Pożyczkę zaciągnął oszust, na Twoje skradzione dane? To nic – sąd wyda nakaz zapłaty, a komornik ją od Ciebie wyegzekwuje. Tak orzekają polskie sądy [prawomocny wyrok]

• Wyłudzanie poufnych danych osobowych to jedno z częstszych cyberprzestępstw
• Oszust wyłudza Twoje dane osobowe i zaciąga na nie pożyczkę? To Ty ją spłacisz (wraz z odsetkami i kosztami sądowymi) – wynika z prawomocnego wyroku sądu rejonowego
• RPO staje w obronie ofiary przestępstwa i występuje do sądu ze skargą o wznowienie postępowania: „roszczenie wobec pozwanej nie miało ani podstawy faktycznej, ani prawnej, wobec czego powinno być oddalone”
• Jeżeli stałeś się ofiarą takiego postępowania wymiaru sprawiedliwości – zgłoś sprawę RPO

Wyłudzanie poufnych danych osobowych to jedno z częstszych cyberprzestępstw

W dniu 9 czerwca 2025 r. w biurze Rzecznika Praw Obywatelskich (dalej: RPO) odbyła się konferencja pn. „Potrzeby zwiększenia ochrony osób starszych przed oszustwami”, bo to ta grupa społeczna – ze względu na bardziej ufne wychowanie, dobroć i mniejszą świadomość w zakresie rozwoju techniki – najczęściej staje się ofiarami tego typu przestępstw, popełnianych z wykorzystaniem manipulacji psychologicznej. Jak podkreślił dr Piotr Zakrzewski z Zespołu Prawa Karnego Biura RPO podczas swojego przemówienia wprowadzającego do ww. konferencji – „Dzisiaj rozwój techniki jest taki, że można przez zmianę głosu udać głos osoby najbliższej. Można poprzez zmianę numeru telefonu lub maila lub adresu IP udać, że wiadomość e-mail pochodzi z innego źródła niż została ona pierwotnie wysłana. Można również tak doprecyzować rozmowę lub wysłane wiadomości, aby osoba oszukiwana myślała, że rozmawia z kimś najbliższym.”

Każdego roku liczba incydentów dotyczących cyberbezpieczeństwa rośnie – w 2024 r. było ich ok. 103 tysiące, a ich zdecydowana większość to przypadki oszustw internetowych. Wśród tych ostatnich – z roku na rok, na popularności zyskują cyberataki określane pojęciami phishing i smishing. W 2024 r., phishing stanowił aż 39% wszystkich incydentów zarejestrowanych przez CERT Polska (będący działającym w strukturach NASK – Państwowego Instytutu Badawczego – Zespołem Reagowania na Incydenty Bezpieczeństwa Komputerowego). Polega on na wyłudzaniu od ofiary przestępstwa poufnych danych, np. loginu i hasła do poczty, strony banku, portalu społecznościowego lub innej usługi online, PIN-u lub numeru karty kredytowej albo danych z dowodu osobistego. Phishing przyjmuje często formę wiadomości e-mail imitujących komunikaty od banków lub innych instytucji, z prośbą o potwierdzenie danych lub kliknięcie linka do fałszywej strony. Ofiarą phishingu mogą stać się nie tylko osoby fizyczne, ale także przedsiębiorcy, którym przesyłane są m.in. fałszywe wezwania do zapłaty za usługi lub zaległe faktury. Jeżeli przestępcy uda się wyłudzić od ofiary dane niezbędne do zalogowania się np. do jej konta bankowego – skutek jest łatwy do przewidzenia: oczywiście, znikną z niego wszystkie pieniądze, a nawet mogą zostać zaciągnięte kolejne zobowiązania. W 2024 r. – jak wynika z raportu CERT Polska – wśród popularnych kampanii phishingowych były m.in. przypadki nieuprawnionego wykorzystywania wizerunku serwisów sprzedażowych OLX – 9865 przypadków, Allegro – 4053 przypadki oraz serwisu społecznościowego Facebook – 3871 przypadków, ale zdarzają się również przypadki podszywania się przez przestępców pod takie instytucje jak choćby ZUS czy urząd skarbowy.

