Co wydarzyło się w ING i dlaczego to ważny sygnał ostrzegawczy
26 lutego 2026 r. w systemach ING Banku Śląskiego doszło do technicznego błędu, w wyniku którego część transakcji kartami Visa została podwójnie obciążona. Klienci, którzy płacili tego dnia kartą, mogli zobaczyć w historii rachunku dwie identyczne operacje – tak, jakby bank pobrał środki dwa razy za ten sam zakup. Bank wydał pilny komunikat, przeprosił za zaistniałą sytuację i poinformował, że prowadzone są prace nad automatyczną korektą wszystkich błędnych obciążeń.
Kluczowe jest to, że nie był to wynik ataku hakerskiego, lecz usterki technicznej po stronie rozliczeń kartowych. Z perspektywy klienta różnica ma jednak znaczenie głównie w warstwie przyczyn, a nie odczuć. Dla wielu osób widok nagłego „zniknięcia” pieniędzy z konta – nawet jeśli tymczasowy – oznacza realny stres, poczucie utraty kontroli nad finansami i obawę, czy środki wrócą na rachunek w odpowiednim czasie.
Bank poprosił klientów o samodzielne sprawdzenie historii operacji i zgłaszanie zauważonych nieprawidłowości, jednocześnie deklarując, że korekty zostaną wykonane z własnej inicjatywy. Takie oficjalne komunikaty są w dzisiejszej bankowości coraz częstsze. Klienci regularnie słyszą o planowanych przerwach technicznych, czasowych utrudnieniach w płatnościach, sporadycznych awariach oraz – co szczególnie ważne – o nasilających się kampaniach oszustw.
To wszystko pokazuje, że współczesne środowisko finansowe jest coraz bardziej złożone i podatne na różnego rodzaju zakłócenia. Rosnąca liczba kanałów kontaktu z bankiem, integracje z zewnętrznymi usługami, powszechność płatności online i mobilnych, a do tego szybki rozwój narzędzi sztucznej inteligencji – razem tworzą ekosystem, w którym klientowi coraz trudniej odróżnić zwykłą usterkę od potencjalnego ataku, a prawdziwy komunikat od perfidnie przygotowanego phishingu.
To szczególnie istotne zarówno dla klientów indywidualnych, jak i dla właścicieli małych firm, którzy często nie dysponują działem IT ani wewnętrznym specjalistą od bezpieczeństwa. Muszą samodzielnie podejmować decyzje – czy zaufać otrzymanej wiadomości, jak zareagować na nietypową transakcję i co zrobić, gdy zauważą problem. W świecie, w którym równolegle narasta boom na narzędzia AI, a cyberprzestępcy coraz lepiej je wykorzystują, każde takie zdarzenie – nawet czysto techniczne – staje się ważnym sygnałem ostrzegawczym.
Szybki wzrost narzędzi AI: od Anthropic po codzienne aplikacje
W ciągu ostatnich dwóch–trzech lat narzędzia oparte na sztucznej inteligencji przeszły drogę od technologicznej ciekawostki do nieodłącznego elementu pracy milionów ludzi. Modele językowe rozwijane przez firmy takie jak Anthropic, OpenAI czy Google zyskały w krótkim czasie globalną bazę użytkowników liczonych już nie w tysiącach, ale w dziesiątkach milionów. Najważniejsza jest jednak nie tyle konkretna liczba, ile tempo adopcji: nowe wersje systemów AI w ciągu kilku miesięcy osiągają zasięg, do którego tradycyjne aplikacje dochodziły latami.
Modele językowe, podobne do rozwiązań Anthropic, to zaawansowane systemy przetwarzające język naturalny. Potrafią generować teksty, odpowiadać na pytania, analizować dokumenty, podsumowywać dane, a także wspierać tworzenie kodu i prostych analiz biznesowych. W praktyce oznacza to, że ten sam rodzaj technologii może stać za asystentem klienta na stronie banku, chatbotem w e-sklepie, narzędziem do pisania ofert oraz systemem ułatwiającym analizę umów czy raportów finansowych.
Bankowość również korzysta z tej rewolucji. Sztuczna inteligencja wspiera dziś automatyczne analizy ryzyka, ocenę zdolności kredytowej, wykrywanie podejrzanych transakcji, personalizację ofert czy obsługę klienta w kanałach zdalnych. Wiele banków, także w Polsce, wdraża chatboty do obsługi prostych pytań, a zaawansowane algorytmy pomagają filtrować transakcje pod kątem fraudów szybciej, niż byłby w stanie zrobić to człowiek.
