Najwięcej obaw pojawia się wtedy, gdy ktoś obcy prosi o dane do przelewu: kupujący z OLX, nowy klient, zleceniodawca z Facebooka. Pytanie brzmi nie tyle, czy numer konta „wolno” podać, ale co realnie da się z nim zrobić i gdzie zaczyna się ryzyko oszustwa. Ten tekst porządkuje fakty: co jest mitem, co jest realnym zagrożeniem i kiedy lepiej wybrać inną metodę rozliczenia. Dzięki temu łatwiej odróżnić zwykły przelew od sytuacji, w której ktoś próbuje wyłudzić więcej niż same 26 cyfr.
Sam numer konta nie daje dostępu do pieniędzy
Sam numer rachunku nie pozwala wypłacić środków z konta. W polskich bankach przelew wychodzący wymaga autoryzacji: aplikacją mobilną, kodem SMS, hasłem jednorazowym albo inną metodą zgodną z zasadą SCA z dyrektywy PSD2. Dotyczy to banków takich jak PKO BP, mBank, ING Bank Śląski czy Santander Bank Polska.
To ważne, bo wokół numeru konta narosło sporo mitów. Polski NRB ma 26 cyfr, a w formacie międzynarodowym IBAN zaczyna się od PL i ma łącznie 28 znaków. Taki numer służy do identyfikacji rachunku przy przychodzącym przelewie. Nie jest odpowiednikiem hasła do bankowości.
Problem zaczyna się gdzie indziej: numer konta bywa punktem wyjścia do socjotechniki. Oszust nie „ukradnie pieniędzy numerem rachunku”, ale może:
- podszyć się pod kupującego i wysłać fałszywe potwierdzenie przelewu,
- połączyć numer konta z imieniem, nazwiskiem, numerem telefonu lub firmą,
- nakłonić do kliknięcia linku do rzekomej dopłaty, weryfikacji lub odbioru środków.
Numer konta jest daną do przyjmowania pieniędzy, nie narzędziem do opróżniania rachunku. Straty powoduje najczęściej kliknięcie linku, podanie kodu SMS albo zalogowanie się na fałszywej stronie banku.
To rozróżnienie ma znaczenie praktyczne. Samo podanie numeru konta pracodawcy, kontrahentowi czy klientowi nie jest ruchem ryzykownym z definicji. Ryzykowne staje się dopiero wtedy, gdy numer konta trafia do szerszego pakietu danych albo jest elementem podejrzanego scenariusza.
Kiedy podawanie numeru konta jest bezpieczne, a kiedy robi się niebezpiecznie
Podawanie numeru konta w legalnym celu płatniczym jest normalną częścią obrotu gospodarczego. Bez tego nie dałoby się wystawić faktury, dostać zwrotu podatku ani przyjąć wynagrodzenia. W relacjach typu pracodawca–pracownik, sklep–klient, urząd–obywatel taki obieg danych jest standardem.
Sytuacje niskiego ryzyka
Niskie ryzyko występuje tam, gdzie istnieje jasny powód przekazania danych i da się zweryfikować drugą stronę. Przykłady są proste: numer konta na fakturze VAT, dane do przelewu dla pracodawcy, rachunek podany kancelarii notarialnej czy zwrot od ZUS albo Urzędu Skarbowego. W przypadku firm dochodzi jeszcze Wykaz podatników VAT prowadzony przez KAS, tzw. biała lista, gdzie rachunek przedsiębiorcy bywa publicznie sprawdzany.
W takich sytuacjach numer konta nie jest sekretem. Wręcz przeciwnie: jego jawność ułatwia bezpieczne rozliczenia, bo druga strona może potwierdzić zgodność danych z fakturą, umową albo rejestrem.
Sytuacje podwyższonego ryzyka
Niebezpiecznie robi się wtedy, gdy ktoś prosi o numer konta w rozmowie, która nie powinna go wymagać. Klasyczny schemat z OLX, Vinted czy Facebook Marketplace wygląda tak: „już zapłacone, proszę wejść w link i potwierdzić odbiór pieniędzy”. To jest oszustwo. Do otrzymania zwykłego przelewu nie trzeba logować się do banku przez zewnętrzny link ani podawać danych karty.