Phishing jest terminem pochodzącym od angielskiego słowa fishing, czyli – łowić ryby. Analogicznie do łowienia ryb – cyberprzestępcy posługujący się tym typem oszustwa komputerowego – stosują bowiem „przynętę”, by nakłonić ofiarę do ujawnienia poufnych danych osobowych.

Zbliżonym do phishingu rodzajem cyberataku – jest smishing, który również polega (tak jak phishing) na wyłudzaniu od ofiary przestępstwa poufnych danych, ale jest to czynione za pośrednictwem fałszywej wiadomości sms, a nie wiadomości e-mail. Pojęcie smishingu, zostało zdefiniowane w ustawie z dnia 28.07.2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej i w myśl jej art. 3 pkt 2 stanowi – wysłanie krótkiej wiadomości tekstowej (SMS), w której nadawca podszywa się pod inny podmiot w celu nakłonienia odbiorcy tej wiadomości do określonego zachowania, w szczególności przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, inicjowania połączenia głosowego lub instalacji oprogramowania.

Zarówno phishing, smishing, jak i inne rodzaje cyberataków, mają jedną, zasadniczą cechę wspólną – ich ofiary, w zdecydowanej większości przypadków, narażone są na duże straty finansowe. Biorąc pod uwagę fakt, iż są to przestępstwa, a ich ofiary, nie mają wpływu na zaciągane przez oszustów zobowiązania finansowe na wyłudzone – w następstwie ich popełnienia – dane osobowe – wydaje się, że oczywistym powinno być, iż w takich sytuacjach, wymiar sprawiedliwości stanie w obronie pokrzywdzonych. Praktyka pokazuje, że jest jednak zgoła odmiennie.

Oszust wyłudza Twoje dane osobowe i zaciąga na nie pożyczkę? To Ty ją spłacisz (wraz z odsetkami i kosztami sądowymi) – wynika z prawomocnego wyroku sądu rejonowego

Kobieta, będąca ofiarą przestępstwa, w 2023 r., poszukiwała pracy jako księgowa. Na portalu internetowym, znalazła ogłoszenie firmy księgowej o poszukiwaniu pracownika do pracy zdalnej, na takie właśnie stanowisko. W odpowiedzi na przesłane przez siebie zgłoszenie – otrzymała korespondencję mailową z informacją o zatrudnieniu, do której dołączone były wiarygodnie wyglądające dokumenty (w tym m.in. umowa o pracę). Otrzymała również prośbę o nadesłanie skanu dowodu osobistego oraz wypełnionego formularza otwarcia rachunku bankowego, na który miało być wypłacane jej wynagrodzenie za pracę. Wszystko to – zrobiła. W dniu, w którym miała rozpocząć świadczenie pracy – otrzymała plik z programem księgowym oraz bazą danych, których jednak nie była w stanie otworzyć. Po telefonicznym skontaktowaniu się z firmą księgową, w której rzekomo została zatrudniona (numer telefonu odnalazła na stronie internetowej) – dowiedziała się, że ani ogłoszenie o pracę, ani żadne z pozostałych działań nie pochodziły od tej firmy i wcale nie została w niej zatrudniona. W banku, w którym utworzyła rachunek bankowy, na który miało wpływać jej wynagrodzenie za pracę, uzyskała natomiast informację, że na konto to dokonywane były wpłaty i wypłaty z różnych firm pożyczkowych oraz bez jej zgody – dokonywane były wpłaty i wypłaty pieniędzy. W związku z powyższym – kobieta zamknęła rachunek bankowy i zastrzegła dowód osobisty, a kilka dni później – złożyła zawiadomienie o możliwości popełnienia przestępstwa przez osoby, które podszywały się za posiadacza należącego do niej rachunku bankowego oraz dokonywały transakcji na tym koncie, działając w ten sposób na jej szkodę. Prokuraturze nie udało się jednak ustalić sprawców (logowali się oni do konta bankowego pokrzywdzonej z numerów IP należących do operatorów z siedzibą w różnych krajach, m.in. w Liechtensteinie) – śledztwo zostało umorzone, a pokrzywdzonej kobiety nie uchroniło to przed tym, żeby sąd wydał wobec niej nakaz zapłaty w elektronicznym postępowaniu upominawczym, w którym zobowiązał ją do zwrotu równowartości zobowiązań zaciągniętych w jej imieniu przez przestępców (na łączną kwotę 2 474,09 zł), wraz z odsetkami umownymi oraz kosztami procesu z odsetkami.

