Dostawca płatności, który sprawdza tylko kod MCC i status merchant account, nie wykonał należytej staranności wobec kontrahenta. Kod MCC opisuje typ działalności (np. 7995 dla hazardu), ale nie mówi nic o tym, czy odbiorca widnieje w Rejestrze Domen Zakazanych prowadzonym przez Ministerstwo Finansów. To wystarczy, by kasyno bez polskiej licencji przyjmowało depozyty przez pośrednika, który formalnie “nie wiedział”.
W praktyce AML wygląda inaczej niż w broszurach. Dostawca płatności ma obowiązek raportować transakcje podejrzane do GIIF, ale sam raport to za mało, jeśli monitoring nie łączy pojedynczej operacji z wzorcem: serią wpłat tuż pod progiem, zmianą Beneficjenta rzeczywistego, ruchem z jurysdykcji offshore. Kasyno bez weryfikacji 2026 nadal działa, bo rozbija płatności i zmienia opisy transakcji szybciej, niż systemy klasyfikują merchantów po MCC.
Ten tekst rozkłada obowiązki dostawcy płatności na czynniki pierwsze: co dokładnie trzeba sprawdzić przed onboardingiem, jakie progi i wskaźniki uruchamiają raport, dlaczego licencja Malta Gaming Authority albo Curacao nie zwalnia z weryfikacji wobec polskiego prawa i gdzie kończy się odpowiedzialność operatora, a zaczyna odpowiedzialność banku czy PSP. Bez marketingowego języka, za to z listą kontrolną, którą można zestawić z własną procedurą KYC i AML.
Jak dostawcy płatności raportują transakcje podejrzane w praktyce
Dostawca płatności w Polsce działa w ramach ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. To instytucja obowiązana, nawet jeśli nie jest bankiem. Ma własny dział zgodności, własne procedury i własny obowiązek raportowy wobec Generalnego Inspektora Informacji Finansowej. Nie wystarczy przekazać danych do banku rozliczeniowego i uznać temat za zamknięty.
Praktyka wygląda tak: system transakcyjny generuje dziennie tysiące rekordów, a zespół AML pracuje na progach i scenariuszach. Próg ustawowy dla transakcji powiązanych to 15 000 euro. Powyżej tej kwoty instytucja obowiązana zbiera dane o stronach transakcji i raportuje je do GIIF, o ile przepisy tego wymagają. Kwota jest liczona łącznie dla operacji powiązanych, nie dla pojedynczego przelewu. To rozróżnienie ma znaczenie, bo operator kasyna offshore potrafi rozbić płatność na kilka mniejszych, żeby zejść poniżej progu.
Raport pojedynczej transakcji to najprostszy mechanizm. Pracownik widzi coś niepokojącego na konkretnej operacji i wypełnia formularz. Sygnały są zwykle konkretne: nadawca z kraju wysokiego ryzyka, rachunek odbiorcy otwarty kilka dni wcześniej, kwota niepasująca do profilu klienta, opis płatności wskazujący na hazard bez licencji. Termin jest napięty. Raport trafia do GIIF niezwłocznie, a opóźnienie trzeba uzasadnić.
Analiza wzorców to inna kategoria pracy. Tu nie liczy się jedna transakcja, tylko zachowanie w czasie. Przykład z rynku: ten sam klient wpłaca 40 razy po 300 złotych w ciągu dwóch tygodni na rzecz tego samego odbiorcy, za każdym razem z innym tytułem płatności. Pojedynczy przelew nie przekracza progu i nie budzi alarmu. Sekwencja już tak. System monitorujący powinien wyłapać powtarzalność, bo to klasyczny wskaźnik strukturyzowania płatności.
Różnica między raportem jednostkowym a analizą wzorca jest też różnicą organizacyjną. Raport jednostkowy robi analityk pierwszego poziomu na podstawie alertu. Analizę wzorca robi zespół, który ma dostęp do historii, do danych rejestrowych i do zewnętrznych źródeł. W praktyce dostawca płatności potrzebuje obu ścieżek, bo GIIF oczekuje nie tylko pojedynczych zgłoszeń, ale też cyklicznej oceny ryzyka i dokumentacji wewnętrznej.
