Fałszywe pożyczki i oszustwa „na pożyczkę” - jak je rozpoznać

Oszustwa „na pożyczkę” żerują na tym samym, na czym zarabiają legalne chwilówki: na pośpiechu. Kto pilnie potrzebuje pieniędzy, klika szybciej, czyta mniej i chętniej wierzy w ofertę „bez sprawdzania, dla każdego, w 5 minut”. Dobra wiadomość jest taka, że schematów oszustw wcale nie ma wielu - w praktyce wciąż powtarza się kilka tych samych, a każdy z nich da się rozpoznać po charakterystycznych sygnałach, zanim stracisz pieniądze lub dane.

Najczęstsze scenariusze oszustw „na pożyczkę”

Opłata z góry (oszustwo „na przedpłatę”). Najstarszy i wciąż najskuteczniejszy schemat: „pożyczka przyznana”, ale żeby ją wypłacić, trzeba najpierw przelać opłatę - rejestracyjną, notarialną, „za ubezpieczenie” albo „za przewalutowanie”. Po pierwszej wpłacie pojawia się kolejna przeszkoda i kolejna opłata, a pożyczka nie przychodzi nigdy. Legalna firma pożyczkowa potrąca swoje koszty z pożyczki albo dolicza je do spłaty - nigdy nie każe płacić przed wypłatą.

Podszywanie się pod znane firmy. Oszuści kopiują strony istniejących pożyczkodawców i banków: podobna domena (literówka, inna końcówka), to samo logo, ten sam wygląd. Taka strona zbiera wnioski, a wraz z nimi komplet danych - dowód, PESEL, numer konta. Wersją tego schematu są fałszywe reklamy w wyszukiwarkach i mediach społecznościowych, które prowadzą na podrobioną stronę zamiast na prawdziwą.

Fałszywy SMS lub e-mail o dopłacie. Wiadomość „Twoja rata nie została zaksięgowana, dopłać 3,50 zł” z linkiem do fałszywej bramki płatności. Kwota jest celowo śmieszna - nie chodzi o nią, tylko o login i hasło do Twojej bankowości, które wpiszesz na podrobionej stronie.

„Weryfikacja” przejmująca konto bankowe. Oszust - czasem podający się za konsultanta, który „pomoże w wniosku” - prosi o zainstalowanie aplikacji do zdalnego pulpitu, o kod BLIK albo o zalogowanie się do banku „w celu weryfikacji tożsamości”. Legalne metody weryfikacji wyglądają inaczej: przelew weryfikacyjny idzie z Twojego konta na rachunek firmy, a logowanie w oknie zewnętrznego dostawcy (np. Kontomatik) obsługuje licencjonowana usługa dostępu do informacji o rachunku. Różnica jest w tym, komu podajesz dane: takie okno otwiera się w trakcie wniosku na stronie, na którą wszedłeś samodzielnie, a hasło wpisujesz u swojego banku - nikt nie prosi Cię o nie wprost. Żadna z tych metod nie wymaga podania hasła ani kodu drugiemu człowiekowi, instalowania czegokolwiek na prośbę „konsultanta” ani logowania z linku przysłanego SMS-em. Więcej o obu drogach: przelew weryfikacyjny i aplikacje typu Kontomatik.

Pożyczka „prywatna” przez komunikator. Ogłoszenia „pożyczę prywatnie, bez baz” na portalach ogłoszeniowych i w mediach społecznościowych. Kończy się opłatą z góry, wyłudzeniem skanu dowodu albo lichwiarskimi warunkami bez żadnej umowy.

Warto rozumieć, że w części tych scenariuszy celem wcale nie są Twoje pieniądze „tu i teraz”, tylko komplet danych z dowodu. Skan dokumentu, PESEL i numer konta wystarczą, żeby spróbować wziąć pożyczkę na Twoje dane w prawdziwej firmie - i o tej odsłonie problemu dowiadujesz się dopiero z wezwania do zapłaty, tygodnie po kontakcie z oszustem. Dlatego „nic nie straciłem, tylko wypełniłem wniosek” to fałszywe poczucie bezpieczeństwa.

