Alior Bank: e-mail o blokadzie konta to oszustwo

CERT Polska ostrzegł 13 października 2026 r. przed fałszywymi e-mailami kierowanymi do klientów Alior Banku. Wiadomości nakłaniają do pilnego potwierdzenia danych, a przycisk prowadzi do strony służącej do kradzieży danych logowania. Jeśli otrzymałeś taki e-mail, nie naciskaj przycisku. Otwórz samodzielnie aplikację Alior Banku i tam sprawdź, czy konto rzeczywiście wymaga działania.

Jak wygląda e-mail podszywający się pod Alior Bank

W ostrzeżeniu CERT Polska z 13 października opisano kampanię wykorzystującą groźbę problemów z dostępem do rachunku. Nadawca powołuje się na przepisy i twierdzi, że klient powinien pilnie potwierdzić dane. Brak reakcji ma rzekomo oznaczać konieczność wizyty w oddziale.

Przykład pokazujący sens przynęty, a nie dosłowny cytat z e-maila:

Ostatnie przypomnienie: potwierdź pilnie dane, aby uniknąć problemów z dostępem do konta Alior Bank. Wybierz przycisk weryfikacji.

Wiadomość opisana przez CERT Polska zawiera przycisk przenoszący do podrobionej strony, na której przestępcy próbują zdobyć dane logowania do bankowości. Nie jest to procedura aktualizacji danych prowadzona przez bank.

Co zdradza wiadomość o potwierdzeniu danych

• Pilne potwierdzenie danych pod pretekstem przepisów. Oszust łączy urzędowo brzmiące uzasadnienie z oczekiwaniem szybkiej reakcji klienta Alior Banku.
• Groźba utrudnionego dostępu do rachunku. E-mail sugeruje problem z kontem oraz potrzebę wizyty w placówce, jeśli odbiorca nie wykona polecenia.
• Przycisk prowadzący poza zwykłą drogę logowania. Po jego naciśnięciu pojawia się strona imitująca bankowość i żądająca danych logowania.
• Nadawca i domena wymagające kontroli. CERT Polska radzi sprawdzać oba adresy, nie oceniać wiadomości wyłącznie na podstawie wyglądu.

Podobne fałszywe strony logowania do VeloBanku, Santander i Banku Pocztowego pokazują, dlaczego znajomy ekran banku nie wystarcza do potwierdzenia autentyczności witryny.

Dostałem e-mail, ale nic nie kliknąłem

Nie odpowiadaj na prośbę o potwierdzenie danych ani nie używaj przycisku w otrzymanej wiadomości. Uruchom aplikację Alior Banku ze swojego telefonu i sprawdź powiadomienia dotyczące rachunku. Jeśli masz wątpliwości, skontaktuj się z bankiem przez numer znaleziony samodzielnie na jego stronie internetowej, zamiast korzystać z danych kontaktowych w e-mailu.

Podejrzaną wiadomość zgłoś CERT Polska przez incydent.cert.pl albo w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel. Do zgłoszenia możesz dołączyć podejrzany adres strony i wiadomość.

Kliknąłem przycisk lub podałem dane

Kliknąłem, lecz nic nie wpisałem: informacje o rachunku sprawdź w samodzielnie uruchomionej aplikacji Alior Banku. Podejrzany link i otrzymaną wiadomość zgłoś CERT Polska przez incydent.cert.pl.

Podałem login lub dane logowania: skontaktuj się z Alior Bankiem przez numer z karty lub oficjalnej strony banku. Jeśli ujawniłeś również hasło, zmień je i włącz weryfikację dwuetapową.

Podałem dane osobowe lub numer dokumentu tożsamości: według analizy tej kampanii przygotowanej przez CERT Orange Polska, zespół reagowania na cyberzagrożenia działający w Orange Polska, fałszywa strona zbiera także takie informacje, nie tylko login. CERT Orange zaleca wtedy zastrzec PESEL w aplikacji mObywatel lub urzędzie właściwym dla miejsca zamieszkania. Podejrzaną stronę zgłoś CERT Polska przez incydent.cert.pl.

Odmienny pretekst, ale podobne ryzyko kontaktu z oszustem opisuje sprawa fałszywego telefonu dotyczącego wniosku kredytowego w Banku Millennium.

Czego nie robić

Nie przesyłaj danych logowania w odpowiedzi na ten e-mail. Nie podejmuj decyzji o „potwierdzeniu danych” wyłącznie dlatego, że nadawca straszy blokadą konta lub wizytą w oddziale. Nie zakładaj, że przycisk jest bezpieczny, ponieważ wiadomość zawiera nazwę Alior Banku.

Dlaczego fałszywy komunikat banku działa

To phishing — podszywanie się pod zaufaną instytucję w celu wyłudzenia danych. W tej kampanii momentem ryzyka jest przejście z e-maila o pilnym potwierdzeniu danych na fałszywy ekran logowania do Alior Banku.