typu sporach sama rejestracja użycia instrumentu płatniczego nie wystarcza do wykazania, że klient świadomie zgodził się na konkretną operację albo że dopuścił się kwalifikowanego naruszenia zasad bezpieczeństwa. Odpowiedź reklamacyjna sprowadzająca sprawę do zdania „transakcja była autoryzowana, bo wpisano kod” zwykle jest zbyt uproszczona.

Znaczenie ma treść komunikatu i przekonanie klienta co do skutku działania

Inaczej ocenia się sytuację klienta, który potwierdzał przelew wiedząc, komu i po co wysyła pieniądze, a inaczej sytuację osoby działającej pod wpływem podszycia się pod bank, presji czasu albo fałszywej informacji o konieczności „zabezpieczenia środków”.

Bank twierdzi, że skoro operacja została potwierdzona, sprawa jest zamknięta?

W wielu przypadkach to dopiero początek analizy. Znaczenie ma nie tylko sam fakt użycia kodu lub aplikacji, ale też to, na co klient rzeczywiście wyrażał zgodę i czy bank może wykazać przesłanki odmowy.

Pokaż swoją sprawę prawnikowi

Autoryzacja transakcji a uwierzytelnienie – dlaczego to nie zawsze to samo

W praktyce bankowej te pojęcia są często używane zamiennie, ale w sporze o phishing ich znaczenie nie powinno być zlewane w jedno. To właśnie tutaj pojawia się jeden z najważniejszych problemów prawnych.

Uwierzytelnienie dotyczy potwierdzenia tożsamości

Wpisanie kodu SMS, użycie aplikacji mobilnej, PIN-u lub biometrii służy potwierdzeniu, że dana osoba przechodzi procedurę bezpieczeństwa przewidzianą przez bank. Jest to warstwa techniczna związana z wykonaniem operacji.

Autoryzacja dotyczy zgody na konkretną transakcję

W sprawach phishingowych istotne jest to, czy klient rzeczywiście wyraził wolę wykonania konkretnej operacji o określonej treści, na rzecz określonego odbiorcy i z określonym skutkiem. Jeżeli działał w błędnym przekonaniu wywołanym przez oszustwo, sama zgodność techniczna procedury nie musi jeszcze zamykać sporu.

Kiedy bank może odmówić zwrotu pieniędzy

Bank nie może uchylić się od odpowiedzialności przez samo powołanie się na to, że transakcja przeszła przez system. Jeżeli chce odmówić zwrotu, musi oprzeć swoje stanowisko na konkretnej podstawie prawnej i udowodnionych okolicznościach faktycznych.

Umyślność i rażące niedbalstwo nie mogą być tylko założeniem

Co do zasady bank może próbować bronić się twierdzeniem, że klient działał umyślnie albo dopuścił się rażącego niedbalstwa, naruszając obowiązki związane z korzystaniem z instrumentu płatniczego. Obie te przesłanki wymagają jednak realnego wykazania, a nie jedynie odwołania się do ogólnych sformułowań z regulaminu lub do samego faktu, że oszust doprowadził do wykonania operacji.

Wątek limitu 50 EUR nie działa automatycznie w każdej sprawie phishingowej

W praktyce pojawia się także temat odpowiedzialności klienta do równowartości 50 EUR, ale nie jest to mechanizm, który można bezrefleksyjnie przenosić na każdy przypadek phishingu. Zastosowanie tego ograniczenia zależy od podstawy ustawowej i konkretnego stanu faktycznego, dlatego w wielu sprawach bardziej zaciemnia obraz niż go porządkuje.

Rażące niedbalstwo w sprawach phishingowych – co naprawdę oznacza

To pojęcie jest jednym z najczęściej nadużywanych przez banki w odpowiedziach reklamacyjnych. W praktyce często próbuje się nim zastąpić pełną analizę tego, jak naprawdę wyglądał atak i w jakich warunkach działał klient.

Rażące niedbalstwo to nie każdy błąd

Nie chodzi o każdą pomyłkę, pośpiech czy podatność na manipulację. Rażące niedbalstwo oznacza zachowanie wyraźnie, drastycznie odbiegające od minimalnej staranności, jakiej można oczekiwać od rozsądnej osoby w konkretnych okolicznościach.

Socjotechnika ma znaczenie dla oceny zachowania klienta

Jeżeli oszustwo było profesjonalnie przygotowane, obejmowało podszycie się pod bank, znajomość danych klienta, presję czasu albo wzbudzenie silnego poczucia zagrożenia, ocena zachowania poszkodowanego nie może abstrahować od tych elementów. Ulegnięcie dobrze zaprojektowanej manipulacji nie jest automatycznie tym samym co rażąca nieostrożność. Szerszą analizę tego pojęcia zawiera artykuł: rażące niedbalstwo a phishing.

Najczęstsze argumenty banków przy odmowie zwrotu

Odmowne stanowiska banków zwykle opierają się na kilku powtarzalnych schematach. Warto je rozłożyć na części, bo ich brzmienie bywa bardziej stanowcze niż ich rzeczywista siła prawna.

„Transakcja była autoryzowana”

Bank wskazuje, że klient zatwierdził operację przy użyciu przewidzianego narzędzia bezpieczeństwa. Taki argument pomija jednak różnicę między przejściem procedury technicznej a zgodą na konkretną operację, a także to, że sama rejestracja użycia instrumentu płatniczego nie przesądza jeszcze autoryzacji.

