Scam co to znaczy? Definicja, przykłady i jak się bronić

Scam to oszustwo, najczęściej internetowe lub telefoniczne, którego celem jest wyłudzenie pieniędzy albo danych osobowych przy użyciu manipulacji i fałszywych historii. Ataki tego typu są dziś bardzo częste – różne formy oszustw w sieci deklaruje już ok. 36% Polaków w ciągu zaledwie ostatniego roku – dlatego znajomość ich mechanizmów realnie zmniejsza ryzyko utraty środków i tożsamości. Jeśli chcesz lepiej rozpoznawać próby oszustwa i skuteczniej się przed nimi bronić, przeczytaj ten poradnik uważnie od początku do końca.

Co to znaczy scam?

Określenie scam pochodzi z języka angielskiego i dosłownie oznacza „oszustwo” lub „przekręt”. Już w latach 60. XX wieku w USA tak nazywano nieuczciwe gry hazardowe i fałszywe schematy inwestycyjne, w których obiecywano wysoki zysk w zamian za wpłatę „wejściówki”. Z czasem termin przeszedł do świata cyfrowego i dziś obejmuje głównie oszustwa telefoniczne i internetowe.

W ujęciu prawnym mamy do czynienia z przestępstwem. W Polsce oszustwo – w tym oszustwo internetowe określane potocznie jako scam – jest czynem zabronionym opisanym w art. 286 Kodeksu karnego. Za doprowadzenie innej osoby do niekorzystnego rozporządzenia mieniem za pomocą wprowadzenia w błąd lub wyzyskania błędu grozi co do zasady kara do 8 lat pozbawienia wolności. Policja i prokuratura posługują się najczęściej terminem „oszustwo internetowe” jako pojęciem parasolowym obejmującym różne formy scamów.

W języku potocznym scamem nazywa się każdą sytuację, w której ktoś podstępnie nakłania Cię do przekazania pieniędzy, danych logowania, numeru PESEL, danych karty płatniczej czy skanów dokumentów. Oszust zwykle nie włamuje się do systemów – on przede wszystkim „włamuje się” do Twojej psychiki.

Warto odróżnić dwa często mylone pojęcia: spam i scam. Spam to niechciane, masowo wysyłane wiadomości reklamowe, które głównie irytują i zaśmiecają skrzynkę. Scam natomiast jest nastawiony na realną szkodę – kradzież środków lub tożsamości. Część spamu bywa jednocześnie scamem, gdy w treści pojawia się próba wyłudzenia.

Scam to zawsze próba wyłudzenia – jeżeli w komunikacie pojawia się prośba o pieniądze lub wrażliwe dane, traktuj go jak potencjalne oszustwo.

Jak scam działa w praktyce?

Każde tego typu oszustwo składa się z kilku powtarzalnych elementów: pozyskania kontaktu do ofiary, zbudowania zaufania, wywołania silnych emocji i podania „rozwiązania”, które wymaga podjęcia szybkiej decyzji. W tej ostatniej fazie pojawia się prośba o przelew, podanie hasła, przepisanie kodu BLIK lub danych karty.

Jakich technik psychologicznych używają scamerzy?

Podstawą większości takich ataków jest inżynieria społeczna, czyli zestaw technik wpływu na zachowanie człowieka. Oszuści stosują różne chwyty, często łączone w jednym scenariuszu:

• manipulacja emocjami – historia chorego dziecka, dramatyczny apel rzekomego krewnego, prośba o natychmiastową pomoc,
• wzbudzanie strachu – groźby zablokowania konta, naliczenia kary, utraty paczki czy „postępowania karnego”,
• wzbudzanie chciwości – obietnice szybkiego zysku, „pewnych” inwestycji, gwarantowanych procentów,
• wzbudzanie współczucia – fałszywe zbiórki internetowe, ckliwe historie, zdjęcia zmagających się z chorobą osób,
• presja czasu – komunikaty typu „masz 24 godziny na reakcję” lub „ostatnia szansa, oferta wygasa za godzinę”.

Gdy silne emocje biorą górę, zaczynasz działać automatycznie, bez chłodnej oceny treści wiadomości czy wiarygodności nadawcy. Dokładnie na tym bazuje scam.

Jakie kanały kontaktu są najczęściej wykorzystywane?