Drugi sygnał alarmowy to prośba o więcej niż sam numer rachunku. Jeżeli po przekazaniu numeru ktoś żąda loginu do banku, PIN-u, pełnych danych karty, kodu BLIK albo zdjęcia dowodu osobistego, rozmowę należy zakończyć. Tego nigdy nie powinno się robić.
Trzeci problem to łączenie numeru konta z nadmiarem danych osobowych. Sam rachunek niewiele daje, ale rachunek + pełny adres + PESEL + skan dokumentu otwierają pole do prób wyłudzeń, zwłaszcza poza systemem bankowym.
Numer konta a inne sposoby otrzymywania pieniędzy — co wybrać
Nie każda sytuacja wymaga podawania numeru konta. Przy sprzedaży okazjonalnej albo rozliczeniach z obcymi warto czasem wybrać inną metodę, jeśli lepiej pasuje do skali transakcji i poziomu zaufania.
| Metoda | Jakie dane ujawniasz | Standard techniczny | Typowy koszt dla odbiorcy | Kiedy ma sens |
|---|---|---|---|---|
| Przelew na numer konta | 26 cyfr NRB lub IBAN PL + 26 cyfr | Elixir, czasem Express Elixir | zwykle 0 zł | wynagrodzenie, faktury, większe kwoty, stałe relacje |
| BLIK na telefon | 9-cyfrowy numer telefonu | przelew P2P w systemie BLIK | zwykle 0 zł | między osobami prywatnymi, szybkie rozliczenia, mniejsze kwoty |
| Link płatniczy przez PayU, Przelewy24, Stripe | brak ujawniania numeru rachunku kupującemu | bramka płatnicza, panel operatora | prowizja operatora, zwykle od ok. 1%+ | sprzedaż online, gdy liczy się automatyzacja i potwierdzenie płatności |
Zwykły przelew wygrywa prostotą i brakiem prowizji, ale ujawnia numer rachunku. Dla większości osób to nie problem. BLIK ogranicza liczbę udostępnianych danych, ale wymaga aktywnej usługi w konkretnym banku i nie zawsze pasuje do rozliczeń firmowych. Bramki typu PayU czy Przelewy24 podnoszą koszt, za to porządkują proces i ograniczają bezpośredni kontakt z danymi bankowymi.
Wniosek jest prosty: jeśli chodzi o stałe, formalne płatności, numer konta pozostaje najbardziej praktyczny. Przy jednorazowej sprzedaży nieznajomemu bezpieczniej bywa użyć pośrednika albo płatności w ramach platformy.
Najczęstsze scenariusze oszustw wokół numeru rachunku
Oszustwa wokół numeru konta prawie zawsze polegają na wyłudzeniu działania, a nie na samym poznaniu rachunku. Dlatego trzeba patrzeć na cały scenariusz, nie na pojedynczą daną.
Pierwszy schemat to phishing. Przychodzi SMS lub wiadomość e-mail o zwrocie środków, dopłacie 1,23 zł do paczki albo potwierdzeniu wypłaty. Link prowadzi do fałszywej strony przypominającej InPost, DPD albo stronę banku. Tam użytkownik sam oddaje login, hasło lub autoryzuje transakcję.
Drugi schemat to fałszywe potwierdzenie przelewu. Kupujący wysyła PDF albo zrzut ekranu i naciska na szybką wysyłkę towaru. To działa zwłaszcza przy ogłoszeniach lokalnych i przedmiotach za 200–1500 zł, gdzie sprzedający nie chce stracić okazji. Zasada jest prosta: liczy się zaksięgowanie pieniędzy, nie obrazek w komunikatorze.
