Płatność BLIK przez telefon – jak działa kod, co obsługuje i gdzie leży ryzyko

Płacenie telefonem sześciocyfrowym kodem jest w Polsce tak powszechne, że mało kto zastanawia się, co dzieje się między wpisaniem kodu a komunikatem „transakcja zaakceptowana”. A to właśnie tam leżą odpowiedzi na pytania, które pojawiają się dopiero po fakcie: dlaczego kodu nie da się cofnąć, kto naprawdę ustawia limit i dlaczego bank potrafi odmówić zwrotu pieniędzy wyłudzonych „na BLIKA”.

Dwie warstwy, które łatwo pomylić

Regulamin systemu płatności mobilnych BLIK (wersja zatwierdzona przez zarząd Polskiego Standardu Płatności 11 czerwca 2025 r.) rozdziela to, co w codziennym języku jest jednym słowem. Schemat płatniczy BLIK to zbiór reguł: kto może być wydawcą, jak wygląda komunikacja, jak przebiega autoryzacja — działa w rozumieniu ustawy o usługach płatniczych. System płatności BLIK to warstwa rozliczeniowa, w której powstają wzajemne pozycje uczestników; jego podstawą jest ustawa z 24 sierpnia 2001 r. o ostateczności rozrachunku w systemach płatności.

Rozróżnienie nie jest akademickie, bo od niego zależy nadzór. Prowadzenie systemu płatności — poza systemami prowadzonymi przez sam NBP — wymaga zezwolenia Prezesa NBP, i to samo dotyczy każdej zmiany zasad jego funkcjonowania. Osobno, na podstawie art. 14 ust. 2 ustawy o usługach płatniczych, Prezes NBP nadzoruje schematy płatnicze: wydaje zezwolenia, ocenia ich funkcjonowanie, może wydawać zalecenia, nakładać kary, a nawet wstrzymać działanie schematu. NBP wymienia BLIK jako jeden z sześciu systemów płatności detalicznych działających w Polsce. Sam rozrachunek — moment, w którym pieniądze zmieniają właściciela między bankami — odbywa się w każdy dzień roboczy w systemie SORBNET3, prowadzonym przez NBP.

Co się dzieje przez te kilka sekund

Kod BLIK to według regulaminu Kod Jednorazowy: ciąg generowany przez operatora schematu, możliwy do wykorzystania wyłącznie przy autoryzacji jednej transakcji w okresie swojej ważności. Praktyczne parametry podaje operator: sześć cyfr, ważność 2 minuty, po upływie której generujesz nowy. Kod nie zawiera numeru rachunku ani żadnych danych, które dałoby się później użyć ponownie.

Ścieżka transakcji ma pięć kroków i tylko pierwszy z nich widzisz. Urządzenie akceptujące — strona sklepu, terminal, bankomat — przesyła kod z danymi transakcji przez agenta rozliczeniowego do operatora schematu. Operator ustala, do którego konta mobilnego i którego wydawcy kod należy. Dane trafiają do wydawcy, czyli twojego banku. Bank przeprowadza autoryzację, czyli podejmuje decyzję o możliwości wykonania transakcji — i to wtedy widzisz w aplikacji ekran z kwotą i odbiorcą. Decyzja wraca tą samą drogą.

Kluczowy zapis regulaminu: „Autoryzacja Transakcji BLIK przez Wydawcę jest nieodwołalna”. Od tego momentu zlecenia nie może cofnąć ani uczestnik schematu, ani osoba trzecia. Anulowanie lub korekta są możliwe wyłącznie po stronie rozliczeniowej — przez 13 miesięcy od autoryzacji — a przy błędzie technicznym transakcję może anulować operator albo agent rozliczeniowy. Twoje potwierdzenie w aplikacji jest więc punktem bez powrotu, nie ostatnim ostrzeżeniem.

Osobna kategoria to Alias — kod BLIK o charakterze trwałym, wielorazowym, rejestrowany na zlecenie banku. To on stoi za płatnościami „bez kodu”, gdy zapamiętasz sklep lub przeglądarkę jako zaufaną.

Sześć rodzajów transakcji pod jedną nazwą

• E-commerce — kod na stronie sklepu albo na zewnętrznej stronie płatności; po zapamiętaniu sklepu lub przeglądarki płatność idzie bez kodu, na aliasie.
• Terminal z kodem — kod przepisany na terminalu, potwierdzenie PIN-em w aplikacji.
• BLIK zbliżeniowy — telefon przy terminalu, bez kodu i bez internetu.
• Bankomat i wpłatomat — kod na klawiaturze urządzenia; wypłata gotówki i wpłata bez karty.
• Przelew na telefon (P2P) — bez agenta rozliczeniowego, rozliczany przelewem wewnętrznym, przez system przelewów natychmiastowych albo przez sam System BLIK.
• Prośba o przelew (P2P-R) — inicjuje ją odbiorca, a wysłana prośba czeka na akceptację 72 godziny.