Co konkretnie musi mieć dostawca płatności po stronie AML/CTF:
- procedurę identyfikacji i weryfikacji klienta (KYC) z jasnymi progami i wyjątkami,
- bieżący monitoring transakcji z regułami opartymi na kwocie, częstotliwości, geografii i typie odbiorcy,
- rejestr alertów wraz z decyzjami o eskalacji lub zamknięciu,
- środki nakładane na klienta, w tym blokadę transakcji do czasu wyjaśnienia,
- szkolenia personelu i ślad dokumentowy z ich przebiegu,
- raportowanie do GIIF w wymaganym terminie i formacie.
Do tego dochodzi obowiązek przekazywania danych do Centralnego Rejestru Beneficjentów Rzeczywistych, jeśli struktura odbiorcy tego wymaga, oraz weryfikacja sankcyjna. To nie jest lista życzeń, to minimum, które inspektor GIIF sprawdza podczas kontroli. Brak rejestru alertów albo brak dokumentacji decyzji to typowe uchybienie, za które instytucja obowiązana płaci karę administracyjną.
Tu pojawia się problem, którego nie rozwiąże żaden kod MCC. Systemy płatności klasyfikują odbiorcę po kodzie działalności, a kod nadaje sam odbiorca albo jego agent rozliczeniowy. Operator kasyna bez polskiej licencji potrafi zarejestrować działalność jako “rozrywka” albo “usługi cyfrowe” i przejść przez wstępną weryfikację. Dopiero sprawdzenie rejestru, danych rejestrowego oraz historii transakcji pokazuje, że to podmiot z Rejestru Domen Zakazanych prowadzonego przez Ministerstwo Finansów. Dostawca płatności, który poprzestaje na MCC, raportuje do GIIF za mało i za późno.
Odpowiedzialna gra wymaga też drugiej strony: klient musi wiedzieć, że kasyno bez weryfikacji oznacza brak pełnego KYC przy rejestracji, ale weryfikacja KYC i tak jest wymagana przy wypłacie wygranych. Strona linkuje do Anonimowi Hazardziści i do Uzależnienia Behawioralne, bo raport AML nie zastąpi informacji o ryzyku. Jeśli gra przestaje być grą, szukaj pomocy, zanim zadzwoni dział zgodności.
Kod MCC jako niewystarczające narzędzie weryfikacji odbiorcy
Kod MCC (Merchant Category Code) to czterocyfrowa etykieta, którą dostawca płatności przypisuje punktowi handlowemu na podstawie deklaracji merchant account. W teorii 7995 oznacza “zakłady i gry hazardowe”, a 7994 “sklepy z grami, zabawkami i hobby”. W praktyce kod mówi tylko tyle, co zadeklarował sam odbiorca. Nie jest dowodem, nie jest weryfikacją i nie ma żadnego związku z Rejestrem Domen Zakazanych prowadzonym przez Ministerstwo Finansów. To pierwsza luka, którą warto sobie uświadomić.
Dlaczego MCC nie sprawdza tego, co powinien
Rejestr Domen Zakazanych działa na poziomie domeny, nie na poziomie kodu handlowego. Wpis następuje, gdy Ministerstwo Finansów uzna, że strona oferuje hazard bez polskiej licencji. Dostawca płatności, który sprawdza wyłącznie MCC, nie ma pojęcia, czy domena odbiorcy figuruje w rejestrze. Kod MCC nie zawiera URL, nie zawiera nazwy prawnej podmiotu i nie jest aktualizowany w czasie rzeczywistym. Operator może zadeklarować 7994 lub 5816 (gry cyfrowe) i przejść przez klasyfikację bez mrugnięcia okiem.
Co więcej, ten sam kod obsługuje różne modele biznesowe. Pod 7995 podpada legalny bukmacher z licencją Malta Gaming Authority, ale też kasyno offshore z licencją Curacao, które w Polsce działa bez zezwolenia. MCC widzi “hazard”, nie widzi “hazard nielegalny w jurysdykcji”. To rozróżnienie robi całą różnicę dla AML i dla odpowiedzialności dostawcy.
| Punkt kontroli | Co wykrywa | Czego nie wykrywa |
|---|---|---|
| Kod MCC | Deklarowaną kategorię działalności | Obecności w Rejestrze Domen Zakazanych |
| Weryfikacja domeny | Wpis w rejestrze MF | Zmian domeny po onboardingu |
| Weryfikacja KYC odbiorcy | Tożsamość i beneficjenta rzeczywistego | Powiązań z podmiotami offshore |
| Monitoring transakcji | Wzorce i strukturyzację kwot | Pojedynczych transakcji poniżej progu |
Kasyno bez polskiej licencji wykorzystuje tę lukę w prosty sposób. Rejestruje spółkę-córkę w jurysdykcji, gdzie hazard online jest legalny, podaje kod MCC zgodny z rzeczywistością (albo i nie), a następnie kieruje ruch do domen, które w Rejestrze Domen Zakazanych pojawiają się dopiero po interwencji Ministerstwa Finansów. Do tego momentu dostawca płatności widzi poprawny MCC, poprawny KYC odbiorcy i zero sygnałów ostrzegawczych. Kasyno bez weryfikacji 2026 działa w tej szarej strefie, bo nikt nie sprawdził domeny.