Jak rozpoznać fałszywe pożyczki - sygnały ostrzegawcze

• Jakakolwiek płatność przed wypłatą pożyczki - pojedynczy, wystarczający powód, żeby przerwać kontakt.
• Prośba o kod BLIK, hasło do banku lub zdalny pulpit - żadna firma finansowa o to nie prosi, nigdy i pod żadnym pretekstem.
• Adres strony nie zgadza się co do litery z adresem, którego firma używa oficjalnie - literówka w domenie, dziwna końcówka, brak kłódki.
• Brak danych spółki: nazwy, NIP, KRS i adresu siedziby. Firmy działające legalnie podają je w stopce i w umowie, a Ty potrzebujesz ich, żeby w ogóle sprawdzić spółkę w rejestrach. Rozstrzyga jednak nie stopka, tylko wyszukanie firmy w rejestrze KNF - numeru wpisu żaden przepis nie każe publikować na stronie.
• „100% przyznawalności, bez sprawdzania baz” - legalna firma ma ustawowy obowiązek ocenić zdolność kredytową; taka obietnica to przynęta.
• Presja czasu i kontakt tylko przez komunikator - oferta „ważna do wieczora” ma odebrać Ci czas na weryfikację.

Jak zweryfikować firmę, zanim podasz dane

Kolejność ma znaczenie: najpierw sprawdzasz, potem wypełniasz wniosek - nie odwrotnie, bo w oszustwach „na pożyczkę” łupem są często same dane. Podstawą jest weryfikacja w Rejestrze Instytucji Pożyczkowych KNF, a uzupełnieniem lista ostrzeżeń publicznych KNF - wykaz podmiotów, wobec których Komisja złożyła zawiadomienie o podejrzeniu przestępstwa. Ta druga lista wyłapuje firmy działające bez uprawnień, nie podrobione strony; domenami klonów zajmuje się lista ostrzeżeń CERT Polska, o której niżej. Jak sprawdzać krok po kroku, pokazaliśmy we wpisie jak sprawdzić, czy firma pożyczkowa jest legalna. Kluczowa zasada: porównuj numery NIP i KRS, nie samą nazwę - podszywanie się pod nazwy to istota tego typu oszustw.

Drugi filtr to wejście na stronę firmy właściwą drogą. Zamiast klikać w reklamę czy link z SMS-a, wpisz adres ręcznie albo skorzystaj z zaufanego katalogu. W naszych profilach pożyczkodawców znajdziesz pełne dane rejestrowe każdej firmy, a w rankingach chwilówek i pożyczek ratalnych każda oferta prowadzi na stronę tego pożyczkodawcy, którego profil opisuje. Pomocna jest też lista ostrzegawcza CERT Polska - rejestr domen wykorzystywanych do wyłudzeń, na który trafiają podrobione strony „pożyczkowe”.

