Wiadomość SMS o paczce czekającej na odbior. E-mail z proŜbą o weryfikację konta bankowego. Reklama na Facebooku obiecująca nieodebrane świadczenia ZUS. Każdy z nas widział przynajmniej jeden z tych komunikatów – i coraz trudniej odrożnić fałszywy od prawdziwego.

Według raportu CERT Polska za 2025 rok, w samym tylko roku ubiegłym zarejestrowano ponad 28 tysięcy incydentów phishingowych z wykorzystaniem marki OLX i ponad 22 tysiące z wykorzystaniem Allegro. To nie są liczby dotyczące dużych korporacji – to ataki skierowane przeciwko zwykłym użytkownikom internetu: kupującym, sprzedającym, osobom oczekującym na przesyłki.

Poniżej opisujemy najczęstsze schematy stosowane przez cyberprzestępców w Polsce oraz konkretne wskazówki, jak się przed nimi chronić.

1. SMS od "InPost" – dopłata do paczki, której nie zamawiałeś

To jeden z najczęściej stosowanych schematów w Polsce. Ofiara otrzymuje SMS z informacją, że paczka nie może zostać dostarczona z powodu brakującej dopłaty – zazwyczaj kilku złotych. Link w wiadomości prowadzi do strony łudząco podobnej do oficjalnej witryny InPost lub innej firmy kurierskiej, gdzie proszono jest o podanie danych karty płatniczej.

Rzeczywisty cel nie jest odblokowanie paczki – żadnej paczki nie ma – lecz przechwycenie numeru karty, daty ważności i kodu CVV. Dane te są następnie używane do nieautoryzowanych transakcji lub sprzedawane na czarnym rynku.

Zasada: InPost, DPD, DHL i Poczta Polska nie wysyłają SMS-ów z linkami do płatności za dopłatę do przesyłki. Status paczki sprawdzaj wyłącznie w oficjalnej aplikacji kuriera lub wpisując adres strony ręcznie w przeglądarce – nigdy klikając w link z SMS-a.

2. Fałszywe inwestycje z wizerunkiem celebrytów i ZUS

Według danych CERT Orange Polska, fałszywe inwestycje stanowiły w 2025 roku aż 68 procent wszystkich kampanii phishingowych zablokowanych przez operatora. Schemat jest zawsze podobny: reklama w mediach społecznościowych z wizerunkiem osoby publicznej lub instytucji (ZUS, Ministerstwo Finansów, znany biznesmen) obiecuje wysokie zyski z inwestycji w kryptowaluty lub programy rządowe.

Po kliknieciu ofiara trafia na strone z formularzem rejestracyjnym. Wkrotce dzwoni "konsultant", ktory pomaga "zinwestowac" – w praktyce naklaniajac do przelania pieniedzy bezposrednio do oszustow. Straty siegaja od kilku do kilkudziesieciu tysiecy zlotych.

Charakterystyczne sygnały ostrzegawcze: obietnica zysku bez ryzyka, presja czasu ("oferta ważna tylko dziś"), kontakt telefoniczny od nieznanej osoby wkrótce po wypełnieniu formularza.

3. Zwrot podatku od "Ministerstwa Finansów"

Kampania szczególnie aktywna w okolicach rozliczeń podatkowych. Przestępcy wysyłają e-maile stylizowane na oficjalną korespondencję Ministerstwa Finansów lub Krajowej Administracji Skarbowej, informując o oczekującym zwrocie podatku. Link prowadzi do strony wyłudzającej dane logowania do bankowości elektronicznej lub pełne dane karty.

Charakterystyczne dla tej kampanii jest wieloetapowe działanie: ofiara przechodzi przez kilka ekranów przypominających oficjalne strony rządowe, co buduje fałszywe poczucie wiarygodności.

Jak to sprawdzić: Informacje o zwrocie podatku dostępne są wyłącznie po zalogowaniu na Twoje Podatkowe Konto przez stronę podatki.gov.pl lub w aplikacji e-Urząd Skarbowy. Ministerstwo Finansów nie wysyła linków do zwrotu podatku e-mailem.

4. Fałszywe strony banków – PKO BP, Peko, Santander

Cyberprzestępcy tworzą kopie stron logowania polskich banków, które wizualnie są niemal identyczne z oryginałami. Ofiara trafia na nie zwykle po kliknięciu w link z e-maila, SMS-a lub reklamy. Po wpisaniu loginu i hasła strona może pokazać komunikat o "tymczasowej blokadzie" i poprosić o kod z SMS-a – w ten sposób przestępcy przejmują pełen dostęp do konta.

