Gdy oszukany klient traci pieniądze, liczy się jedno: żeby odzyskał je szybko i sprawnie. Obecnie ustawa o usługach płatniczych zobowiązuje banki (i innych dostawców usług płatniczych) do zwrotu utraconych przez klienta pieniędzy. Tyle że internetowe oszustwo, nazywane już powszechnie „scamem” rzadko zaczyna się w środowisku bankowości elektronicznej czy mobilnej. Zaczyna się wcześniej: od spoofingu, fałszywego SMS-a, reklamy inwestycyjnej w mediach społecznościowych albo sponsorowanego posta, który wygląda jak legalna oferta. To dlatego coraz trudniej bronić starego modelu, w którym odpowiedzialność finansowa kończy się na sektorze finansowym, a telekomy i platformy pozostają głównie „pośrednikami technicznymi”. W praktyce to właśnie te podmioty kontrolują dziś kanały dotarcia do ofiary, architekturę i treść reklamy, systemy weryfikacji nadawców, filtrowanie treści oraz szybkość reakcji na zgłoszenia. Jeżeli więc mają realny wpływ na ryzyko, powinny być także obciążone realną odpowiedzialnością.
Ofiara nie powinna szukać winnego
Współczesne oszustwa płatnicze są skomplikowanym zjawiskiem dotykającym całego ekosystemu gospodarczego i technologicznego. Oszust wykorzystuje równocześnie infrastrukturę komunikacyjną, reklamową, hostingową i płatniczą, a powodzenie całego schematu zależy zwykle od najsłabszego ogniwa. Jeżeli platforma dopuści oszukańczą reklamę, telekom nie zatrzyma spoofingu czy phishingowego SMS, a bank nie wychwyci podejrzanej transakcji, ofiara wpada w skomplikowaną pułapkę. Nie sposób oczekiwać, że sama rozplecie ten łańcuch i wskaże, kto zawinił. To wymusza zmianę podejścia. Oszustwa internetowe „scamy” to problem całej gospodarki, który wymaga kompleksowej reakcji, zarówno na poziomie UE, jak i poszczególnych państw członkowskich.
Czytaj więcej
Presja polskich władz i biznesu, z Rafałem Brzoską na czele, zmiękczyła giganta mediów społecznościowych. Właściciel Facebooka ogłosił wdrożenie na...
Ochrona konsumenta w projekcie PSR
Projekt unijnego rozporządzenia w sprawie usług płatniczych w ramach rynku wewnętrznego (PSR), które ma zostać ostatecznie uchwalone pod koniec 2026 r., niewątpliwie przesuwa debatę na właściwe tory. Rozszerza on zakres wybranych obowiązków także na dostawców usług łączności elektronicznej (providers of electronic communications services), dostawców usług hostingu (hosting providers) oraz bardzo duże platformy internetowe i bardzo duże wyszukiwarki internetowe (very large online platforms i very large online search engines). W treści dedykowanych przepisów tego aktu widzimy próbę zbudowania zrębów współpracy, wymiany informacji oraz szczególnych obowiązków wobec oszustw i reklam regulowanych usług finansowych. To ważny krok, bo oznacza odejście od myślenia, że z oszustwami mają walczyć wyłącznie uczestnicy rynku finansowego.
Projekt uwzględnia istniejące mechanizmy kompensacyjne między dostawcą prowadzącym rachunek i dostawcą inicjującym płatność (ASPSP – Account Servicing Payment Service Provider i PISP – Payment Initiation Service Provider). Są także reguły odpowiedzialności dostawców usług technicznych (technical service providers) i operatorów schematów płatniczych (operators of payment schemes) za bezpośrednią szkodę finansową wynikającą z niezastosowania silnego uwierzytelnienia klienta (strong customer authentication). To pokazuje, że model „najpierw ochrona klienta, potem rozliczenie między profesjonalistami” jest w pełni zgodny z logiką regulacyjną PSR.
Ale właśnie tu widać najważniejszą lukę, która ostatecznie uderza w klienta. PSR nakłada na telekomy i platformy pewne obowiązki antyfraudowe, lecz nie daje jeszcze bankom i innym dostawcom usług płatniczych (PSP) prawa regresu wobec tych podmiotów, gdy naruszenie ich obowiązków realnie umożliwiło oszustwo internetowe (scam). Innymi słowy: kierunek jest dobry, lecz odpowiedzialność nadal nie nadąża za faktycznym rozkładem ryzyka.
Czytaj więcej
Nad Wisłą rośnie opór przeciwko lukratywnemu, ale nielegalnemu biznesowi, który kwitnie pod nosem Marka Zuckerberga. Chodzi o fałszywe reklamy i ma...