„Zastosowaliśmy silne uwierzytelnianie”

To argument odnoszący się do procedury technicznej po stronie banku. Sam w sobie nie rozstrzyga jeszcze, czy klient rzeczywiście chciał wykonać sporną operację ani czy bank może skutecznie uchylić się od odpowiedzialności.

„Klient sam podał dane albo sam przelał pieniądze”

Opis techniczny nie zastępuje analizy prawnej. W sprawach phishingowych znaczenie ma także to, pod jakim wpływem działał klient, co rozumiał z komunikatu oraz czy został wprowadzony w błąd co do celu i skutków swojego działania.

„Klient naruszył zasady bezpieczeństwa”

Odwołanie do ogólnych zasad z regulaminu nie wystarcza jeszcze do wykazania rażącego niedbalstwa. Potrzebna jest analiza konkretnego zachowania w konkretnych okolicznościach, a nie wyłącznie mechaniczne przywołanie postanowień umownych.

Dlaczego odmowa banku to nie zawsze koniec sprawy

Stanowisko reklamacyjne banku nie jest ostatecznym rozstrzygnięciem prawnym. To wewnętrzna ocena banku, która może być niepełna, zbyt daleko idąca albo oparta na uproszczeniach dotyczących autoryzacji i rażącego niedbalstwa.

Po odmowie nadal istnieją dalsze ścieżki działania

W zależności od sprawy można kwestionować stanowisko banku, składać dalsze wystąpienia, kierować sprawę do Rzecznika Finansowego albo dochodzić roszczeń na drodze sądowej. W wielu przypadkach to dopiero na tym etapie zaczyna się rzeczywista analiza materiału i podstaw odmowy.

Kluczowe znaczenie ma sposób uporządkowania sprawy

Im większa kwota i im bardziej schematyczne uzasadnienie banku, tym większe znaczenie ma indywidualna ocena przebiegu ataku, komunikatów autoryzacyjnych, zachowania klienta i materiału dowodowego. Praktyczny opis dalszych kroków znajduje się tutaj: bank odmówił zwrotu po phishingu – co dalej.

Jeżeli bank odmówił zwrotu albo oparł stanowisko na ogólnym zarzucie, że klient sam potwierdził operację, sprawę warto ocenić przed podjęciem dalszych kroków.

Zleć wstępną analizę sprawy

Powiązane tematy w bazie wiedzy

Poszczególne wątki omówione na tej stronie są rozwinięte w osobnych artykułach:

FAQ – czy bank musi zwrócić pieniądze po phishingu

Czy bank zawsze musi zwrócić pieniądze po phishingu?

Nie w każdej sprawie odpowiedź będzie taka sama. Co do zasady przy nieautoryzowanej transakcji zwrot jest ustawową regułą, ale bank może próbować powołać się na wyjątki, jeżeli wykaże przewidziane prawem przesłanki, np. umyślność albo rażące niedbalstwo klienta. Ocena zawsze zależy od okoliczności konkretnej sprawy.

Czy podanie kodu SMS oznacza, że bank nie odda pieniędzy?

Nie automatycznie. Sam fakt użycia kodu SMS albo zatwierdzenia operacji w aplikacji nie przesądza jeszcze ani autoryzacji transakcji w znaczeniu prawnym, ani rażącego niedbalstwa. Znaczenie ma także treść komunikatu, przebieg oszustwa i to, na co klient rzeczywiście wyrażał zgodę.

Kiedy bank może odmówić zwrotu pieniędzy po phishingu?

Bank nie może ograniczyć się do ogólnego stwierdzenia, że klient sam wykonał operację. Jeżeli chce odmówić zwrotu, powinien wykazać podstawę prawną i okoliczności faktyczne uzasadniające odmowę, a w wielu sprawach spór dotyczy właśnie tego, czy takie podstawy rzeczywiście istnieją.

Co to jest rażące niedbalstwo w sprawach phishingowych?

Nie jest to każdy błąd ani każda podatność na manipulację. Co do zasady chodzi o zachowanie wyraźnie odbiegające od minimalnej staranności wymaganej w danych okolicznościach. Ocena powinna uwzględniać także sposób działania oszusta, presję czasu, podszycie się pod bank i inne elementy socjotechniki.

Czy odmowa reklamacji przez bank oznacza koniec sprawy?

Nie. Odpowiedź reklamacyjna jest stanowiskiem banku, a nie ostatecznym rozstrzygnięciem. W zależności od sprawy możliwe są dalsze kroki, w tym ponowne wystąpienie do banku, skorzystanie z dostępnych trybów pozasądowych albo dochodzenie roszczeń przed sądem.

Jak ocenić, czy bank słusznie odmówił zwrotu po phishingu?

Trzeba przeanalizować nie tylko samą odpowiedź banku, ale też przebieg ataku, treść komunikatów autoryzacyjnych, sposób wykonania operacji i argumentację dotyczącą autoryzacji albo rażącego niedbalstwa. W wielu przypadkach dopiero pełna analiza dokumentów pozwala ocenić, czy odmowa ma rzeczywiste podstawy prawne.

Jeżeli po zapoznaniu się z materiałami na tej stronie chcesz omówić swoją sprawę z prawnikiem, CGO Recovery prowadzi tego rodzaju sprawy i oferuje wstępną analizę sytuacji.

Prześlij sprawę do analizy