Małe firmy, freelancerzy i jednoosobowe działalności sięgają po AI z innych powodów: automatyzacja odpowiedzi na maile, generowanie treści marketingowych, przygotowywanie ofert, podstawowa analityka sprzedaży czy tworzenie materiałów na media społecznościowe. Niektórzy przedsiębiorcy idą krok dalej i wykorzystują AI do wspierania tworzenia oprogramowania lub wewnętrznych narzędzi. Dobrą ilustracją tej zmiany jest chociażby tekst „AI pisze lepszy kod niż Ty – czy programiści powinni się bać?”, pokazujący, jak systemy AI już dziś wpływają na proces wytwarzania oprogramowania.
Korzyści są oczywiste: większa efektywność, szybsza obsługa klientów, dostęp do analiz i podsumowań, które wcześniej wymagały specjalistycznej wiedzy lub zespołu analityków, a także redukcja kosztów. Im jednak bardziej AI staje się powszechne, tym łatwiej cyberprzestępcom wykorzystać jej wizerunek – a nierzadko także same narzędzia – do przygotowywania coraz wiarygodniejszych oszustw. Klient przyzwyczajony do kontaktu z inteligentnym chatbotem banku czy firmowym asystentem AI może być bardziej skłonny zaufać wiadomości, która wygląda, jakby pochodziła z podobnego systemu.
Jak cyberprzestępcy łączą motyw banku i AI: najczęstsze scenariusze ataków
Rosnące zaufanie do bankowości elektronicznej i jednoczesna fascynacja sztuczną inteligencją tworzą idealne środowisko dla nowych typów oszustw. Przestępcy coraz częściej łączą oba te motywy, konstruując scenariusze, które na pierwszy rzut oka brzmią wiarygodnie, a przy tym świetnie wpisują się w aktualne wydarzenia – takie jak komunikat ING o podwójnych obciążeniach.
Jednym z najczęstszych mechanizmów są wiadomości podszywające się pod bank. Mogą przyjść jako SMS, e-mail lub przez popularne komunikatory. Ich treść często odwołuje się do rzekomych problemów z transakcjami: podwójnych obciążeń, błędów w historii rachunku, „niedopłat” do operacji kartowych czy konieczności natychmiastowego potwierdzenia płatności. Kluczowym elementem jest link prowadzący do fałszywej strony logowania, łudząco podobnej do prawdziwego serwisu banku, albo prośba o podanie danych karty lub kodu BLIK.
Praktyczna wskazówka: jeśli wiadomość łączy w sobie presję czasu („natychmiast”, „ostatnia szansa”, „w przeciwnym razie konto zostanie zablokowane”) z prośbą o kliknięcie linku lub podanie danych logowania, należy natychmiast nabrać podejrzeń. Prawdziwy bank nigdy nie prosi o pełne hasło czy kody autoryzacyjne przez SMS lub komunikator, a informacje o awariach i błędach technicznych publikuje przede wszystkim w oficjalnych kanałach – aplikacji, serwisie transakcyjnym i na stronie internetowej.
Drugi popularny scenariusz dotyczy fałszywych inwestycji „w AI” i „fundusze technologiczne”. Oszuści proponują szybki zysk na spółkach zajmujących się sztuczną inteligencją, obiecują „gwarantowane” zyski dzięki algorytmom inwestycyjnym i powołują się na rzekomą współpracę z uznanym bankiem lub znanym fintechiem. Kontakt odbywa się najczęściej telefonicznie – dzwoni „doradca inwestycyjny”, który przedstawia ofertę jako limitowaną i dostępną wyłącznie dla wybranej grupy klientów.
Ostrzegawczy sygnał: każda propozycja inwestycji oparta na „gwarantowanym wysokim zysku”, szczególnie jeśli wymaga szybkiej decyzji i przelewu na nowy, nieznany rachunek, powinna zostać zweryfikowana bezpośrednio w banku – poprzez infolinię lub osobiste logowanie do oficjalnej bankowości internetowej. Warto pamiętać, że legalni doradcy inwestycyjni nie proszą o instalację dodatkowego oprogramowania ani o przekazywanie danych logowania.
Kolejna kategoria ataków to podszywanie się pod popularne narzędzia AI. Powstają fałszywe strony i aplikacje udające znane chatboty lub serwisy do generowania treści, często stylizowane na rozwiązania Anthropic, OpenAI czy innych globalnych dostawców. Użytkownik jest zachęcany do założenia konta, podania danych karty płatniczej „na potrzeby weryfikacji” lub zainstalowania dedykowanej aplikacji. W rzeczywistości może to prowadzić do infekcji złośliwym oprogramowaniem lub kradzieży danych finansowych.