Do tego dochodzi obchodzenie blokady DNS. Użytkownik, który nie może wejść na stronę z listy Ministerstwa Finansów, sięga po VPN i wraca do tego samego operatora. Dla dostawcy płatności transakcja wygląda identycznie jak wcześniej: ten sam merchant, ten sam MCC, ten sam rachunek. Blokada DNS nie zmienia kodu handlowego, więc system oparty na MCC nie odnotowuje nawet zmiany statusu prawnego odbiorcy.
Wniosek dla dostawcy płatności jest niewygodny, ale prosty. MCC to punkt wyjścia do dalszej weryfikacji, nie jej zakończenie. Bez sprawdzenia domeny w Rejestrze Domen Zakazanych, bez weryfikacji beneficjenta rzeczywistego i bez monitoringu wzorców transakcji sam kod MCC daje fałszywe poczucie zgodności z AML, podobnie jak https://stonevegas-bonus.pl/kasyno-bez-weryfikacji/ bez blokady nadal będzie przechodzić przez bramkę, dopóki bramka sprawdza tylko etykietę.
Strona promuje odpowiedzialną grę i linkuje do materiałów Anonimowi Hazardziści oraz Uzależnienia Behawioralne. Hazard online w Polsce wymaga licencji. Graj świadomie.
Rejestr Domen Zakazanych jako obowiązkowy punkt kontroli dostawcy płatności
Rejestr Domen Zakazanych to prowadzona przez Ministerstwo Finansów lista domen, które służą do oferowania nielegalnych gier hazardowych. Wpis trafia tam na podstawie ustawy o grach hazardowych, a skutkiem jest blokada DNS i utrudnienie płatności dla operatorów spoza polskiego porządku prawnego. Dla dostawcy płatności rejestr jest dokumentem publicznym, aktualizowanym i dostępnym do pobrania, więc nie ma wymówki, że “nie wiedzieliśmy”.
Sprawdzić warto, jak wygląda praktyka. Operator kasyna bez polskiej licencji, na przykład StoneVegas z licencją zagraniczną, potrafi działać legalnie w jurysdykcji Curacao czy pod nadzorem Malta Gaming Authority, a jednocześnie jego domena ląduje w Rejestrze Domen Zakazanych, bo oferuje hazard graczom w Polsce. Dostawca płatności, który patrzy tylko na kod MCC i widzi “7995” (gry hazardowe), widzi poprawną kategorię i nic więcej. Nie widzi, czy odbiorca jest w rejestrze, czy nie.
To jest właśnie punkt, w którym kończy się klasyfikacja, a zaczyna należyta staranność wobec klienta. Przepisy AML nakładają na instytucje obowiązane, w tym dostawców usług płatniczych, obowiązek identyfikacji beneficjenta rzeczywistego i weryfikacji, czy transakcja nie służy praniu pieniędzy. Rejestr Domen Zakazanych jest jednym z elementów tej weryfikacji, obok list sankcyjnych i baz PEP. Kto go pomija, ten w praktyce akceptuje odbiorcę, którego Ministerstwo Finansów już uznało za nielegalnego na rynku polskim.
Konsekwencje bywają bolesne. Po pierwsze, ryzyko kary ze strony nadzoru finansowego za niedopełnienie obowiązków AML, w tym za brak należytej analizy odbiorcy. Po drugie, ryzyko utraty licencji lub wpisu do rejestru instytucji płatniczych. Po trzecie, ryzyko cywilne: jeśli środki z depozytów trafią do podmiotu z listy zakazanych domen, a gracz nie zdoła wypłacić wygranej, sprawa trafia do dostawcy płatności jako współodpowiedzialnego za przepływ.