Najpierw zwrot, potem rozliczenia
Najbardziej racjonalny model odpowiedzialności powinien być dwustopniowy. W pierwszym kroku klient zachowuje pełną ochronę ze strony banku lub innego dostawcy usług płatniczych, bo to zapewnia szybkość i względną prostotę zwrotu. Dopiero w drugim kroku – już bez udziału klienta – bank powinien mieć ustawowe prawo regresu wobec telekomu albo platformy społecznościowej czy sprzedażowej, jeśli podmioty te naruszyły obowiązki np. prewencyjne, a to naruszenie co najmniej przyczyniło się do powstania szkody.
Taki model ma kilka zalet. Po pierwsze, nie osłabia ochrony konsumenta, bo klient nie musi prowadzić sporu z wielką platformą czy operatorem telekomunikacyjnym. Po drugie, przenosi koszty tam, gdzie rzeczywiście zawiodły zabezpieczenia. Po trzecie, tworzy bodziec ekonomiczny, aby telekomy i platformy inwestowały w realne systemy wykrywania oszustw internetowych (scamów) – a to znaczy, że mniej osób w ogóle stanie się ofiarami.
Nie chodzi więc o to, aby przerzucić całą odpowiedzialność na telekomy czy platformy, ale o to, by nie były one dłużej uprzywilejowanym uczestnikiem „ekosystemu fraudowego”, który czerpie korzyści z ruchu na łączach czy reklamy, a koszt szkody leży wyłącznie po stronie sektora płatniczego i klienta.
Jak chronią klientów poza UE?
W Wielkiej Brytanii widać rosnącą presję na platformy internetowe, by te brały odpowiedzialność za oszukańcze reklamy (scam ads) i nielegalne promocje finansowe (illegal financial promotions). Ofcom (Office of Communications – organ kontrolujący i nadzorujący rynek mediów i telekomunikacji) zapowiedział, że platformy takie jak YouTube, Instagram czy TikTok będą musiały podejmować działania wobec oszukańczych reklam, a brytyjska strategia regulacyjna od dłuższego czasu zakłada, że odpłatnie emitowana reklama oszukańcza (paid-for fraudulent advertising) nie może być traktowana jak neutralna treść. Z kolei FCA (Financial Conduct Authority) coraz aktywniej ściga nielegalne kampanie finansowe w mediach społecznościowych. W lipcu 2026 r. poinformowała o międzynarodowej akcji przeciwko nielegalnym promocjom finansowym prowadzonym przez tzw. finfluencerów, która przyniosła trzy aresztowania i 650 żądań usunięcia treści z mediów społecznościowych. Właśnie dlatego brytyjski wzorzec obostrzeń reklam w social mediach zasługuje na rozwinięcie. Jeżeli platforma przyjmuje pieniądze za emisję reklamy inwestycyjnej, finansowej lub quasi-finansowej, powinna mieć obowiązek weryfikacji reklamodawcy, wychwytywania podszyć pod licencjonowane podmioty i szybkiego zdejmowania reklam oszukańczych.
Czytaj więcej
Batalia Rafała Brzoski z imperium Marka Zuckerberga to nie odosobniony incydent, ale część rosnącego globalnego sprzeciwu użytkowników Facebooka pr...
Australia jest dziś jednym z najciekawszych przykładów walki ze scamem. Ramowe Zasady Zapobiegania Oszustwom (Scams Prevention Framework – SPF) nakładają na biznes obowiązki w formule zapobiegaj-wykrywaj-przerywaj (prevent-detect-disrupt). Chodzi tu m.in. o blokowanie oszukańczych wiadomości SMS przez operatorów telekomunikacyjnych, blokowanie oszukańczych reklam inwestycyjnych przez media społecznościowe, weryfikację reklamodawców finansowych, zamrażanie podejrzanych kont, usuwanie treści scamowych, alerty w czasie rzeczywistym (real-time alerts) po stronie banków oraz rozwinięte mechanizmy wymiany informacji o zagrożeniach (intelligence sharing). To nie jest kosmetyka regulacyjna, ale próba przebudowy całego łańcucha bezpieczeństwa. Co szczególnie ważne dla samych poszkodowanych, Australia nie zatrzymuje się na obowiązkach prewencyjnych. SPF zakładają także ścieżki kompensacyjne, zasadę możliwości zgłoszenia roszczenia w każdym podmiocie (no-wrong-door) oraz możliwość przypisywania odpowiedzialności podmiotom z różnych sektorów, gdy nie wykonały swoich obowiązków.
Singapur poszedł jeszcze dalej w obszarze phishingu SMS-owego. Ramowy Model Współdzielonej Odpowiedzialności (Shared Responsibility Framework) zakłada podział odpowiedzialności za określone straty phishingowe między instytucje finansowe oraz operatorów telekomunikacyjnych. Model jest warstwowy: instytucja finansowa jest na pierwszej linii odpowiedzialności, ale jeżeli wywiązała się ze swoich obowiązków, a obowiązków nie dopełnił operator telekomunikacyjny, to właśnie operator telekomunikacyjny może ponieść pełną odpowiedzialność za stratę.