Jak to rozpoznać? Należy zwracać uwagę na adres strony (czy to właściwa domena, bez podejrzanych dopisków), certyfikat bezpieczeństwa, a także na to, w jaki sposób aplikacja prosi o dane. Renomowane serwisy AI pozwalają korzystać z podstawowych funkcji bez podawania pełnych danych karty czy instalowania dodatkowych programów poza oficjalnymi sklepami aplikacji.
Równolegle sama sztuczna inteligencja stała się narzędziem w rękach przestępców. Zaawansowane modele językowe umożliwiają generowanie bardzo realistycznych wiadomości po polsku, z poprawną składnią i stylem zbliżonym do oficjalnej korespondencji bankowej. AI ułatwia także przygotowywanie sprecyzowanych ataków na podstawie informacji z mediów społecznościowych – wiadomość może odwoływać się do konkretnej sytuacji życiowej ofiary, co dodatkowo zwiększa jej wiarygodność.
Do tego dochodzą deepfake’i głosu, które pozwalają na tworzenie nagrań i rozmów telefonicznych imitujących prawdziwych doradców bankowych. W połączeniu z presją czasu i sugestią konieczności „natychmiastowej weryfikacji transakcji” taki atak może być bardzo skuteczny. Jeżeli rozmówca namawia do podania kodów BLIK, jednorazowych haseł SMS lub do zainstalowania oprogramowania do zdalnego pulpitu, mamy do czynienia z jednoznacznym sygnałem ostrzegawczym.
Polskie banki od dłuższego czasu ostrzegają przed instalowaniem na prośbę „konsultanta” programów typu TeamViewer, AnyDesk czy Splashtop. W typowym scenariuszu oszust prosi o zainstalowanie takiego narzędzia, by „pomóc rozwiązać problem z kontem” lub „zabezpieczyć rachunek przed nieautoryzowanym przelewem”. W rzeczywistości uzyskuje w ten sposób dostęp do urządzenia i może samodzielnie wykonywać operacje w bankowości elektronicznej.
Dynamiczny rozwój rynku AI przyciąga nie tylko inwestorów, ale także przestępców. Głośne przejęcia, takie jak opisane w artykule „Meta kupuje chiński startup Manus AI…”, pokazują skalę globalnego wyścigu po sztuczną inteligencję. Ten sam trend, który napędza innowacje i rozwój biznesu, równocześnie zwiększa wartość „marki AI” w oczach oszustów, którzy chętnie się nią posługują, by wzbudzić zaufanie ofiar.
Checklist bezpieczeństwa dla klientów banków: jak reagować na pilne komunikaty i nietypowe transakcje
W sytuacji takiej jak ostatni komunikat ING, a także przy każdym podejrzeniu oszustwa, najważniejsze jest działanie według prostych, uporządkowanych zasad. Poniższa lista może stać się osobistym „protokołem bezpieczeństwa”, który warto mieć z tyłu głowy – zarówno jako klient indywidualny, jak i przedsiębiorca.
- Sprawdzanie konta: regularnie kontroluj historię transakcji w aplikacji mobilnej i bankowości internetowej, zwracając szczególną uwagę na podwójne obciążenia, niewielkie, nieznane kwoty testowe oraz transakcje wykonywane o nietypowych porach lub w nietypowych miejscach.
- Weryfikacja komunikatu: w przypadku otrzymania SMS-a lub e-maila o błędzie na koncie, podwójnych obciążeniach czy blokadzie rachunku nie klikaj w załączone linki. Zamiast tego ręcznie wpisz adres banku w przeglądarce lub otwórz oficjalną aplikację i sprawdź, czy komunikat jest widoczny w panelu klienta. Możesz też zadzwonić na numer infolinii podany na karcie lub na stronie banku, a nie w otrzymanej wiadomości.
- Zasady bezpiecznego kontaktu z bankiem: prawdziwy pracownik banku nigdy nie poprosi o pełne hasło do logowania, kody SMS, kody BLIK czy numer CVV/CVC karty w rozmowie telefonicznej. Nie zgadzaj się na instalację oprogramowania do zdalnego pulpitu na prośbę rzekomego konsultanta – to standardowy element wielu scenariuszy oszustw.
- Natychmiastowe kroki w razie problemu: jeśli zauważysz podejrzaną transakcję lub podejrzewasz, że mogłeś przekazać dane osobie nieuprawnionej, nie zwlekaj. Zablokuj kartę w aplikacji lub poprzez infolinię, zgłoś zdarzenie bankowi, złóż reklamację i – w przypadku faktycznego wyłudzenia – rozważ zgłoszenie sprawy na policję.