Co robić po fakcie

• Zadzwoń do swojego banku - to pierwszy telefon, przed wszystkim innym, jeśli w grę weszły dane logowania, kod BLIK albo instalacja czegokolwiek na prośbę „konsultanta”. Numer alarmowy znajdziesz na odwrocie karty i w aplikacji. Bank zablokuje dostęp do konta i doradzi, czy wymienić karty. Tu liczą się minuty: świeży przelew bank czasem zdąży zatrzymać, ale gdy pieniądze zostaną zaksięgowane u odbiorcy, odzyskuje się je już drogą cywilną - i to zwykle wtedy, gdy wiadomo, kto je odebrał.
• Zgłoś sprawę na policję - oszustwo to przestępstwo z art. 286 Kodeksu karnego. Zabierz zrzuty ekranu, potwierdzenia przelewów i korespondencję; sygnatura sprawy przyda się w reklamacjach.
• Zgłoś incydent do CERT Polska - podejrzaną stronę przez formularz na incydent.cert.pl, a podejrzanego SMS-a przekazując go bezpłatnie na numer 8080 funkcją „przekaż” lub „udostępnij”. Prześlij wiadomość w całości, bez wycinania linku: przepisana ręcznie albo obcięta jest bezużyteczna, a numer 8080 przyjmuje wyłącznie SMS-y o phishingu i fałszywych aplikacjach (e-maile i zgłoszenia stron idą przez formularz) i najwyżej trzy wiadomości z jednego numeru w ciągu czterech godzin - przy większej kampanii resztę zgłoś później albo przez formularz. Analitycy CERT decydują, czy wpisać domenę na listę ostrzeżeń. Wpis nie wyłącza strony: operator telekomunikacyjny, który przystąpił do porozumienia w sprawie listy ostrzeżeń, może zablokować do niej dostęp, ale nie ma takiego obowiązku - u pozostałych domena nadal działa. Zgłoszenie ostrzega innych, nie zamyka sprawy, więc nie zastępuje ani policji, ani ostrzeżenia bliskich.
• Jeśli w ręce oszusta trafił PESEL i dane dowodu - zastrzeż PESEL w aplikacji mObywatel, na mObywatel.gov.pl albo w dowolnym urzędzie gminy; część banków i SKOK-ów pozwala zrobić to u siebie, ale nie jest to ich obowiązek, więc nie trać czasu na szukanie tej opcji, jeśli jej nie widzisz. Zastrzeżenie i jego cofnięcie są bezpłatne (art. 23e ustawy o ewidencji ludności) - możesz je zdjąć na czas własnego wniosku kredytowego i włączyć z powrotem. Działa mocniej, niż sugeruje słowo „blokada”: kredytodawca ma obowiązek sprawdzić rejestr zastrzeżeń przed zawarciem umowy, a jeśli mimo zastrzeżenia udzieli pożyczki, co do zasady nie może dochodzić od Ciebie roszczenia ani sprzedać tej wierzytelności (art. 9b ust. 1 i 2 ustawy o kredycie konsumenckim). Umowa może więc powstać, ale nie da się jej wobec Ciebie wyegzekwować. Ustawa przewiduje jednak dwa wyłomy. Pierwszy (art. 9b ust. 3) wymaga spełnienia wszystkich trzech warunków naraz: pieniądze idą od kredytodawcy wprost do sprzedawcy lub usługodawcy, u którego coś kupujesz, umowę zawierasz zdalnie po uwierzytelnieniu Twoimi danymi, a kredyt jest udzielany w ramach umowy ciągłej, przy której całość zadłużenia w żadnym momencie nie przekracza minimalnego wynagrodzenia i przed której zawarciem firma sprawdziła zastrzeżenie PESEL i Twoją tożsamość. To opis zakupów na raty i części limitów odnawialnych, a nie pożyczki wypłacanej na Twoje konto - jeśli któregokolwiek z tych warunków brakuje, ochrona działa. Drugi (art. 9b ust. 5 i 6) dotyczy awarii: gdy rejestr zastrzeżeń jest niedostępny także przy ponownej próbie, kredytodawca może zawrzeć umowę bez sprawdzenia, jeśli zweryfikuje tożsamość z należytą starannością i to udokumentuje. Ochronę tracisz wtedy tylko przy awarii trwającej dłużej niż 15 minut, innej niż ogłoszona przerwa planowa. Jeśli mimo zastrzeżenia przyjdzie wezwanie do zapłaty, nie ignoruj go: odpisz, powołaj się na zastrzeżenie i zażądaj wskazania, na jakiej podstawie umowa została zawarta. Gdy pożyczkodawca powoła się na któryś z tych wyjątków, poproś o konkret - przy awarii o jej datę, godzinę i czas trwania oraz o dokumentację weryfikacji Twojej tożsamości.
• Sprawdź swoją historię w BIK i BIG-ach po kilku tygodniach - upewnisz się, że na Twoje dane nie zaciągnięto zobowiązań. Konsument będący dłużnikiem ma bezpłatny dostęp do swoich danych w biurze informacji gospodarczej, jeśli korzysta z niego nie częściej niż raz na 6 miesięcy; poza tym biuro może pobrać opłatę według cennika uchwalonego przez zarząd, w granicach, na jakie pozwala RODO.
• Włącz ostrzeżenia na przyszłość - samo sprawdzenie historii działa wstecz, więc warto mieć też sygnał na bieżąco. Zastrzeżenie numeru PESEL chroni wobec kredytodawców, a BIK oferuje własne usługi alertów i zastrzeżenia kredytowego; ich zakres i cennik sprawdź bezpośrednio w BIK, zanim się na nie zdecydujesz.

Gdy okaże się, że pożyczka na Twoje dane już powstała, sprawa przestaje być rozpoznawaniem oszustwa, a zaczyna odkręcaniem zobowiązania - reklamacja u pożyczkodawcy, usunięcie danych z rejestrów, pilnowanie terminów. Całą ścieżkę krok po kroku opisaliśmy we wpisie ktoś wziął pożyczkę na moje dane - co robić.

Zdrowa nieufność się opłaca

Oszustwa „na pożyczkę” nie wygrywają technologią, tylko emocjami: pilną potrzebą, wstydem, presją czasu. Dlatego najlepszą ochroną jest procedura, którą stosujesz zawsze, niezależnie od nastroju - sprawdzenie firmy w rejestrze KNF, wejście na stronę właściwą drogą i twarda zasada „żadnych opłat przed wypłatą, żadnych kodów, żadnych haseł”. Pięć minut weryfikacji kosztuje mniej niż jakakolwiek, nawet najdroższa, legalna chwilówka - a o rzędy wielkości mniej niż rozmowa z oszustem.