Nakaz ten, nie został przez pokrzywdzoną odebrany, ponieważ – jak twierdzi – nie otrzymała informacji o awizowaniu przesyłki. W następstwie powyższego – sąd zarządził pozostawienie go w aktach sprawy ze skutkiem doręczenia go pozwanej. Dwa tygodnie później – nakaz został uznany przez sąd za prawomocny, a w konsekwencji tego – została mu również nadana klauzula wykonalności. Wszczęto postępowanie egzekucyjne, które doprowadziło do wyegzekwowania przez komornika całej należności od pokrzywdzonej kobiety.

Pokrzywdzona starała się jeszcze na własną rękę dochodzić swoich praw, składając do sądu rejonowego, który wydał rzeczony nakaz zapłaty, wniosek o jego doręczenie (w związku z tym, że go nie otrzymała) oraz przywrócenie terminu do złożenia sprzeciwu od ww. nakazu zapłaty. W piśmie tym – wyjaśniła ona również, że padła ofiarą oszustwa kredytowego oraz kradzieży danych osobowych (o czym poinformowała już wcześniej pierwotnego wierzyciela – gdyż zobowiązanie zostało zbyte przez bank w wyniku cesji wierzytelności, jak również organy ścigania). Sąd odmówił jednak ponownego doręczenia kobiecie nakazu zapłaty oraz odrzucił jej wniosek o przywrócenie terminu na złożenie sprzeciwu, jak również – odrzucił sam sprzeciw. Kobieta wniosła również do sądu wniosek o uchylenie postanowienia o nadaniu nakazowi zapłaty klauzuli wykonalności – który to sąd także odrzucił. Wszystkie ww. postanowienia sądu, stały się prawomocne.

Ostatecznie – kobieta wystąpiła do sądu ze skargą o wznowienie postępowania, powołując się w niej na art. 401 pkt 2 kodeksu postępowania cywilnego, tj. pozbawienie strony (jej) możności działania wskutek naruszenia przepisów prawa, jak również zwróciła się o pomoc do RPO.

RPO staje w obronie ofiary przestępstwa i występuje do sądu ze skargą o wznowienie postępowania: „roszczenie wobec pozwanej nie miało ani podstawy faktycznej, ani prawnej, wobec czego powinno być oddalone”

W obronie będącej ofiarą przestępstwa kobiety – stanął RPO, który w dniu 3 czerwca 2025 r. wystąpił do sądu rejonowego (który wydał prawomocny nakaz zapłaty) ze skargą o wznowienie postępowania, uchylenie nakazu zapłaty oraz oddalenie powództwa przeciwko kobiecie.

Jako podstawa skargi, została przez RPO wskazana przesłanka z art. 403 par. 1 pkt 1 kodeksu postępowania cywilnego – uzyskania wyroku (nakazu zapłaty) na podstawie podrobionego dokumentu. Nakaz zapłaty wydano bowiem w oparciu o umowę pożyczki, która nie została zawarta przez pozwaną, a przez osobę posługującą się jej danymi osobowymi.

