Polska jest światowym liderem płatności zbliżeniowych – wykonujemy nimi już 97,8% bezgotówkowych transakcji kartowych^[1], a co trzecia z nich odbywa się telefonem, zegarkiem lub innym urządzeniem z modułem NFC^[2]. Im rzadziej sięgamy po gotówkę, tym ważniejsza jest wiedza, co naprawdę zagraża naszym pieniądzom. Dane Narodowego Banku Polskiego są jednoznaczne: to nie zgubiona karta, lecz oszuści. Tylko w IV kwartale 2025 r. wyłudzili od klientów banków 182,7 mln zł, w większości przypadków nie łamiąc zabezpieczeń, lecz zdobywając zaufanie ofiar^[3].

Płatności mobilne to codzienność, nie nisza

Według NBP niemal co czwarta transakcja płatnicza w Polsce wykonywana jest zbliżeniowo urządzeniem mobilnym, a średnia wartość takiej płatności to 66,3 zł^[4]. Nośnikiem karty przestał być wyłącznie plastik: jest nim telefon, smartwatch, opaska, a coraz częściej także pierścień płatniczy. Wszystkie działają tak samo – przechowują zaszyfrowany odpowiednik karty i łączą się z terminalem przez NFC.

Przyzwyczajenie do płacenia zegarkiem podczas wyjazdów zagranicznych bywa zgubne – podróżnych zaskakuje, że w popularnych kierunkach wakacyjnych wciąż królują banknoty. – Prawdziwe zdziwienie przeżywamy na urlopie. W strefie euro gotówka wciąż odpowiada za ponad połowę płatności w sklepach stacjonarnych, a najbardziej przywiązani do niej są mieszkańcy Niemiec, Austrii czy Włoch. Polak płacący od lat zegarkiem w kraju, może się zdziwić, gdy w berlińskiej restauracji czy alpejskim pensjonacie usłyszy, że przyjmowana jest tylko gotówka. Przed wyjazdem warto więc sprawdzić zwyczaje płatnicze kraju docelowego i w razie potrzeby zabrać zapas banknotów^[5] – komentuje Agnieszka Szymańska, ekspertka Intrum.

Gdzie naprawdę leży ryzyko?

Wbrew powszechnemu przekonaniu kradzieże kart odpowiadają zaledwie za 5,4% wykrytych przypadków. Dominują operacje z użyciem danych karty bez jej fizycznej obecności, głównie w internecie^[6]. Największe straty generują jednak oszustwa przelewowe: trzy czwarte ich wartości to skutek nakłonienia ofiary do samodzielnego wykonania transakcji lub ujawnienia danych^[7]. Przestępcy rzadko forsują zabezpieczenia – częściej zdobywają zaufanie, podszywając się pod bank, kuriera czy urząd.

Sama technologia broni się dobrze: udział oszustw we wszystkich transakcjach kartowych w Polsce to 0,003% liczby i 0,007% wartości, jeden z najniższych wyników w Unii Europejskiej^[8]. Płatności mobilne chroni dodatkowo tokenizacja: urządzenie nie przekazuje sprzedawcy numeru karty, lecz jednorazowy, zaszyfrowany identyfikator, bezużyteczny dla złodzieja.

Prawo po stronie konsumenta

Polski ustawodawca, przenosząc na krajowy grunt unijne regulacje płatnicze, postawił klienta w mocnej pozycji. Za transakcje wykonane skradzionym lub zgubionym urządzeniem przed jego zastrzeżeniem klient odpowiada najwyżej do równowartości 50 euro, a po zastrzeżeniu pełna odpowiedzialność przechodzi na bank.

Środki z nieautoryzowanej transakcji muszą wrócić na konto do końca następnego dnia roboczego po zgłoszeniu (tzw. zasada D+1)^[9]. Co ważne, ciężar dowodu spoczywa na banku: to on musi wykazać, że klient autoryzował transakcję, a samo użycie kodu PIN czy hasła nie wystarcza^[10]. Dodatkową barierą jest próg płatności zbliżeniowej bez PIN (standardowo 100 zł): w aplikacji banku każdy może ustawić własne, niższe limity^[11].

Kilka minut, które chronią konto

Skuteczne zabezpieczenie płatności mobilnych zajmuje kilka minut i nie wymaga wiedzy technicznej. Najważniejsze zasady to: ustawienie w aplikacji banku własnych limitów płatności zbliżeniowych, internetowych i wypłat.

Kolejne to włączenie powiadomień push o każdej operacji, dzięki którym o podejrzanej transakcji wiadomo w kilka sekund, czy zabezpieczenie telefonu i zegarka biometrią lub kodem, bo portfel cyfrowy wymaga odblokowania urządzenia przed płatnością. Bardzo ważna jest zasada ograniczonego zaufania, bo bank, policja ani urząd nigdy nie proszą telefonicznie o hasła, kody BLIK ani o instalację dodatkowych aplikacji.