Źródła

• Ustawa z dnia 6 czerwca 1997 r. - Kodeks karny, tekst jednolity: Dz.U. 2026 poz. 1342 - karta aktu w ISAP, pełny tekst PDF. Dla tego tekstu: art. 286 § 1 (oszustwo - doprowadzenie do niekorzystnego rozporządzenia mieniem przez wprowadzenie w błąd, w celu osiągnięcia korzyści majątkowej).
• Ustawa z dnia 12 maja 2011 r. o kredycie konsumenckim, tekst jednolity: Dz.U. 2025 poz. 1362 - karta aktu w ISAP, pełny tekst PDF. Dla tego tekstu: art. 9a ust. 1 (obowiązek oceny zdolności kredytowej), art. 9b ust. 1 i 2 (weryfikacja zastrzeżenia numeru PESEL przed zawarciem umowy oraz zakaz dochodzenia roszczenia i zbycia wierzytelności przy zastrzeżonym numerze), ust. 3 (przesłanki wyłączające tę ochronę, spełniane łącznie), ust. 5 pkt 2 i ust. 6 (zawarcie umowy przy niedostępności rejestru i wyłączenie ochrony z ust. 2, gdy awaria trwała dłużej niż 15 minut), art. 59ab ust. 1 (Rejestr Instytucji Pożyczkowych prowadzi Komisja Nadzoru Finansowego), art. 59ae (dane objęte wpisem: firma, siedziba i adres, numer w rejestrze przedsiębiorców, NIP).
• Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, tekst jednolity: Dz.U. 2024 poz. 1803 - karta aktu w ISAP, pełny tekst PDF. Dla tego tekstu: art. 5 ust. 1 (CSIRT NASK przyjmuje zgłoszenia SMS-ów pod numerem skróconym 8080) i ust. 2 (przedsiębiorca telekomunikacyjny zapewnia bezpłatne korzystanie z numeru 8080), art. 20 ust. 1 i 2 (porozumienie o prowadzeniu listy ostrzeżeń, listę prowadzi CSIRT NASK), ust. 3 (jakie domeny się wpisuje), ust. 4 i 5 (zgłoszenie może złożyć każdy, wpisu dokonuje CSIRT NASK), ust. 8 (operator będący stroną porozumienia „może uniemożliwić” dostęp do domeny z listy - uprawnienie, nie obowiązek).
• Ustawa z dnia 24 września 2010 r. o ewidencji ludności, tekst jednolity: Dz.U. 2026 poz. 384 - karta aktu w ISAP, pełny tekst PDF. Dla tego tekstu: art. 23a (rejestr zastrzeżeń numerów PESEL prowadzi minister właściwy do spraw informatyzacji), art. 23e ust. 1 i 2 (nieodpłatne zastrzeżenie i cofnięcie zastrzeżenia; usługa elektroniczna po uwierzytelnieniu albo wniosek składany osobiście w organie dowolnej gminy), art. 23f ust. 1 (bank, SKOK i operator wyznaczony mogą umożliwić zastrzeżenie).
• Ustawa z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, tekst jednolity: Dz.U. 2025 poz. 85 - karta aktu w ISAP, pełny tekst PDF. Dla tego tekstu: art. 22b ust. 2 i 3 (dostęp do dotyczących danej osoby danych; bezpłatny dla dłużników będących konsumentami nie częściej niż raz na 6 miesięcy).
• Rejestr Instytucji Pożyczkowych - Komisja Nadzoru Finansowego, rpkip.knf.gov.pl.
• Lista ostrzeżeń publicznych KNF (wykaz zawiadomień o podejrzeniu popełnienia przestępstwa) - Komisja Nadzoru Finansowego, knf.gov.pl.
• Lista ostrzeżeń CERT Polska (CSIRT NASK) - cert.pl/lista-ostrzezen; zgłoszenia: incydent.cert.pl oraz bezpłatny numer 8080 dla przekazywanych SMS-ów. Zasady korzystania z numeru (najwyżej trzy wiadomości z jednego numeru w ciągu czterech godzin; wyłącznie phishing i fałszywe aplikacje, bez SMS-ów premium) podaje CERT Polska we wpisie o liście ostrzeżeń - nie wynikają one z ustawy.