Trzeci mechanizm to podmiana rachunku na fakturze. Ten problem dotyczy głównie firm. Przestępca przejmuje skrzynkę e-mail albo podszywa się pod kontrahenta i wysyła „aktualizację danych do przelewu”. Przy fakturach na 10 000 zł, 50 000 zł czy więcej jeden brak telefonu weryfikacyjnego potrafi kosztować bardzo dużo. W biznesie zmiana numeru rachunku powinna być zawsze potwierdzana drugim kanałem, np. telefonicznie.
Jeżeli do „odebrania pieniędzy” potrzebny jest link, logowanie do banku albo kod BLIK, to nie jest odbiór pieniędzy. To próba przejęcia konta lub autoryzacji transakcji.
Jak ograniczyć ryzyko po podaniu numeru konta
Najskuteczniejszą ochroną nie jest ukrywanie numeru konta, tylko ograniczanie nadmiaru danych i twarda weryfikacja procesu płatności. To podejście działa lepiej niż nerwowe traktowanie rachunku jak tajnego kodu.
- Podawaj tylko dane potrzebne do przelewu. Zwykle wystarczy imię i nazwisko lub nazwa firmy oraz numer rachunku. PESEL, skan dowodu i zdjęcie karty płatniczej nie są do tego potrzebne.
- Nie klikaj linków do „odbioru płatności”. Przelew przychodzący nie wymaga aktywacji. Środki albo wpłyną, albo nie.
- Sprawdzaj pieniądze w bankowości, nie w wiadomości. Liczy się historia rachunku w aplikacji banku, nie SMS, PDF ani screen.
- Przy firmie weryfikuj zmianę rachunku. Jeśli kontrahent nagle wysyła nowy numer konta, potwierdzenie telefoniczne powinno być standardem.
W niektórych sytuacjach warto rozważyć rozwiązania organizacyjne. Jedno konto do działalności, drugie do prywatnych wydatków; osobny rachunek do sprzedaży internetowej; korzystanie z platform, które trzymają komunikację i płatność w jednym systemie. To nie daje pełnej odporności, ale zmniejsza skutki błędu.
Po stronie prawnej istotna jest też Ustawa o usługach płatniczych. Jeśli dojdzie do nieautoryzowanej transakcji, znaczenie ma to, czy użytkownik sam nie zatwierdził operacji przez zaniedbanie lub pod wpływem manipulacji. Bank nie odpowiada automatycznie za każdą stratę, gdy klient przekazał kody autoryzacyjne oszustowi. Dlatego ostrożność proceduralna ma realny wymiar finansowy.
Najczęstsze pytania
Czy ktoś może wypłacić pieniądze, mając tylko numer konta?
Nie. Sam numer rachunku nie wystarcza do wykonania przelewu wychodzącego ani wypłaty środków. Potrzebna jest autoryzacja w banku zgodna z procedurą bezpieczeństwa.
Czy podanie numeru konta na OLX jest bezpieczne?
Samo podanie numeru konta do zwykłego przelewu jest co do zasady bezpieczne. Niebezpieczne staje się kliknięcie linku do rzekomego odbioru płatności albo podanie dodatkowych danych do logowania.
Czy numer konta to dana osobowa?
Sam numer rachunku nie zawsze identyfikuje konkretną osobę dla każdego odbiorcy, ale w praktyce może być traktowany jako dana osobowa, jeśli pozwala pośrednio powiązać konto z właścicielem. Dlatego warto udostępniać go celowo, a nie masowo.
Czy lepiej podawać numer konta czy BLIK na telefon?
To zależy od sytuacji. Numer konta lepiej sprawdza się przy fakturach, większych kwotach i formalnych rozliczeniach, a BLIK przy szybkich przelewach między osobami prywatnymi.
Co zrobić, jeśli po podaniu numeru konta pojawiły się podejrzane wiadomości?
Nie należy klikać linków ani niczego autoryzować. Warto zmienić hasło do poczty, sprawdzić alerty bezpieczeństwa w banku i zgłosić próbę oszustwa do CERT Polska oraz swojej platformy sprzedażowej.