Co powinno znaleźć się w procedurze? Poniżej lista kontrolna, którą warto przejść punkt po punkcie:
- pobranie aktualnej wersji Rejestru Domen Zakazanych przed zawarciem umowy z nowym merchantem i cyklicznie, co najmniej raz na dobę,
- porównanie domeny odbiorcy, adresu URL płatności i strony internetowej z wpisami w rejestrze, a nie tylko z kodem MCC,
- sprawdzenie, czy merchant nie działa pod marką powiązaną z domeną z listy (subdomeny, domeny alternatywne, przekierowania),
- weryfikacja, czy operator posiada licencję w jurysdykcji uznawanej przez polskie prawo, a nie tylko zagraniczną,
- udokumentowanie wyniku sprawdzenia i daty, z odwołaniem do konkretnej wersji rejestru,
- procedura eskalacji, gdy merchant pojawi się w rejestrze w trakcie współpracy, wraz z blokadą wypłat i zamknięciem konta.
Do tego dochodzi kwestia raportowania. Jeżeli dostawca płatności wykryje, że odbiorca jest w Rejestrze Domen Zakazanych, a transakcje nadal płyną, ma podstawy do zgłoszenia transakcji podejrzanej do GIIF. Sam wpis w rejestrze nie jest dowodem prania pieniędzy, ale jest mocnym sygnałem, że przepływ środków może służyć obejściu prawa. Generalny Inspektor Informacji Finansowej oczekuje opisania wzorca, nie tylko pojedynczej transakcji.
I jeszcze jedno, mniej oczywiste. Blokada DNS i wpis w rejestrze nie zamykają operatorowi kasyna bez blokady drogi do gracza. Domena może się zmienić, płatność może przejść przez pośrednika, a kod MCC pozostanie ten sam. Dlatego dostawca płatności, który poprzestaje na MCC, w praktyce nie kontroluje odbiorcy, tylko jego etykietę. Rejestr Domen Zakazanych jest tańszy w utrzymaniu niż jedna kontrola i skuteczniejszy niż niejeden algorytm scoringowy.
Strona promuje odpowiedzialną grę i linkuje do materiałów Anonimowi Hazardziści oraz Uzależnienia Behawioralne. Hazard może uzależniać. Graj odpowiedzialnie, stawiaj limity i nie traktuj wygranej jako źródła dochodu.
Dzielenie transakcji jako obejście raportowania i sygnały dla dostawców płatności
Dzielenie płatności to najprostsza metoda omijania progów raportowych i najbardziej niedoceniana przez dostawców płatności. Mechanizm jest banalny: zamiast jednego przelewu na 12 000 PLN wpłacasz cztery po 2 900 PLN, każdy poniżej progu, każdy z innym tytułem, każdy w odstępie kilku godzin. W systemie merchant account wygląda to jak cztery niezależne, drobne transakcje od czterech różnych klientów. Kasyno bez weryfikacji 2026 rozgrywa to celowo, bo jego model biznesowy opiera się na tym, że nikt nie łączy kropek.
Problem w tym, że klasyczny monitoring oparty na pojedynczej transakcji tego nie widzi. Silnik regułowy sprawdza kwotę, kraj nadawcy, BIN karty, kod MCC. Każdy z tych parametrów osobno mieści się w normie. Dopiero agregacja w oknie czasowym po stronie odbiorcy, numerze karty, adresie IP i urządzeniu ujawnia wzorzec. Dostawca płatności, który nie ma widoku na 24 lub 72 godziny wstecz per merchant, jest ślepy na strukturyzowanie.
Drugi wariant to rozbijanie na kanały. Część kwoty idzie kartą, część przez portfel elektroniczny, część przez przelew SEPA z konta w innym banku. Operator kasyna bez polskiej licencji traktuje to jak dywersyfikację ryzyka blokady, a dla dostawcy płatności to sygnał, którego nie da się wychwycić w jednym silosie danych. Bez konsolidacji danych z różnych metod płatności w jednym profilu odbiorcy wskaźnik nigdy nie zapali się na czerwono.
Co powinno zapalać lampkę w monitoringu transakcji?
- Wzrost liczby transakcji o podobnej kwocie (np. 1 900 do 2 900 PLN) w krótkim oknie, przy stabilnej sumie dziennej u odbiorcy.
- Powtarzalne kwoty tuż poniżej progu raportowego, zwłaszcza gdy mediana transakcji nagle spada, a wolumen rośnie.
- Wiele kart lub kont powiązanych z tym samym adresem IP, urządzeniem albo tym samym numerem telefonu.