– Zgubionej gotówki nikt nam nie zwróci. Telefon z kartą można zdalnie zablokować, a za nieautoryzowane płatności odpowiada głównie bank. Dobrze skonfigurowany portfel mobilny jest więc paradoksalnie bezpieczniejszy niż banknoty w kieszeni. Najsłabszym ogniwem pozostaje człowiek, dlatego każdą nietypową prośbę o pieniądze lub dane warto zweryfikować u źródła – dodaje Agnieszka Szymańska, ekspertka Intrum.

Utrata urządzenia lub oszustwo: schemat działania

Pierwszy krok to zastrzeżenie karty – w aplikacji lub pod całodobowym numerem Systemu Zastrzegania Kart 828 828 828, wspólnym dla wszystkich banków^[12]. Telefon lub zegarek można zdalnie zablokować i wymazać z konta Google lub Apple. Nieautoryzowaną transakcję należy niezwłocznie zgłosić bankowi, powołując się na zasadę D+1, złożyć zawiadomienie na policji, a podejrzaną wiadomość przekazać CERT Polska przez incydent.cert.pl^[13].

Bezgotówkowa rewolucja, której Polska jest awangardą, nie wymaga powrotu do portfela pełnego banknotów – wymaga kilku minut uwagi i zdrowej podejrzliwości wobec telefonów „z banku”.

Statystyka jest bowiem przewrotna: pieniądzom w cyfrowym portfelu rzadko zagraża dziś kieszonkowiec, znacznie częściej rozmówca po drugiej stronie. A najlepszym zabezpieczeniem jest chwila zastanowienia, zanim klikniemy w przesłany link.

^[1] Narodowy Bank Polski, „Ocena funkcjonowania polskiego systemu płatniczego w I półroczu 2025 r.”, listopad 2025 r. Źródło: https://nbp.pl/wp-content/uploads/2025/11/Ocena-I-polrocze_2025.pdf

^[2] Narodowy Bank Polski, „Ocena funkcjonowania polskiego systemu płatniczego w II półroczu 2024 r.” Źródło: https://nbp.pl/wp-content/uploads/2025/05/Ocena-II-polrocze-2024-r.pdf

^[3] Narodowy Bank Polski, „Informacja o transakcjach oszukańczych dokonanych przy użyciu bezgotówkowych instrumentów płatniczych – IV kwartał 2025 r.” Źródło: https://nbp.pl/wp-content/uploads/2026/05/2025-Q4-informacja-o-transakcjach-oszukanczych.pdf

^[4] Narodowy Bank Polski, „Informacja o kartach płatniczych – I kwartał 2025 r.” Źródło: https://nbp.pl/wp-content/uploads/2025/07/2025-Q1-informacja-o-kartach-platniczych.pdf

^[5] Europejski Bank Centralny, „Study on the payment attitudes of consumers in the euro area (SPACE) 2024”: Źródło: https://www.ecb.europa.eu/stats/ecb_surveys/space/html/ecb.space2024~19d46f0f17.en.html

^[6] Narodowy Bank Polski, „Informacja o transakcjach oszukańczych – I kwartał 2025 r.” Źródło: https://nbp.pl/wp-content/uploads/2025/07/2025-Q1-informacja-o-transakcjach-oszukanczych.pdf

^[7] Narodowy Bank Polski, „Informacja o transakcjach oszukańczych dokonanych przy użyciu bezgotówkowych instrumentów płatniczych – IV kwartał 2025 r.” Źródło: https://nbp.pl/wp-content/uploads/2026/05/2025-Q4-informacja-o-transakcjach-oszukanczych.pdf

^[8] Tamże

^[9] Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz.U. 2025 poz. 611), art. 46: odpowiedzialność płatnika za nieautoryzowane transakcje będące skutkiem utraty lub kradzieży instrumentu płatniczego ograniczona do równowartości 50 euro; obowiązek zwrotu środków przez dostawcę do końca następnego dnia roboczego po zgłoszeniu (zasada D+1). Źródło: https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20111991175

^[10] Ustawa o usługach płatniczych, art. 45: ciężar udowodnienia, że transakcja płatnicza była autoryzowana, spoczywa na dostawcy usług płatniczych; samo zarejestrowane użycie instrumentu płatniczego nie wystarcza do wykazania autoryzacji. Zob. też Rzecznik Finansowy, FAQ „Transakcje nieautoryzowane”: https://rf.gov.pl/edukacja/baza-wiedzy/najczestsze-pytania-i-odpowiedzi-faq/transakcje-nieautoryzowane/

^[11] Limit pojedynczej płatności zbliżeniowej bez PIN został podniesiony w Polsce z 50 do 100 zł w 2020 r.; niezależnie od niego klienci mogą ustawiać własne limity w aplikacjach bankowych. Zob. Narodowy Bank Polski, „Ocena funkcjonowania polskiego systemu płatniczego”: https://nbp.pl/system-platniczy/dane-i-analizy/

^[12] Związek Banków Polskich, System Zastrzegania Kart – całodobowy numer 828 828 828, wspólny dla wszystkich banków wydających karty w Polsce. Źródło: https://www.zastrzegam.pl

^[13] CERT Polska (CSIRT NASK) – zgłaszanie incydentów cyberbezpieczeństwa, w tym phishingu i podejrzanych wiadomości: https://incydent.cert.pl