Marcin Wiącek wskazał, że wykładni art. 403 par. 1 pkt 1 kodeksu postępowania cywilnego należy dokonywać przez pryzmat digitalizacji życia gospodarczego. Oznacza to, że na obecnym etapie rozwoju technicznego, podrobieniem dokumentu może być wykorzystanie danych osobowych pokrzywdzonego w celu przekonania, że oświadczenie złożone za pośrednictwem sieci telekomunikacyjnej pochodzi od innej osoby niż ta, która w rzeczywistości je złożyła. Podrobienia dokumentu nie można zatem aktualnie ograniczać wyłącznie do wystawienia tradycyjnego dokumentu opatrzonego podpisem. Może być ono następstwem także innych czynów karalnych, zwłaszcza zdefiniowanych w art. 286 (przestępstwo oszustwa) czy art. 190a par. 2 kodeksu karnego (kradzież tożsamości). W ocenie RPO – zachodzą zatem podstawy do uchylenia nakazu zapłaty i oddalenia powództwa. Powód swe roszczenie wywodził z faktu zawarcia przez pozwaną umowy ze spółką, której roszczenia miał nabyć w drodze umowy cesji. Z faktu podrobienia umowy przez osobę trzecią wynika zaś, że roszczenie wobec pozwanej nie miało podstawy faktycznej i prawnej.

RPO podkreśla: sfałszowana umowa pożyczki nie rodzi żadnych skutków prawnych. Jako pozwana w niniejszej sprawie, występuje osoba, która – jak wynika z akt postępowania karnego – nie złożyła oświadczenia woli zaciągnięcia pożyczki. Tym samym – zasadny jest zarzut braku legitymacji biernej po stronie pozwanej. Nigdy nie była ona zobowiązana do spełnienia świadczenia, co uzasadnia oddalenie powództwa wobec niej – dedukuje RPO i podsumowuje:

– „Wobec nieistnienia zobowiązania pozwanej, która nie zawarła umowy pożyczki stanowiącej podstawę nakazu zapłaty, uzasadnione jest żądanie uchylenia kwestionowanego orzeczenia oraz oddalenia powództwa w całości”.

Jeżeli stałeś się ofiarą takiego postępowania wymiaru sprawiedliwości – zgłoś sprawę RPO

Wyłudzanie poufnych danych osobowych przez przestępców internetowych, to niewątpliwie jedna z większych bolączek cyberprzestrzeni ostatnich lat. Cyberprzestępcy stale doskonalą swoje techniki manipulacji, obierając na swoje ofiary coraz to nowe grupy społeczne (w ostatnim czasie popularne stały się np. oszustwa „na dziecko”, celowane w rodziców, a nie jak to zwykle bywa – w dziadków). Opisany przypadek, z całą pewnością nie jest więc jedynym, w którym – w wyniku takiego przestępstwa – dochodzi do poniesienia przez ofiarę strat finansowych. Warto więc mieć świadomość, jak radzić sobie z takimi sytuacjami – nawet jeżeli wymiar sprawiedliwości zawodzi.

Po pomoc – tak jak pokrzywdzona kobieta – zawsze można również zwrócić się do RPO, dokonując zgłoszenia jednym z następujących kanałów komunikacji:

• pisemnie, wysyłając wniosek (w którym powinno znaleźć się imię i nazwisko osoby składającej wniosek, jej adres, opis sprawy i związane z nią dokumenty) na adres biura rzecznika (al. Solidarności 77, 00-090 Warszawa),
• przez internet, wypełniając (za pomocą pięciu prostych kroków) wniosek dostępny pod adresem: LINK lub
• osobiście, w jednym z czterech biur RPO (w Warszawie, Katowicach, Gdańsku lub Wrocławiu) albo – w czasie dyżurów rzecznika – w następujących miastach: Białystok, Bydgoszcz, Koszalin, Kraków, Lublin, Szczecin, Wałbrzych.

Podstawa prawna:

• Ustawa z dnia 28.07.2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (t.j. Dz.U. z 2024 r., poz. 1803)
• Ustawa z dnia 17.11.1964 r. – Kodeks postępowania cywilnego (t.j. Dz.U. z 2024 r., poz. 1568 z późn. zm.)
• Ustawa z dnia 6.06.1997 r. – Kodeks karny (t.j. Dz.U. z 2025 r., poz. 383)