Jak rozpoznać fałszywą stronę banku

Na co zwrócić uwagę

Adres URL

Prawdziwy adres PKO BP to pkobp.pl – fałszywy może wyglądać jak pko-bp.pl, pkobp-logowanie.pl lub podobnie

Certyfikat SSL

Kłódka w pasku adresu nie wystarczy – oszuści też ją mają. Kliknij i sprawdź, na kogo certyfikat jest wystawiony

Prośba o kod SMS na stronie

Bank nigdy nie prosi o wpisanie kodu autoryzacyjnego bezpośrednio na stronie logowania

Telefon od "pracownika banku"

Jeśli po wejściu na stronę dzwoni "konsultant" – rozłącz się i zadzwoń na oficjalny numer banku

5. OLX i Allegro – oszustwo "na kupującego"

Schemat znany jako "metoda na OLX" jest wciąż jedną z najczęstszych form oszustwa w Polsce. Sprzedający wystawia przedmiot, zgłasza się rzekomy kupujący, który chce zapłacić przez bezpieczny system płatności OLX. Sprzedający otrzymuje link do strony, gdzie ma "odebrać" przelew – wpisując dane karty. Zamiast pieniędzy, traci środki z własnego konta.

Mechanizm działa odwrotnie, niż się wydaje: to sprzedający jest ofiarą, nie kupujący. Fałszywa strona płatności nie pobiera opłaty za przesyłkę – ona kradnie dane karty.

Zasada: OLX nigdy nie wysyła linków do odbioru płatności przez WhatsApp, Messenger ani SMS. Płatności za sprzedane przedmioty trafiają bezpośrednio na konto bankowe lub są obsługiwane wyłącznie przez oficjalną aplikację OLX.

6. Co zrobić, żeby nie paść ofiarą – konkretne kroki

Sprawdź, czy Twoje dane już wyciekły

Serwis Have I Been Pwned pozwala bezpłatnie sprawdzić, czy Twój adres e-mail pojawił się w znanych wyciekach baz danych. Jeśli tak – zmień hasło w dotkniętym serwisie i wszędzie tam, gdzie używasz tego samego hasła.

Nie używaj tych samych haseł w kilku miejscach

Przejęcie jednego konta nie powinno otwierać dostępu do pozostałych. Różne hasła do różnych serwisów to podstawa – w praktyce wymaga to menedżera haseł, bo nikt nie zapamięta kilkudziesięciu unikalnych kombinacji.

Włącz weryfikację dwuetapową w banku i poczcie

Kod SMS lub kod z aplikacji autentykacyjnej jako drugi składnik logowania sprawia, że samo hasło przestaje wystarczyć do przejęcia konta. Większość polskich banków oferuje tę funkcję – sprawdź ustawienia bezpieczeństwa swojego konta.

Chroń się na publicznym WiFi

W kawiarniach, hotelach, galeriach handlowych korzystamy z sieci WiFi dostępnych dla wszystkich. Na takiej sieci ruch sieciowy może być podglądany przez inne osoby. Używanie vpn szyfruje połączenie tak, że przechwycone dane są dla ewentualnego podsłuchującego bezużyteczne – co ma szczególne znaczenie, gdy logujemy się do banku lub sklepu poza domem.

Zgłaszaj podejrzane wiadomości

Podejrzanego SMS-a możesz przesłać bezpośrednio do CERT Orange na numer 508 700 900 lub zgłosić incydent przez formularz na stronie incydent.cert.pl. Każde zgłoszenie pomaga blokować fałszywe strony i chronić innych użytkowników.

Podsumowanie

Opisane wyżej schematy łączy jedna cecha: wszystkie budują fałszywe poczucie pilności lub zaufania. SMS o paczce, e-mail od banku, reklama ZUS – każda z tych wiadomości jest zaprojektowana tak, żeby wywołać natychmiastową reakcję, zanim uruchomi się krytyczne myślenie.

Najskuteczniejsza ochrona to nawyk zatrzymania się na chwilę przed kliknięciem w link i zadania prostego pytania: czy spodziewałem się tej wiadomości? Jeśli nie – lepiej wejść bezpośrednio na stronę instytucji lub zadzwonić na jej oficjalny numer.

Jeśli zetknąłeś się z próbą oszustwa lub chcesz podzielić się swoim doświadczeniem, zapraszamy na forum istotne.pl. Więcej lokalnych i krajowych wiadomości znajdziesz w dziale aktualności.