Ile płaci użytkownik za oszukańczą reklamę?
Platformy społecznościowe czy sprzedażowe od dawna nie są już zwykłymi tablicami ogłoszeń. To rozbudowane ekosystemy reklamowe, które profilują użytkowników, optymalizują zasięg i zarabiają na precyzyjnej dystrybucji treści. Skoro potrafią z dużą skutecznością kierować reklamę do wybranych grup odbiorców (targetować reklamę), powinny też potrafić wykrywać cechy charakterystyczne dla oszukańczych reklam: podszycie pod licencjonowany podmiot, fałszywe inwestycje, fałszywe rekomendacje tworzone z użyciem technologii deepfake czy obietnice nierealnych stóp zwrotu inwestycji. Tymczasem brak obowiązków w zakresie zwalczania scamu w praktyce oznacza subsydiowanie przestępczości zaawansowanym systemem reklamowym platform. To wyjątkowo niebezpieczna symbioza, gdzie zysk czerpie jednocześnie legalnie działający reklamobiorca i nielegalny reklamodawca – a rachunek płaci użytkownik, czyli klient. Z dostępnych danych wynika, że w samej UE zysk platform społecznościowych z reklam oszukańczych mógł w 2025 r. wynieść 4,4 mld euro. Z kolei w Polsce przychód ten w 2025 r. szacowany jest na 725 mln zł. To około 33 mld wyświetleń takich reklam rocznie, średnio 127 reklam scamowych miesięcznie na użytkownika. Stąd nie dziwi, że przykładowo Meta jest obecnie pozywana nie tylko za pojedyncze nielegalne treści, lecz coraz częściej za sam model projektowania i monetyzacji platform: uzależniające funkcje, zbieranie danych dzieci czy właśnie brak skutecznej reakcji na ryzyka oraz aktywną dystrybucję płatnych reklam scamowych.
Czytaj więcej
Rafał Brzoska do walki z Metą zaprzęga AI. Wraz ze współtwórcą polskiego modelu sztucznej inteligencji Bielik, uruchomia serwis ScamWatch – narzędz...
W tym kontekście mówimy więc o odpowiedzialności za naruszenie konkretnych obowiązków: obowiązku weryfikacji reklamodawcy finansowego, obowiązku szybkiej reakcji na wiarygodne zgłoszenie, obowiązku usunięcia reklamy lub konta, obowiązku zabezpieczenia danych dowodowych i obowiązku ostrzegania użytkowników, którzy weszli w interakcję ze scamowym materiałem. Każdy z tych obowiązków ma bezpośredni sens dla konkretnej osoby, która w porę zobaczy ostrzeżenie albo nie zobaczy fałszywej reklamy. Dokładnie taki kierunek widać w brytyjskich i australijskich rozwiązaniach.
Polska i UE: czas na następny krok
Kierunek wyznaczany przez PSR jest potrzebny, podobnie jak krajowe rozwiązania wzmacniające wymianę informacji między bankami, innymi dostawcami usług płatniczych (PSP), organizacjami płatniczymi i przedsiębiorcami komunikacji elektronicznej.
To jednak dopiero infrastruktura. Kolejnym krokiem powinno być dopisanie do niej wyraźnej reguły: jeśli bank zwrócił klientowi pieniądze, a oszustwo doszło do skutku dlatego, że telekom lub platforma naruszyły stosowne obowiązki, bank zyskuje prawo regresu. Takie rozwiązanie nie podważa ochrony klienta, lecz czyni ją ekonomicznie uczciwszą i regulacyjnie bardziej spójną. Równolegle potrzebne są ostrzejsze zasady dla reklam finansowych i pseudofinansowych w social mediach oraz platformach sprzedażowych, wzorowane np. na brytyjskim podejściu. Reklama inwestycyjna nie może być wpuszczana do obiegu bez realnej weryfikacji reklamodawcy, zwłaszcza gdy od jej emisji platforma czerpie bezpośredni przychód.
Dzisiejszy scam to nie awaria w ramach jednego sektora, lecz efekt współdziałania kilku oszukańczych infrastruktur naraz. Prawodawca unijny zaczyna zauważać, że nie jest wyłącznie problemem sektora płatniczego. Ale to wciąż za mało z punktu widzenia osób, które tracą oszczędności. Prawdziwa zmiana zacznie się dopiero wtedy, gdy za niewykonanie obowiązków antyfraudowych będą groziły nie tylko zalecenia czy sankcje administracyjne, lecz także realne konsekwencje finansowe w postaci regresu. Dopiero wtedy system zacznie premiować tych, którzy naprawdę zapobiegają scamom, zamiast jedynie zarządzać ich skutkami – a klient przestanie być najsłabiej chronionym ogniwem tego łańcucha.
Autor jest dr. nauk prawnych, rzecznikiem finansowym, wykładowcą na UMK w Toruniu
