Fałszywy link "do odbioru płatności" – jak działa oszustwo na OLX i Vinted

Wtorek, prawie 22:00. Na Vinted trafia ogłoszenie z kurtką po dziecku za 120 zł, trzy zdjęcia zrobione na tle drzwi. Po chwili pisze zainteresowany – nie pyta o rozmiar, nie próbuje się targować, chce tylko numer na WhatsAppa, bo "tak szybciej". Po kilkunastu minutach dostaje się link: płatność rzekomo już zaksięgowana, środki czekają, trzeba tylko potwierdzić dane karty. Strona do złudzenia przypomina Vinted, jest na niej nawet zdjęcie wystawionej kurtki.

To scenariusz zmyślony, ale zbudowany z elementów, przed którymi od dawna ostrzegają banki, policja i CERT Polska. Dalszy ciąg też jest dobrze znany: po podaniu numeru karty przychodzi prośba o kod z SMS-a. Ten kod nie służy jednak do odbierania żadnych pieniędzy.

Mechanizm opiera się na tym, że przestępca nie musi łamać żadnych zabezpieczeń – wystarczy, że namówi ofiarę do samodzielnego wpisania danych we wskazanym miejscu. Redakcja sama to testowała: po wystawieniu przedmiotu na OLX pierwsze wiadomości od "kupujących" pojawiły się w ciągu около pięciu minut.

Na wstępie zastrzeżenie: OLX i Vinted służą tu jedynie za przykład, a same platformy nie są źródłem problemu. Duże serwisy ogłoszeniowe obsługują płatności i wypłaty wewnątrz własnych aplikacji. Oszustwo zaczyna się dopiero wtedy, gdy transakcja wychodzi poza nie – do WhatsAppa, Messengera, SMS-a czy maila.

Jak duża jest skala zjawiska? Z badania IBRiS przygotowanego dla Santander Consumer Banku w sierpniu 2025 r. wynika, że SMS z fałszywym linkiem to najczęstsza forma próby wyłudzenia, z jaką stykają się Polacy – doświadczyło jej 29 proc. ankietowanych. Wśród osób, które natknęły się na taką próbę, aż 16 proc. rzeczywiście straciło pieniądze. Badanie objęło tysiąc dorosłych internautów, nie całą populację, ale jeden wniosek nasuwa się jasno: wśród osób w wieku 18–49 lat mniej niż 30 proc. nigdy nie spotkało się z próbą oszustwa. Smishing w Polsce nie jest więc domeną wyłącznie starszych, mniej obeznanych z technologią osób.

Handel internetowy to wyjątkowo podatny grunt. Z rocznego raportu CERT Polska wynika, że w kampaniach phishingowych w 2025 r. najczęściej podszywano się pod dwa serwisy sprzedażowe: OLX (28,5 tys. zgłoszonych incydentów) oraz Allegro (22,5 tys.). To najbardziej rozpoznawalne marki, więc stanowią najwygodniejszą przykrywkę dla oszustów.

Poniżej trzy warianty tego samego schematu.

Wariant pierwszy: sprzedajesz, a kupujący "już zapłacił"

To wariant znany chyba każdemu, kto kiedykolwiek coś sprzedawał online, niezależnie od platformy. Kupujący odpisuje natychmiast, nie negocjuje i szybko przenosi rozmowę poza serwis pod jakimś pretekstem. Następnie twierdzi, że płatność już poszła i kurier jest w drodze – powołuje się na DPD, InPost albo usługę dostawy samej platformy, dobierając markę tak, by brzmiała wiarygodnie. Na koniec przychodzi link do "odbioru płatności", czasem z dołączonym fałszywym potwierdzeniem przelewu.

Decydujący jest ostatni krok. Strona żąda danych karty, a potem kodu z SMS-a od banku. Banki wielokrotnie tłumaczyły, co taki kod faktycznie zatwierdza: dodanie nowego urządzenia do bankowości internetowej albo podpięcie karty do Google Pay czy Apple Pay na telefonie przestępcy. Od tej chwili oszust płaci kartą ofiary – formalnie za jej zgodą.

