Po oszustwie internetowym liczą się dwie rzeczy: ograniczenie ryzyka kolejnych operacji oraz zachowanie materiału w formie, która pozwoli odtworzyć zdarzenie. Chaotyczne kasowanie wiadomości, reset urządzenia albo przesyłanie dalej jedynych kopii może utrudnić późniejszą analizę. Z drugiej strony samo wykonanie wielu zrzutów ekranu bez dat, adresów i informacji o źródle nie tworzy jeszcze czytelnego pakietu dowodowego.

Poniżej znajduje się bezpieczna mapa pierwszych działań, możliwych kwalifikacji prawnych i zawartości zgłoszenia. Materiał nie przesądza, że w konkretnej sytuacji doszło do przestępstwa ani który przepis znajdzie zastosowanie. Taka ocena wymaga pełnego mechanizmu zdarzenia, przepływu pieniędzy lub danych i dokumentów z właściwych usług.

Najpierw zatrzymaj dalsze ryzyko, ale nie niszcz śladów

Przerwij kontakt prowadzony podejrzanym kanałem. Nie wykonuj kolejnego przelewu, nie podawaj kodu autoryzacyjnego i nie instaluj programu wskazanego przez rozmówcę. Jeżeli zagrożone jest konto bankowe, użyj numeru lub funkcji kontaktu pochodzących z oficjalnej aplikacji, karty albo samodzielnie wpisanej strony banku, a nie z wiadomości przesłanej przez osobę kontaktującą się z Tobą.

Nie usuwaj rozmowy i nie przywracaj urządzenia do ustawień fabrycznych przed oceną, co trzeba zachować. Gdy istnieje podejrzenie złośliwego oprogramowania, ogranicz dalsze logowanie z zagrożonego urządzenia i skonsultuj sposób zabezpieczenia z osobą mającą odpowiednie kompetencje techniczne. Celem jest uniknięcie kolejnej szkody bez bezpowrotnego zmieniania materiału.

CERT Polska zaleca, aby nie pozwalać osobie dzwoniącej na przejęcie kontroli nad komputerem i nie instalować oprogramowania wskazanego przez rzekomego konsultanta.

„Oszustwo internetowe” może oznaczać różne mechanizmy prawne

O kwalifikacji nie decyduje sama nazwa „oszustwo internetowe”, lecz ustalony sposób działania, cel sprawcy, rodzaj ingerencji i skutek.

Art. 286 § 1 KK obejmuje doprowadzenie innej osoby, w celu osiągnięcia korzyści majątkowej, do niekorzystnego rozporządzenia mieniem przez wprowadzenie w błąd, wyzyskanie błędu albo niezdolności do należytego pojmowania działania.

Art. 287 § 1 KK dotyczy nieuprawnionego wpływania na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych albo zmiany, usunięcia lub wprowadzenia zapisu danych w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody.

Art. 267 KK reguluje między innymi nieuprawnione uzyskanie dostępu do informacji lub systemu informatycznego oraz używanie urządzenia albo oprogramowania w celu uzyskania informacji, do której sprawca nie jest uprawniony.

W praktyce jedno zdarzenie może zawierać kilka etapów: podszycie się pod zaufaną osobę, pozyskanie danych logowania, ingerencję w konto i transfer środków. Każdy etap trzeba opisać osobno, bez samodzielnego wybierania tylko jednego przepisu. Informacja „kto kliknął” nie zastępuje wyjaśnienia, jaka treść została pokazana, jakie dane podano, co działo się na urządzeniu i jak doszło do operacji.

Tryb ścigania zależy od konkretnego przepisu i relacji stron

Ściganie czynów określonych w art. 267 § 1–4 KK następuje na wniosek pokrzywdzonego.

W przypadku oszustwa z art. 286 § 1–3 KK ściganie następuje na wniosek tylko wtedy, gdy czyn popełniono na szkodę osoby najbliższej.

W przypadku oszustwa komputerowego z art. 287 KK ściganie następuje na wniosek, gdy czyn popełniono na szkodę osoby najbliższej.

W sprawie o przestępstwo ścigane na wniosek postępowanie po złożeniu wniosku toczy się z urzędu, a organ ścigania poucza uprawnioną osobę o prawie do złożenia wniosku.

Nie należy więc przenosić informacji o trybie ścigania z jednego przepisu na wszystkie zdarzenia cyfrowe. W zawiadomieniu można opisać fakty własnymi słowami, natomiast przy pouczeniu o wniosku trzeba sprawdzić, jakiego czynu i jakich osób dotyczy. Kopię podpisanego protokołu lub pisma warto zachować wraz z datą.

Pakiet dowodowy: zachowaj źródło, treść i kontekst

Najlepszy pakiet roboczy pozwala innej osobie odtworzyć zdarzenie bez zgadywania. Nie oznacza to gromadzenia całej zawartości telefonu. Trzeba zebrać materiały związane z konkretnym mechanizmem i opisać ich pochodzenie.

Wiadomości, e-maile i rozmowy

  • zachowaj pełną rozmowę, nie tylko najbardziej podejrzany fragment;
  • zapisz nazwę konta, identyfikator profilu, numer telefonu, adres e-mail oraz daty i godziny;
  • w przypadku e-maila zachowaj oryginalną wiadomość wraz z pełnymi nagłówkami i załącznikiem, ale nie uruchamiaj podejrzanego pliku;
  • zapisz historię połączeń i krótko opisz, co wydarzyło się podczas każdej rozmowy;
  • jeżeli komunikat zniknął, zanotuj kiedy i w jakich okolicznościach został zauważony.

CERT Polska wskazuje, że przy zgłoszeniu incydentu warto, jeśli to możliwe, dołączyć fragmenty logów albo inne pliki zawierające informacje o incydencie.

