Fałszywe e-maile „Potwierdź dane” podszywają się pod PKO BP

„Potwierdź swoje dane identyfikacyjne” – taki nagłówek widnieje na wiadomości przedstawionej na zrzutach ekranu. Jest charakterystyczne logo PKO Banku Polskiego, numer referencyjny, informacja o regulacjach i wyraźny przycisk „Sprawdź”. Całość wygląda jak zwykły komunikat z banku. I właśnie na tym polega zagrożenie.

Wiadomość przekonuje, że szybkie potwierdzenie danych w iPKO pozwoli zachować dostęp do usług. Autor powołuje się przy tym na dyrektywę PSD2, przepisy o przeciwdziałaniu praniu pieniędzy i Komisję Nadzoru Finansowego. Taki język ma wzbudzić zaufanie i skłonić odbiorcę do działania bez zastanowienia.

Bank i CERT Polska ostrzegają przed podobnymi wiadomościami

22 października 2026 roku PKO Bank Polski opublikował ostrzeżenie o fałszywych e-mailach żądających aktualizacji danych i potwierdzenia tożsamości. Tego samego dnia CERT Polska poinformował o licznych zgłoszeniach dotyczących kampanii podszywającej się pod bank.

W opisanym przez ekspertów schemacie link prowadzi do strony łudząco podobnej do serwisu iPKO. Wpisanie tam loginu lub hasła może dać przestępcom dostęp do konta.

Na samych zrzutach nie widać pełnego adresu nadawcy ani adresu, do którego prowadzi przycisk „Sprawdź”. Nie możemy więc technicznie potwierdzić pochodzenia tej konkretnej wiadomości. Jej treść odpowiada jednak schematowi oszustwa opisanemu w oficjalnych komunikatach.

Prawdziwe przepisy nie są dowodem, że e-mail pochodzi z banku

Banki rzeczywiście mają obowiązek aktualizowania części danych klientów. PKO BP wskazuje jednak, że nie prosi e-mailem o dane logowania ani o potwierdzanie tożsamości poprzez link w wiadomości.

Jeśli aktualizacja jest potrzebna, należy sprawdzić ją po samodzielnym otwarciu aplikacji IKO albo serwisu iPKO, a w razie wątpliwości skontaktować się z bankiem.

O wiarygodności nie świadczy też logo, numer referencyjny czy nawet prawdziwy numer infolinii wpisany w stopce. Takie elementy można skopiować. Oszuści liczą, że znajomy wygląd wiadomości uśpi czujność odbiorcy.

Co zrobić, gdy taki e-mail trafi do skrzynki?

Przede wszystkim nie klikaj przycisku ani odnośników w podejrzanej wiadomości. Nie pobieraj załączników.

Otwórz aplikację bankową w zwykły sposób lub samodzielnie wpisz adres serwisu banku w przeglądarce. Jeśli masz wątpliwości, zadzwoń na oficjalną infolinię PKO BP: 800 302 302.

Jeżeli po kliknięciu linku podałeś login, hasło, kod autoryzacyjny lub dane karty, natychmiast skontaktuj się z bankiem i zgłoś możliwość przejęcia dostępu. Nie czekaj na podejrzaną transakcję. Bank wskaże, jak zabezpieczyć konto i środki.

Podejrzany e-mail można zgłosić do CERT Polska przez formularz incydent.cert.pl. Najlepiej zachować oryginalną wiadomość, bo jej nagłówki i adresy mogą pomóc specjalistom w analizie.

Ostrzeż także bliskich

Taką wiadomość może otrzymać każdy, nie tylko osoba często korzystająca z bankowości internetowej. Warto uprzedzić szczególnie tych bliskich, którzy rzadziej korzystają z internetu.

Bankowe logo i urzędowe sformułowania nie potwierdzają autentyczności e-maila. Jeden pochopny krok może kosztować oszczędności.

Źródła: Ostrzeżenie PKO Banku Polskiego z 22 października 2026 r., Komunikat CERT Polska z 22 października 2026 r..