Oszust nie przywiązuje się do jednego narzędzia. Użyje każdego kanału, w którym łatwo go ukryć wśród legalnej komunikacji. Najczęściej wykorzystywane są:

• wiadomości e-mail – klasyczny phishing, fałszywe faktury, informacje o dopłatach do przesyłek, „blokadzie” konta,
• SMS – krótkie alerty z linkiem, często z użyciem skracaczy typu tiny-URL,
• komunikatory internetowe – prośby „znajomego” o kod BLIK lub szybki przelew,
• media społecznościowe – fałszywe profile, udostępniane zbiórki, podejrzane linki w wiadomościach,
• połączenia telefoniczne – rozmowy „na pracownika banku”, „na policjanta” czy klasyczną metodę na wnuczka.

Zespół CSIRT NASK odnotował już w 2019 roku 6484 incydenty, z czego 4100 sklasyfikowano jako ataki typu fraud. W 2026 roku takie próby są jeszcze częstsze – dotykają zarówno osoby prywatne, jak i firmy, a rosnąca popularność bankowości elektronicznej, płatności mobilnych i mediów społecznościowych sprawia, że scamerzy mają coraz więcej okazji do działania.

Nowe trendy: scamy z wykorzystaniem sztucznej inteligencji (AI)

W ostatnich latach pojawiła się nowa kategoria zagrożeń: scamy wykorzystujące sztuczną inteligencję. Dzięki narzędziom AI oszuści są w stanie przygotować ataki znacznie trudniejsze do samodzielnego wychwycenia:

• deepfake voice scams – przestępcy klonują głos bliskiej osoby (np. dziecka, wnuczka) lub przełożonego i dzwonią z pilną prośbą o przelew czy podanie danych. Rozmowa brzmi jak autentyczna, więc ofiara działa odruchowo, często bez dodatkowej weryfikacji,
• AI‑generated phishing – treści phishingowe generowane przez AI są poprawne językowo, bez typowych błędów ortograficznych i dziwnej składni. Coraz częściej odwołują się też do konkretnego kontekstu (np. Twojej branży, stanowiska), co dodatkowo uwiarygadnia wiadomość,
• fałszywe chatboty – na stronach podszywających się pod bank czy dużą firmę może pojawić się „centrum pomocy” w formie chatu. W rzeczywistości to bot lub operator udający automatyczną obsługę klienta, który krok po kroku wyłudza od Ciebie loginy, hasła, kody SMS czy dane karty.

Rozwój AI powoduje, że nie można już polegać wyłącznie na prostych wskaźnikach typu kiepska polszczyzna czy amatorska grafika. Coraz ważniejsze staje się sprawdzanie adresu strony, kanału kontaktu i oficjalnych procedur obsługi klienta w danej instytucji.

Jakie są najczęstsze rodzaje scamu?

Nie ma jednej „wersji” tego oszustwa. Przestępcy stale modyfikują scenariusze, ale wiele motywów się powtarza. Znajomość tych schematów bardzo ułatwia wychwycenie zagrożenia w porę.

Fałszywe sklepy i usługi online

Jednym z najbardziej dochodowych modeli są fałszywe sklepy internetowe. Strony wyglądają profesjonalnie – mają logotypy, regulamin, zdjęcia produktów i „opinie klientów”. Towary są oferowane w rażąco niskich cenach, a płatność wymaga podania danych karty kredytowej lub zalogowania do bankowości elektronicznej.

Po opłaceniu zamówienia produkt nigdy nie dociera, kontakt z „obsługą” urywa się, a dane płatnicze mogą zostać użyte w kolejnych atakach. Podobnie funkcjonują fałszywe usługi streamingowe, które obiecują transmisję meczu lub film „tylko tutaj”, a w praktyce aktywują kosztowne subskrypcje SMS.

Phishing, spear-phishing i spoofing

Phishing to rodzaj scamu polegający na podszywaniu się pod zaufaną instytucję – bank, firmę kurierską, urząd – w celu wyłudzenia haseł, danych logowania, danych karty czy kodów autoryzacyjnych. Wiadomość prowadzi zwykle do fałszywej strony, która imituje prawdziwy serwis.