- Minimalizacja szkód: po incydencie zmień hasła do bankowości internetowej oraz innych usług finansowych, w których mogłeś używać podobnych danych logowania. Włącz silniejsze uwierzytelnianie (np. logowanie biometryczne, jeśli jest dostępne), sprawdź powiązane serwisy (portfele elektroniczne, platformy inwestycyjne, systemy płatności mobilnych) i rozważ time-out sesji oraz ograniczenie limitów transakcyjnych.
Nawet gdy mamy do czynienia z faktyczną usterką techniczną po stronie banku, jak w przypadku podwójnych obciążeń z 26 lutego 2026 r., warto zachować spokój i działać metodycznie. Dobrą praktyką jest udokumentowanie wszystkich zauważonych nieprawidłowości – wykonanie zrzutów ekranu z historii transakcji, zapisanie dat, kwot i nazw kontrahentów. Tak przygotowany komplet informacji ułatwi późniejszą reklamację i przyspieszy wyjaśnienie sprawy.
Ujednolicenie sposobu reakcji – niezależnie od tego, czy mamy do czynienia z błędem systemu, czy z próbą oszustwa – pomaga ograniczyć wpływ emocji. Stres to naturalna reakcja na widok znikających pieniędzy, ale to właśnie w chwilach zdenerwowania jesteśmy najbardziej podatni na manipulację.
Dodatkowe środki ostrożności dla małych firm korzystających z bankowości i narzędzi AI
Właściciele małych firm i działalności jednoosobowych funkcjonują w szczególnie wymagającym środowisku. Z jednej strony intensywnie korzystają z kont firmowych: realizują liczne przelewy, obsługują wielu kontrahentów, integrują bankowość z systemami księgowymi i narzędziami do fakturowania. Z drugiej – coraz częściej sięgają po narzędzia AI, które wspierają obsługę klienta, marketing czy analizę danych sprzedażowych.
Taka kombinacja oznacza szerszy wektor ataku. Firmowe rachunki zwykle mają wyższe salda niż konta prywatne, a pojedyncza nieautoryzowana płatność potrafi zagrozić płynności finansowej przedsiębiorstwa. Dodatkowo automatyczne integracje (np. pomiędzy bankowością a systemem księgowym) oraz korzystanie z wirtualnych asystentów AI zwiększają liczbę punktów, w których może dojść do wycieku danych czy przejęcia dostępu.
Jednym z kluczowych elementów zarządzania ryzykiem są przemyślane polityki dostępu i uprawnień. W praktyce oznacza to m.in. stosowanie osobnych loginów dla współpracowników, ograniczanie uprawnień do wybranych funkcji (np. możliwość przygotowania przelewu bez możliwości jego autoryzacji), wprowadzenie limitów kwotowych oraz dwustopniowej autoryzacji przelewów powyżej określonej kwoty. Taki prosty mechanizm „czterech oczu” znacząco utrudnia dokonanie nieautoryzowanej operacji, nawet jeśli jedno z kont zostanie przejęte.
Nie mniej ważne jest bezpieczne korzystanie z narzędzi AI. Przedsiębiorcy, którzy używają chatbotów lub generatorów treści do pracy z dokumentami, powinni unikać wklejania do tych narzędzi pełnych danych kart płatniczych, loginów, numerów dokumentów czy szczegółowych informacji o klientach. Warto świadomie kontrolować, jakie integracje i pluginy są podłączone do usług AI używanych w firmie: czy mają dostęp do poczty, kalendarza, dokumentów w chmurze, a jeśli tak – na jakich zasadach.
Dobrą praktyką jest także segmentacja środowiska IT. Komputer wykorzystywany do obsługi bankowości internetowej i księgowości powinien być możliwie odseparowany od sprzętu, na którym testuje się nowe narzędzia AI, instaluje eksperymentalne wtyczki czy oprogramowanie z mniej pewnych źródeł. Aktualizacje systemu operacyjnego, oprogramowania antywirusowego i regularne kopie zapasowe to absolutne minimum, które może zadecydować o skali szkód po udanym ataku.
Każda firma, nawet najmniejsza, powinna posiadać wewnętrzną instrukcję na wypadek incydentu bezpieczeństwa. Powinna ona jasno wskazywać, kto i w jakiej kolejności kontaktuje się z bankiem, z jakiego numeru telefonu, jakie dane należy przygotować (numery rachunków, przybliżony czas zdarzenia, opis podejrzanych operacji) oraz w jaki sposób dokumentować wszystkie działania. W sytuacji kryzysowej gotowy scenariusz oszczędza czas i nerwy.