W odniesieniu do podejrzanego e-maila CERT Polska rekomenduje zapisanie całej wiadomości wraz z załącznikiem i nagłówkami w osobnym pliku oraz przekazanie go przez formularz zgłoszeniowy, bez otwierania załącznika.

Strony, ogłoszenia i profile

  • zapisz pełny adres URL, tytuł strony, datę i godzinę dostępu;
  • wykonaj zrzuty pokazujące pasek adresu oraz treść istotną dla zdarzenia;
  • zachowaj identyfikator ogłoszenia, numer zamówienia i dane widoczne w oficjalnym panelu serwisu;
  • nie loguj się ponownie przez link otrzymany od sprawcy tylko po to, aby wykonać lepszy zrzut.

Płatności i przepływ pieniędzy

  • pobierz potwierdzenie operacji z oficjalnego systemu banku;
  • zapisz rachunek odbiorcy, kwotę, walutę, datę, identyfikator i tytuł operacji;
  • odróżnij operację rzeczywiście wykonaną od oczekującej, odrzuconej lub tylko pokazanej na przesłanym obrazie;
  • zachowaj potwierdzenie kontaktu z bankiem i numer zgłoszenia, jeżeli został nadany.

Nie nanoś zmian na oryginalny plik. Do opisu można użyć kopii i osobnej tabeli. Jeżeli trzeba ukryć dane przed publikacją lub przekazaniem osobie niezwiązanej ze sprawą, zachowaj niezmieniony oryginał w bezpiecznym miejscu i wyraźnie oznacz wersję zanonimizowaną.

Zbuduj chronologię zamiast narracji pisanej z pamięci

Dla każdej czynności zapisz datę i godzinę, kanał, uczestnika, treść lub skutek oraz nazwę pliku potwierdzającego. Jeżeli godzina jest przybliżona, oznacz to wprost. W osobnej kolumnie wpisz źródło informacji: własna obserwacja, dokument bankowy, log systemowy albo relacja innej osoby.

Warto rozdzielić trzy osie czasu:

  1. kontakt ze sprawcą lub podejrzanym kontem;
  2. operacje na urządzeniu, koncie i w banku;
  3. działania po wykryciu zdarzenia, w tym zgłoszenia i blokady.

Taki układ ujawnia przerwy i sprzeczności. Nie trzeba ich ukrywać. Lepiej zaznaczyć brak niż wypełnić go założeniem, które później okaże się niezgodne z logiem lub dokumentem.

CERT Polska a zawiadomienie organów ścigania

CERT Polska przyjmuje zgłoszenia incydentów przez formularz dostępny pod adresem incydent.cert.pl i wymienia wśród obsługiwanych zdarzeń między innymi wyłudzenia internetowe, złośliwe oprogramowanie, ataki DoS i DDoS oraz włamania i próby włamania.

CERT Polska rekomenduje zgłaszanie podejrzeń przestępstwa także Policji lub prokuraturze oraz wskazanie w zawiadomieniu rodzaju i wysokości szkody oraz dowodów.

Zgłoszenie incydentu do CERT Polska oraz zawiadomienie Policji lub prokuratury są odrębnymi działaniami.

Jeżeli wykonujesz oba działania, zapisz numery zgłoszeń i dołącz do chronologii potwierdzenia. Nie wysyłaj publicznie haseł, kodów autoryzacyjnych ani pełnych danych, które nie są wymagane przez właściwy kanał.

Status pokrzywdzonego i dalsze wnioski

Pokrzywdzonym w postępowaniu karnym jest osoba fizyczna lub prawna, której dobro prawne zostało bezpośrednio naruszone lub zagrożone przez przestępstwo.

W postępowaniu przygotowawczym pokrzywdzony i podejrzany są stronami.

Pokrzywdzony i jego pełnomocnik mogą składać wnioski o dokonanie czynności śledztwa, a gdy żądają udziału w zawnioskowanej czynności, nie można odmówić im tego udziału z zastrzeżeniem reguły wskazanej w art. 315 § 2 KPK.

Przed sformułowaniem wniosku dowodowego trzeba wskazać, jakiej czynności się oczekuje i co ma ona ustalić. Samo żądanie „sprawdzenia Internetu” jest zbyt ogólne. Pomocna jest tabela: podmiot lub usługa, możliwy zakres danych, związek ze zdarzeniem i okres, którego dane dotyczą. Dostępność konkretnego materiału oraz sposób jego uzyskania ocenia organ w realiach sprawy.

Zmiany prawa istotne dla materiału

Ustawa z 15 maja 2026 r. o zmianie Kodeksu karnego obowiązuje od 21 lipca 2026 r. i rozszerzyła odesłanie w art. 269b § 1 KK z art. 267 § 3 na art. 267 § 1–3.

Ustawa z 11 czerwca 2026 r. o zmianie Kodeksu karnego ma wejść w życie 23 sierpnia 2026 r. i dodać art. 255b KK; nie zmienia art. 267–269b, 286 ani 287 KK omawianych w tym poradniku.

Powiązane materiały

Mapę podstawowych ról zawiera dział prawo karne w Legnicy. Dla osoby dotkniętej zdarzeniem przydatny jest materiał o pełnomocniku pokrzywdzonego. Jeżeli problem dotyczy osoby, której przedstawiono zarzut, odrębną ścieżkę opisuje strona o obronie w postępowaniu sądowym. Po uporządkowaniu chronologii można przejść do kontaktu z kancelarią; żadna z tych informacji nie gwarantuje odzyskania środków ani określonego wyniku.

Stan prawny i źródła

Podstawą opracowania są wskazane poniżej urzędowe karty aktów oraz oficjalne materiały instytucjonalne.