We wrześniu 2026 r. pojawiła się odmiana tego ataku bez udziału fałszywego kupującego. Chodzi o kampanię, w której przychodzi SMS od nadawcy "Verify" z informacją o konieczności weryfikacji konta OLX. Link prowadzi do strony pokazującej własne ogłoszenie ofiary – ze zdjęciami, opisem i ceną. To buduje fałszywe poczucie wiarygodności: skoro ktoś zna szczegóły mojej oferty, to musi być prawdziwy OLX. Tymczasem ogłoszenie jest ogólnodostępne, a po kilku ekranach "weryfikacji" jedyną opcją okazuje się logowanie do bankowości – na podrobionej stronie.

Wariant drugi: kupujesz, a sprzedawca podsyła "bezpieczną płatność"

Role można łatwo odwrócić. Ktoś szuka używanej konsoli na Facebooku i trafia na ofertę wyraźnie tańszą od pozostałych. Sprzedawca odpowiada błyskawicznie, tłumaczy się delegacją, więc odbiór osobisty odpada. W zamian proponuje coś pozornie rozsądnego: transakcję "przez Allegro Lokalnie, dla bezpieczeństwa obu stron", a link do rzekomej oferty wysyła w Messengerze.

To nie jest przykład wymyślony na potrzeby tekstu. Moderatorzy forum Allegro w maju 2026 r. opublikowali osobne ostrzeżenie przed linkami do fałszywych ofert Allegro Lokalnie, rozsyłanymi przez komunikatory. Adresy na pierwszy rzut oka wyglądają wiarygodnie, jednak zaraz po "allegrolokalnie.pl" pojawia się myślnik, dodatkowe cyfry albo inna końcówka domeny. Strona ma przycisk "kup i zapłać", a płatność najczęściej obsługiwana jest wyłącznie przez BLIK. Na tym samym forum w sierpniu 2026 r. jedna z kupujących opisała, jak straciła w ten sposób 1300 zł – po dokonaniu płatności strona z ofertą po prostu zniknęła.

Problem ma tu dwa wymiary. Oszust wykorzystuje rozpoznawalną markę, żeby uśpić czujność kupującego, a żadna ochrona nie zadziała, bo transakcja nigdy nie odbyła się w obrębie platformy. Allegro komunikuje to wprost: serwis nie wymaga od sprzedającego korzystania z linków do płatności, a zapłacić można wyłącznie po wejściu na ofertę przez oficjalną stronę. Na Vinted ten sam mechanizm bywa podawany inaczej – jako propozycja "ominięcia prowizji" albo rzekomy mail od platformy z linkiem do zapłaty. Reguła jednak zawsze jest ta sama: jeśli ktoś namawia do zapłaty przez podesłany link, to już nie jest transakcja realizowana na platformie.

Wariant trzeci: nic nie kupujesz, a paczka i tak czeka na dopłatę

Żeby dostać fałszywy SMS, nie trzeba niczego ani kupować, ani sprzedawać – wystarczy sam numer telefonu. Schemat znany w sieci jako "dopłata do przesyłki scam" działa na masową skalę: przychodzi wiadomość o zatrzymanej paczce, niekompletnym adresie albo konieczności dopłaty rzędu kilku złotych. CERT Polska ostrzegał m.in. przed falą SMS-ów żądających dopłaty 4,27 zł rzekomo w imieniu InPostu. Link prowadził do fałszywej strony przewoźnika, a stamtąd do podrobionego panelu płatności.

Niewielka kwota nie jest przypadkowa. Przy sumie rzędu kilku złotych rzadko uruchamia się odruch ostrożności – łatwiej o myśl "dobra, byle szybciej". Oszustowi nie chodzi o te kilka złotych, lecz o to, jakie dane trafią do formularza. CERT Orange Polska przypomina, że ani Poczta Polska, ani InPost nie wysyłają SMS-ów z żądaniem dopłaty za dostawę.