Spear-phishing idzie krok dalej. To atak kierowany do konkretnej osoby lub firmy, poprzedzony zebraniem informacji z mediów społecznościowych czy stron biznesowych. Taka wiadomość odnosi się do realnych relacji i transakcji, dlatego wygląda bardzo wiarygodnie. Gdy do tego dojdzie spoofing (podrobienie adresu nadawcy lub numeru telefonu), nawet doświadczony użytkownik może się pomylić.

Nieuczciwe „inwestycje” i serwisy zarobkowe

Bardzo widoczną grupę stanowią nieuczciwe serwisy zarobkowe oraz piramidy inwestycyjne. Mogą obiecywać zyski z:

• oglądania reklam i klikania w bannery,
• wypełniania ankiet i pisania postów,
• polecania strony znajomym (programy partnerskie),
• „inwestowania” w rzekome instrumenty finansowe czy kryptowaluty.

Część takich serwisów przez pewien czas faktycznie wypłaca niewielkie kwoty, by przekonać użytkowników i zachęcić do większych wpłat. Struktura często przypomina piramidę finansową, w której zyskują tylko organizatorzy, a większość uczestników traci środki.

Zbiórki internetowe i oszustwa „na wnuczka”

W wielu przypadkach scamer stawia na wzbudzanie współczucia. Tworzy fałszywy profil z historią ciężkiej choroby, zbiórką na leczenie lub rzekomy „fundusz pomocy”. Wykorzystuje media społecznościowe, by wiadomość rozchodziła się wirusowo. Przelewy trafiają na konto oszusta, a nie do osób przedstawianych w historii.

Odmianą tego mechanizmu jest telefoniczne oszustwo na wnuczka lub „na policjanta”. Ofiarą jest najczęściej senior – rozmówca podaje się za krewnego w trudnej sytuacji lub funkcjonariusza, który „ratuje” oszczędności przed rzekomym atakiem. Stawką bywają całe życiowe oszczędności.

Malware i ataki ransomware

Niektóre scamy łączą socjotechnikę z techniczną infekcją. Link w wiadomości prowadzi do strony rozsyłającej szkodliwe oprogramowanie, a pobrany plik zawiera zainfekowany załącznik. Szczególnie groźne jest ransomware – złośliwe oprogramowanie, które szyfruje pliki lub blokuje dostęp do systemu i żąda okupu za odblokowanie.

W takich atakach pojawia się presja, groźby i instrukcja szybkiej płatności na wskazane konto bankowe. Często przestępcy podszywają się pod Policję albo inny organ, sugerując, że blokada to „kara” za nielegalne działania użytkownika.

Jak rozpoznać, że to scam?

Większość ataków da się wychwycić na podstawie kilku powtarzających się sygnałów. Gdy pojawia się ich kilka naraz, traktuj sytuację jak wysokie zagrożenie:

• błędy językowe, dziwna składnia, brak polskich znaków diakrytycznych (pamiętaj jednak, że coraz częściej wiadomości generowane przez AI są pod tym względem bezbłędne),
• ogólnikowe zwroty typu „drogi kliencie”, „przyjacielu” zamiast imiennego zwrotu,
• adres nadawcy lub numer telefonu niezgodny z oficjalnymi danymi instytucji,
• prośba o dane osobowe, hasło, numer PESEL albo dane karty płatniczej,
• link prowadzący do strony o dziwnym adresie (literówki, inne końcówki domen, skracacze adresów),
• informacja o konieczności dopłaty niewielkiej kwoty za przesyłkę, podatek czy aktywację konta,
• presja czasu – komunikaty o 24-godzinnym terminie czy „ostatniej szansie”.

Przed wpisaniem jakichkolwiek danych zawsze spójrz na pasek adresu w przeglądarce. Brak certyfikatu SSL (brak kłódki, adres zaczynający się od „http” zamiast „https”) w połączeniu z prośbą o podanie poufnych informacji to bardzo mocny sygnał ostrzegawczy. Sprawdzaj też, czy kontakt z bankiem lub firmą odbywa się wyłącznie oficjalnymi kanałami – instytucje finansowe co do zasady nie proszą o pełne hasła, kody SMS ani dane kart w zwykłej rozmowie telefonicznej czy na czacie.

Jeśli wiadomość brzmi zbyt dobrze, by była prawdziwa – traktuj ją jak scam, dopóki nie udowodnisz sobie, że jest inaczej.

Jak się bronić i gdzie zgłaszać oszustwa?