Przy przelewie na telefon numer rachunku odbiorcy ustala się z bazy kont mobilnych — nadawca podaje wyłącznie identyfikator wcześniej powiązany z odbiorcą, w praktyce numer telefonu lub adres e-mail. Odbiorca musi mieć numer zarejestrowany w usłudze; bez tego przelew nie dojdzie, a bank poinformuje o tym nadawcę.

Do tego dochodzi czek BLIK — dziewięciocyfrowy kod zabezpieczony czterocyfrowym hasłem, o z góry ustalonej kwocie, którą bank blokuje na koncie do czasu realizacji albo wygaśnięcia. Można go przekazać innej osobie, a do jego użycia nie jest potrzebna aplikacja bankowa. Funkcję udostępnia tylko część wydawców.

Zbliżeniowo BLIK jedzie na cudzych szynach

Płatność zbliżeniowa telefonem to technicznie zupełnie inna transakcja niż wpisanie kodu. Regulamin nazywa ją Transakcją BLIK-C i opisuje jako realizowaną w oparciu o alias, z użyciem systemu tokenizacyjnego należącego do międzynarodowej organizacji kartowej — w dokumencie występuje ona jako Schemat Współpracujący, notyfikowany do NBP na podstawie art. 132zo ustawy o usługach płatniczych.

W telefonie siedzi więc token, a nie kod, i płatność przechodzi przez infrastrukturę kartową. Dlatego działa bez zasięgu i bez internetu, a za granicą — tylko w terminalach zbliżeniowych oznaczonych logo tego schematu. Autoryzację i tak podejmuje twój bank. To także wyjaśnia asymetrię zasięgu: zbliżeniowo zapłacisz wszędzie tam, gdzie przyjmowane są karty, a kodem — tylko tam, gdzie sprzedawca wdrożył BLIK-a u swojego agenta rozliczeniowego.

Skala: co pokazuje ostatni pełny kwartał

Najświeższe dane kwartalne opublikowane przez operatora dotyczą I kwartału 2026 r.: 756 mln transakcji o łącznej wartości 117,3 mld zł, czyli o 14 proc. więcej pod względem liczby i o 19 proc. pod względem wartości niż rok wcześniej. To średnio 8,4 mln operacji dziennie.

Dwie rzeczy są tu ciekawsze niż suma. Po pierwsze, płatności zbliżeniowych było 80,5 mln, czyli 47 proc. wszystkich transakcji w terminalach — kod przy kasie przestaje być domyślnym scenariuszem. Po drugie, wystarczy podzielić wartość przez liczbę, żeby zobaczyć, do czego każdy kanał faktycznie służy: w terminalu wychodzi około 63 zł na transakcję, w internecie około 160 zł, a przy wypłacie z bankomatu ponad 600 zł. Telefon w kasie obsługuje drobne zakupy, nie duże.

Bazę użytkowników operator opisuje dwiema wielkościami: 35,5 mln aplikacji mobilnych z BLIK-iem oraz ponad 21 mln osób korzystających z niego regularnie. Usługę udostępnia 21 wydawców — banki komercyjne, spółdzielcze i kasy.

Limity ustawia twój bank, nie BLIK

To najczęstsze nieporozumienie. Regulamin schematu przewiduje jedynie techniczny limit pojedynczej transakcji, określony w niejawnej specyfikacji dla uczestników; jego przekroczenie kończy się odrzuceniem z kodem błędu. Wszystko, co widzisz jako klient — limit dzienny, limit liczby transakcji, osobne progi dla wypłat z bankomatu — ustala indywidualnie twój bank i tam też się to zmienia. Podobnie z opłatami: znajdziesz je w tabeli opłat i prowizji banku, nie w cenniku operatora. I podobnie z reklamacjami — właściwą instytucją jest bank, którego aplikacji użyto do transakcji, bo tylko on ma komplet danych.

Warto znać jeszcze jeden próg: transakcje w bankomacie, w internecie i w sklepach stacjonarnych powyżej 50 zł muszą być dodatkowo potwierdzone PIN-em, chyba że bank udostępnia klientom zarządzanie takimi limitami.

Oszustwo „na BLIKA” i granica odpowiedzialności banku

Schemat jest od lat ten sam i opisują go zarówno jednostki policji, jak i prokuratura. Przestępca przejmuje konto w serwisie społecznościowym i pisze do znajomych ofiary wiadomość w rodzaju: „Cześć, masz może blika? Bo robię właśnie ważne zamówienie, a na liście płatności natychmiastowych jest tylko BLIK”. Po przesłaniu kodu i potwierdzeniu transakcji pieniądze znikają z konta, a kontakt się urywa. Wariant rozwinięty: oszust najpierw prosi o numer telefonu, potem wysyła SMS o rzekomej wygranej w konkursie, do której odbioru „potrzebne” są kody BLIK. Osobno działa phishing — CSIRT KNF w comiesięcznych przeglądach oszustw internetowych odnotowuje kampanie, w których fałszywe strony podszywają się pod bramki płatnicze i bankowość elektroniczną, a celem jest wyłudzenie m.in. danych kart, danych logowania i kodów BLIK.