Ten wariant łączy się z dwoma poprzednimi w szczególnie niewygodny sposób. Osoba, która właśnie sprzedała coś na OLX albo czeka na paczkę z Vinted czy Allegro Lokalnie, ma pełne prawo spodziewać się wiadomości od kuriera – i dokładnie na to liczy oszust.

Wspólny mianownik: link poza platformą

Zestawiając te trzy scenariusze, widać ten sam atak w różnych wariantach. Zmienia się nadawca, pretekst i kwota, ale dwa elementy pozostają stałe: link wyprowadzający poza aplikację oraz strona domagająca się danych karty lub dostępu do bankowości.

To drugie stanowi najprostszy test weryfikacyjny. Portal ogłoszeniowy ani firma kurierska nie mają żadnego powodu, by prosić o login do bankowości, kod BLIK czy kod z SMS-a. Odbiór pieniędzy ze sprzedaży nie wymaga podawania kodu CVV. Jeśli strona o to pyta, nie ma już czego dalej sprawdzać.

Drugi test dotyczy płatności BLIK – przed zatwierdzeniem kodu warto przeczytać w aplikacji bankowej, na rzecz jakiego podmiotu realizowana jest płatność. Problem w tym, że taka czujność działa dobrze, gdy człowiek jest wypoczęty, a oszuści celują właśnie w inne momenty: wieczór po pracy, kolejkę w sklepie, przerwę między spotkaniami. Dochodzi do tego mały ekran telefonu, na którym przeglądarka mobilna chętnie ucina pełny adres strony.

W ostatnich dniach pojawiły się doniesienia o fałszywych SMS-ach podszywających się pod CANARD albo GITD, dotyczących rzekomych mandatów z odcinkowego pomiaru prędkości. Również tam znajduje się link do szybkiego uregulowania niewielkiej opłaty, a strona docelowa jest stylizowana na serwis rządowy. Wariantów jest naprawdę wiele, ale szkielet ataku pozostaje ten sam – kliknięcie w link i podanie danych.

Ochrona, która działa, zanim SMS w ogóle zaświeci ekran

System obrony przed smishingiem w Polsce faktycznie funkcjonuje. W 2025 r. na numer 8080 trafiło do analizy ponad 350 tys. SMS-ów, a na podstawie 790 wzorców operatorzy zablokowali blisko 1,88 mln złośliwych wiadomości. Liczba SMS-ów uznanych za szkodliwe przekroczyła 80 tys., co i tak było wynikiem najniższym od 2022 r. – NASK wiąże to ze skutecznością stosowanych blokad.

To jednak ochrona działająca z opóźnieniem. Wzorzec powstaje dopiero po zgłoszeniu konkretnej wiadomości, więc pierwsza fala nowej kampanii zawsze trafia do skrzynek użytkowników. Kampanie, które przechodzą przez blokady, są z reguły tymi najświeższymi.

Dlatego warto mieć dodatkową warstwę zabezpieczeń bezpośrednio na telefonie. Surfshark uruchomił w sierpniu 2026 r. funkcję Scam Text Protection, czyli filtr analizujący przychodzące SMS-y w czasie rzeczywistym. Sprawdza on linki w wiadomości, numer nadawcy oraz samą treść, szukając wzorców charakterystycznych dla smishingu.

• iOS – podejrzany SMS trafia automatycznie do folderu Spam i nie generuje powiadomienia. Wiadomość o "środkach czekających na odbiór" nie pojawi się na ekranie blokady, więc nie ma okazji kliknąć w nią w pośpiechu.
• Android – ostrzeżenie wyświetla się w momencie dotarcia podejrzanej wiadomości. Można ją obejrzeć w kontrolowanym środowisku wewnątrz aplikacji Surfshark, bez ryzyka przypadkowego kliknięcia linku.

Surfshark zapewnia, że nie przechowuje treści przeanalizowanych wiadomości i nie wykorzystuje ich do trenowania modeli AI. Funkcja jest dostępna w planach Surfshark One oraz Surfshark One+.

A jeśli link przyszedł WhatsAppem?