- Merchant, którego kod MCC wskazuje na handel cyfrowy, ale wskaźnik chargebacków i reklamacji dotyczy gier losowych.
- Nagła zmiana geografii płatności przy niezmienionym profilu działalności, np. napływ kart z krajów, w których operator nie ma żadnej obecności marketingowej.
- Wpłaty w godzinach nocnych z tytułami typu “usługa cyfrowa” bez faktury i bez koszyka zakupowego.
Każdy z tych sygnałów osobno to szum. Trzy lub cztery jednocześnie to podstawa do raportu transakcji podejrzanej do GIIF, niezależnie od tego, czy pojedyncza kwota przekroczyła próg. Dostawca płatności ma obowiązek zgłaszać podejrzenie, nie tylko przekroczenie limitu. To rozróżnienie wciąż umyka części operatorów, którzy traktują AML jak formularz wypełniany przy onboardingu.
Jest jeszcze kwestia Rejestru Domen Zakazanych. Merchant, który pojawia się na liście Ministerstwa Finansów, nie zniknie z systemu tylko dlatego, że jego MCC to “gry i zabawy” albo “usługi rozrywkowe”. Weryfikacja domeny i nazwy handlowej przy każdej zmianie danych odbiorcy to minimum. Kasyno bez blokady działa dopóki dostawca płatności nie sprawdzi, dokąd realnie płyną pieniądze. Strukturyzowanie jest sygnałem, że odbiorca zdaje sobie sprawę z ryzyka i próbuje je rozmyć.
W praktyce najskuteczniejsze są progi miękkie: alert przy trzech transakcjach w 24 godzinach o kwocie w przedziale 80 do 99 procent limitu. Do tego miesięczny przegląd merchantów o rosnącym wolumenie przy spadającej średniej wartości transakcji. To tanie, wdrożeniowo proste i wychwytuje większość przypadków, zanim operator offshore zdąży przenieść ruch do innego procesora. Reszta to już kwestia tego, czy dział zgodności faktycznie czyta alerty, czy tylko je generuje.
Strona promuje odpowiedzialną grę i linkuje do materiałów Anonimowi Hazardziści oraz Uzależnienia Behawioralne. Hazard wiąże się z ryzykiem utraty środków. Graj tylko za pieniądze, których strata nie wpłynie na Twoje codzienne funkcjonowanie.
Zanim wpłacisz, sprawdź dwie rzeczy w tej kolejności. Najpierw wpisz domenę operatora do Rejestru Domen Zakazanych na stronie Ministerstwa Finansów i zobacz, czy figuruje na liście. Potem sprawdź w regulaminie płatności, czy dostawca wymienia weryfikację odbiorcy i monitoring transakcji jako element procedury AML. Jeśli którykolwiek z tych punktów wypada blado, nie licz na to, że po wygranej ktoś automatycznie wypłaci środki. Kasyno bez weryfikacji oznacza brak pełnej weryfikacji KYC przy rejestracji, ale weryfikacja KYC jest wymagana przy wypłacie wygranych, więc depozyt wchodzi gładko, a wypłata staje w miejscu. To nie awaria, to model działania.
Drugi krok to test dyskrecji. Wypłać małą kwotę zaraz po pierwszej wpłacie, zanim wpakujesz większy depozyt i bonus bez depozytu. Zobacz, ile dokumentów żądają, czy chcą selfie z dowodem i czy tłumaczą, po co im to. Operator z licencją Malta Gaming Authority lub Curacao zwykle ma ścieżkę KYC opisaną w regulaminie i podaje czas rozpatrzenia. Strona bez polskiej licencji, blokowana przez blokadę DNS i działająca przez VPN, częściej zamiata temat. Trzeci krok: nie dziel płatności. Jeśli kasyno offshore sugeruje kilka przelewów po 500 zł zamiast jednego na 3000 zł, to sygnał, że ktoś liczy na to, iż dostawca płatności nie połączy transakcji w jeden wzorzec. Zbierz zrzuty ekranu potwierdzeń, regulaminu i korespondencji z obsługą. Przy sporze z dostawcą płatności lub przy zgłoszeniu do organu nadzoru liczy się data, kwota i numer referencyjny, nie wrażenie. Graj tylko kwotami, których utrata nie zmieni twojego miesiąca, i rób przerwy, gdy przestajesz kontrolować stawki. Wsparcie znajdziesz w serwisach Anonimowi Hazardziści i Uzależnienia Behawioralne, linkowanych z tej strony.