Teraz najważniejsze — dlaczego bank potrafi odmówić zwrotu. Zgodnie z art. 46 ust. 1 ustawy o usługach płatniczych dostawca ma obowiązek zwrócić kwotę transakcji nieautoryzowanej niezwłocznie, nie później niż do końca dnia roboczego następującego po zgłoszeniu. Ale w stanowisku interpretacyjnym Prezesa UOKiK czytamy, że na autoryzację składają się dwa elementy łącznie: zgoda płatnika na wykonanie transakcji (art. 40 ust. 1) oraz prawidłowe uwierzytelnienie. Kiedy sam wygenerowałeś kod, przesłałeś go i zatwierdziłeś PIN-em w aplikacji, oba warunki są spełnione — transakcja jest autoryzowana, choć zostałeś oszukany co do jej celu. Tryb D+1 z art. 46 nie ma tu zastosowania, bo dotyczy transakcji nieautoryzowanych.

Ta sama interpretacja działa jednak w drugą stronę i jest dla konsumenta korzystna. Prezes UOKiK stwierdza wprost, że samo wykazanie prawidłowego uwierzytelnienia nie dowodzi autoryzacji, a przypuszczenie banku, że klient dopuścił się rażącego niedbalstwa, nie jest podstawą do odmowy zwrotu. Bank ma najpierw oddać pieniądze, a ewentualną odpowiedzialność klienta z art. 46 ust. 3 — umyślność albo rażące niedbalstwo w naruszeniu obowiązków z art. 42 — rozstrzygać osobno. Wyjątki są dwa: uzasadnione i udokumentowane podejrzenie oszustwa ze strony samego płatnika, o którym bank zawiadomi organy ścigania, oraz brak zgłoszenia w terminie 13 miesięcy (art. 44 ust. 2).

Wniosek praktyczny jest krótki. Mechanizm techniczny BLIK-a jest odporny: kod jest jednorazowy, krótko ważny i nic nie znaczy bez zatwierdzenia w aplikacji. Odporny nie jest natomiast człowiek, którego przekonano, żeby to zatwierdzenie kliknąć. Zanim potwierdzisz — przeczytaj ekran, bo bank pokazuje na nim co najmniej kwotę i odbiorcę płatności. A jeśli znajomy prosi o BLIK-a przez komunikator, zadzwoń do niego.

Poza Polską: pierwsze wdrożenia i to, czego jeszcze nie ma

Ekspansja idzie wolniej, niż sugerują nagłówki. Operator prowadzi dziś serwisy w wersji słowackiej i rumuńskiej, a w czerwcu 2026 r. ogłosił pierwsze wdrożenie w słowackim handlu internetowym: polscy użytkownicy mogą zapłacić BLIK-iem za noclegi w tatrzańskich kurortach jednej z grup hotelowych. Cena podana jest w euro, przeliczenie na złote następuje automatycznie, a ostateczną kwotę obciążenia widać przed zatwierdzeniem. Rozwój rynku słowackiego prowadzi osobny podmiot, a deklarowanym celem jest objęcie tym modelem rozliczeniowym banków ze strefy euro, które wdrożą polski system — to jednak plan, nie stan faktyczny.

Niezależnie od tego BLIK zbliżeniowy działa za granicą już dziś, ale nie „jako BLIK”: płacisz w terminalach obsługujących schemat kartowy, z którym operator współpracuje.

Pięć rzeczy, o które warto zadbać zawczasu

• Sprawdź, gdzie w aplikacji są limity. Ustawia je bank, nie operator — a obniżony limit dzienny to najtańsze zabezpieczenie, jakie masz.
• Czytaj ekran zatwierdzenia, nie kwotę w głowie. Zawiera co najmniej kwotę i odbiorcę; to ostatni moment, w którym transakcja jeszcze nie istnieje.
• Nie traktuj kodu jak hasła, ale i nie jak liczby bez znaczenia. Sam z siebie nie ujawnia danych, jednak przekazany obcej osobie razem z twoim kliknięciem w aplikacji wystarcza do zabrania pieniędzy.
• Reklamację składaj w banku od razu. Ustawowy termin na zgłoszenie to 13 miesięcy, ale obowiązek zwrotu liczy się od dnia zgłoszenia — zwłoka działa wyłącznie na twoją niekorzyść.
• Przekazujesz pieniądze komuś innemu? Rozważ czek zamiast kodu. Ma z góry ustaloną kwotę, własne hasło i widoczny w aplikacji status wykorzystania.