Trzeba uczciwie przyznać jedno: filtr SMS-ów nie obejmuje wiadomości z WhatsAppa ani Messengera, a właśnie tam odbywa się duża część rozmów z fałszywymi kupującymi czy sprzedawcami. Kierownik CERT Polska, podsumowując rok 2025, zwrócił uwagę, że skuteczne blokowanie SMS-ów zaczyna wypychać przestępców do innych kanałów komunikacji.

Dlatego druga warstwa ochrony musi działać niezależnie od tego, skąd pochodzi link. Tę funkcję pełni Unsafe Site Blocking. Na iPhonie znajduje się ona w zakładce Antiscam, na Androidzie i komputerze jako Web Content Blocker. Mechanizm blokuje wybrane kategorie witryn, w tym strony sklasyfikowane jako scamowe i phishingowe, niezależnie od tego, czy link pochodził z SMS-a, czatu czy maila.

Jeśli "oferta" prowadzi do domeny rozpoznanej jako phishingowa, zamiast przycisku płatności pojawi się ekran blokady. Rozwiązanie nie jest skuteczne w stu procentach – na Listę Ostrzeżeń CERT Polska w 2025 r. trafiło blisko 250 tys. domen, czyli niemal jedna co dwie minuty, a świeżo postawiona domena przez pierwsze godziny bywa niewidoczna dla żadnego filtra. To warstwa, która przechwytuje większość zagrożeń, ale nie wszystkie.

Warto też sprawdzić ustawienia: funkcja nie zadziała w sieci oznaczonej jako zaufana ani przy połączeniu VPN innym niż WireGuard. Unsafe Site Blocking, podobnie jak filtr SMS-ów, wchodzi w skład planów Surfshark One i One+, obok VPN-a, antywirusa oraz Alertu o wyciekach danych.

Sens takiego zestawu zabezpieczeń jest prosty. Filtr nie sprzedaje właśnie kurtki, nie czeka na kuriera i nie cieszy się na widok kupującego, który nie neguje ceny.

Co warto robić niezależnie od narzędzi

• Płać i odbieraj pieniądze wyłącznie w aplikacji serwisu, w którym widnieje ogłoszenie. Każdą propozycję przejścia na WhatsAppa, Messengera czy SMS traktuj jako sygnał ostrzegawczy.
• Jako sprzedający niczego nie "odbierasz" przez żaden link. Żadna wypłata nie wymaga podania numeru karty ani kodu CVV.
• Czytaj SMS-y i potwierdzenia BLIK z banku do końca. Jeśli kod zatwierdza "dodanie urządzenia" albo płatność na rzecz nieznanego podmiotu, a ty myślisz, że odbierasz 120 zł za kurtkę, jedno kliknięcie dzieli cię od stania się ofiarą.
• Ofertę wyszukaj samodzielnie w aplikacji serwisu zamiast klikać przesłany link. Status paczki sprawdzaj w aplikacji przewoźnika.
• Podejrzane SMS-y przesyłaj na bezpłatny numer 8080, a fałszywe strony zgłaszaj przez incydent.cert.pl lub usługę "Bezpiecznie w sieci" w aplikacji mObywatel.
• Jeśli podałeś dane karty, nie czekaj na pierwszą podejrzaną transakcję. Zadzwoń do banku na numer z karty albo z oficjalnej aplikacji i zastrzeż kartę.

Oszustwo "na link" jest niemal tak stare jak polski handel internetowy, ale wciąż się rozwija. Kiedyś zdradzały je literówki i słabej jakości logo. Dziś potrafi pokazać prawdziwe zdjęcia ofiary, jej opis i cenę jej własnej kurtki albo podszyć się pod serwis, który miał gwarantować bezpieczeństwo.

Dobra wiadomość jest taka, że jego słaby punkt pozostaje bez zmian. Każdy wariant musi w pewnym momencie wyprowadzić ofiarę poza aplikację i poprosić o dane, o które platforma nigdy by nie zapytała.

Ochrona przed takim oszustwem nie polega na doszukiwaniu się drugiego dna w każdej wiadomości. Polega na tym, żeby między "kupującym" a twoją kartą stało coś więcej niż zmęczenie o 22:00.