Ochrona przed scamem to połączenie rozsądnych nawyków, zabezpieczeń technicznych i znajomości procedur zgłaszania incydentów. Nikt nie jest w stanie wyeliminować ryzyka do zera, ale można je znacząco ograniczyć.

Jakie nawyki bezpieczeństwa warto stosować na co dzień?

Podstawą jest ograniczone zaufanie. Gdy ktoś prosi Cię o wykonanie przelewu, podanie danych czy kliknięcie w link, a kontakt nie wynika bezpośrednio z Twoich działań (np. świeżo złożonego zamówienia), zatrzymaj się na chwilę i sprawdź sytuację z innego źródła. Pomocne nawyki to:

• niepodawanie haseł, kodów autoryzacyjnych ani PESEL przez telefon czy w mailu,
• oddzwanianie na oficjalny numer banku lub urzędu zamiast kontynuowania rozmowy z nieznanego numeru (dotyczy to także podejrzanie brzmiących rozmów, nawet jeśli głos wydaje się „rozpoznawalny”),
• weryfikacja linków – najechanie myszką, sprawdzenie pełnego adresu, wyszukanie nazwy strony w Google,
• regularna zmiana haseł i włączone uwierzytelnianie dwuskładnikowe w poczcie oraz bankowości,
• nieotwieranie załączników z nieznanych źródeł i blokowanie podejrzanych nadawców.

Dobrym nawykiem jest też szybkie oznaczanie podejrzanych wiadomości jako spam lub „phishing” w programie pocztowym. Dostawca usługi dzięki temu łatwiej wychwyci podobne kampanie u innych użytkowników.

Jakie zabezpieczenia techniczne naprawdę pomagają?

Choć scam opiera się głównie na socjotechnice, wsparcie techniczne wciąż ma znaczenie. W codziennej ochronie przydają się:

• solidny program antywirusowy z modułem ochrony przeglądarki,
• regularne aktualizacje oprogramowania systemu, przeglądarki i aplikacji,
• aktywna zapora firewall na routerze i urządzeniach końcowych,
• filtr antyspamowy w skrzynce e-mail,
• ostrożne korzystanie z publicznych sieci Wi‑Fi (bez logowania do banku czy podawania danych kart).

Dodatkowo warto ograniczać ilość upublicznianych informacji – im mniej danych osobowych w sieci, tym trudniej przygotować przekonujący atak spear-phishingowy na Twoją osobę czy firmę. Zastanów się, czy naprawdę musisz podawać publicznie swój numer telefonu, adres zamieszkania, informacje o dzieciach czy miejscu ich nauki – to wszystko są dane, które mogą zostać użyte do uwiarygodnienia scamu.

Gdzie zgłaszać podejrzane wiadomości i straty?

Na terenie Polski działa kilka instytucji i zespołów, które przyjmują zgłoszenia związane z tego typu oszustwami:

• CERT Polska – formularz na stronie incydent.cert.pl służy do zgłaszania podejrzanych phishingów, fałszywych stron i kampanii SMS,
• CSIRT NASK – krajowy zespół reagowania na incydenty cyberbezpieczeństwa, współpracujący z administracją i operatorami,
• Policja i prokuratura – w przypadku realnej szkody finansowej lub kradzieży tożsamości zgłaszaj sprawę jak każde inne przestępstwo. Zawiadomienie będzie zwykle rozpatrywane pod kątem art. 286 k.k., czyli przestępstwa oszustwa,
• UOKiK – gdy scam przyjmuje formę nieuczciwej praktyki rynkowej (np. piramidy finansowej czy fałszywego sklepu),
• UODO – jeśli doszło do bezprawnego wykorzystania Twoich danych osobowych w szerszej skali.

W zgłoszeniu zawsze przyda się pełna dokumentacja: zrzuty ekranu, nagrania rozmów (jeśli je posiadasz), potwierdzenia przelewów, kopie wiadomości e-mail i SMS. Im szybciej zareagujesz – blokując kartę, kontaktując się z bankiem, zmieniając hasła – tym większa szansa na ograniczenie strat i ułatwienie pracy organom ścigania.

Każdy zgłoszony scam zmniejsza szanse oszustów na kolejne ataki – Twoja reakcja chroni nie tylko Ciebie, ale też innych użytkowników.