Przedsiębiorcy, którzy chcą lepiej rozumieć techniczne podstawy działania AI, mogą sięgnąć po materiały wprowadzające do programowania i pracy z modelami, takie jak „AI Programming with Python: A Quick Tutorial for Beginners”. Wyższa świadomość techniczna pomaga ocenić ryzyka związane z konkretnymi rozwiązaniami, zadawać właściwe pytania dostawcom technologii oraz lepiej planować ich integrację z krytycznymi procesami finansowymi w firmie.
Jak połączyć zdrowy sceptycyzm z korzystaniem z innowacji – praktyczne rekomendacje na przyszłość
Ostatni komunikat ING dotyczący podwójnych obciążeń kartami Visa pokazuje, że nawet w dojrzałych systemach bankowych mogą wystąpić błędy techniczne. Jednocześnie ta sama sytuacja może zostać wykorzystana przez cyberprzestępców jako pretekst do kolejnych fal phishingu. Klienci słyszą o problemie w mediach, oczekują wyjaśnień, a w tym samym czasie do ich skrzynek trafiają fałszywe wiadomości podszywające się pod bank.
Aby bezpiecznie korzystać z nowoczesnych usług bankowych i narzędzi AI, warto przyjąć kilka prostych, ale konsekwentnych zasad. Przede wszystkim – zaufaj, ale weryfikuj komunikaty. Faktem jest, że banki wysyłają dziś liczne powiadomienia, jednak każde, które wiąże się z koniecznością podania danych logowania, kliknięcia w link czy instalacji dodatkowego oprogramowania, powinno być potwierdzone innym kanałem – najlepiej bezpośrednio w oficjalnej aplikacji lub na infolinii.
Drugą zasadą jest oddzielenie bankowości od eksperymentów z AI. Urządzenie, z którego realizujemy przelewy i na którym przechowujemy dokumenty księgowe, nie powinno być miejscem testowania nowych wtyczek, narzędzi generatywnych czy nieznanych aplikacji. Taka „higiena środowiska” znacząco zmniejsza ryzyko, że błąd popełniony przy testowaniu nowinki technologicznej przełoży się na utratę środków firmowych lub prywatnych.
Kolejna rekomendacja to niepodejmowanie decyzji finansowych w stresie i pod presją czasu. Presja jest jednym z ulubionych narzędzi socjotechniki: „ostatnia szansa”, „konto zostanie zaraz zablokowane”, „natychmiast przekaż środki na bezpieczny rachunek”. W realnym świecie bankowości zdecydowana większość problemów nie wymaga reakcji w ciągu minut. Warto dać sobie czas choćby na krótką weryfikację – zalogowanie się do bankowości internetowej niezależnie od otrzymanej wiadomości i sprawdzenie stanu rachunku.
Nie do przecenienia jest rola edukacji cyfrowej. Śledzenie oficjalnych komunikatów banków, informacji publikowanych przez Komisję Nadzoru Finansowego (KNF), Urząd Ochrony Konkurencji i Konsumentów (UOKiK) czy policję, a także lektura rzetelnych materiałów o AI i cyberbezpieczeństwie, budują odporność na manipulację. Warto potraktować incydent z podwójnymi obciążeniami jako impuls do uporządkowania własnych nawyków bezpieczeństwa: wzmocnienia haseł, przeglądu uprawnień, aktualizacji oprogramowania, przemyślenia limitów transakcyjnych.
Osoby zainteresowane szerszym kontekstem rozwoju sztucznej inteligencji mogą sięgnąć po inne analizy dotyczące wpływu AI na zawody techniczne i globalny wyścig technologiczny, w tym wspomniany wcześniej tekst o tym, że AI potrafi pisać kod lepiej niż człowiek czy artykuł o przejęciu Manus AI przez Metę. Warto jednak pamiętać, że nawet najbardziej zaawansowane analizy i spektakularne transakcje w świecie technologii nie zastąpią podstawowych, codziennych zasad higieny cyfrowej.
Bankowość i sztuczna inteligencja będą w kolejnych latach coraz mocniej się przenikać. Z jednej strony pozwoli to na szybszą obsługę klientów, skuteczniejsze wykrywanie fraudów i wygodniejsze zarządzanie finansami. Z drugiej – będzie oznaczać nowe wektory ataku i bardziej wyrafinowane próby oszustwa. Świadomy klient, który łączy otwartość na innowacje ze zdrowym sceptycyzmem i prostymi nawykami bezpieczeństwa, pozostaje najlepszą linią obrony w tym dynamicznie zmieniającym się środowisku.