fałszywa bramka płatności

Fałszywa bramka płatności to podrobiona strona udająca operatora płatności internetowych albo logowanie do banku. Służy do przejęcia danych karty lub danych logowania do bankowości. CERT Polska zauważa, że znaczna część oszustw internetowych, zwłaszcza w formie phishingu, polega na przekierowaniu ofiary do fałszywego panelu płatności ^[2]. Link do takiej strony przychodzi zwykle SMS-em, e-mailem, w komunikatorze albo w kodzie QR ^[2]. Sama bramka jest tylko ostatnim ogniwem scenariusza socjotechnicznego, który ma skłonić ofiarę do zapłaty albo „odebrania” pieniędzy.

Jak działa

Oszustwo składa się z przynęty, fałszywej strony i wykorzystania zdobytych danych. Przynęta tworzy pretekst do płatności: niewielką dopłatę do przesyłki, mandat, opłatę parkingową albo rzekomy przelew od kupującego. Fałszywa strona naśladuje wygląd znanego operatora. Po wyborze banku ofiara widzi podrobiony panel logowania, a następnie stronę, na którą ma przepisać kod autoryzacyjny z SMS-a ^[1]. Dane i kod trafiają do przestępców, którzy w tym samym czasie logują się do prawdziwego banku i zlecają przelew albo przejmują dostęp do konta ^[1].

CERT Polska opisał ten schemat szczegółowo na przykładzie oszustw na portalach ogłoszeniowych ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Oszustwo na portalu z ogłoszeniami

Przestępca kopiuje dane przedmiotu i sprzedającego do systemu, który generuje fałszywą stronę z podstawionym ogłoszeniem ^[1]. Często dołącza spreparowany zrzut ekranu przelewu; CERT Polska przypomina, że takie zrzuty łatwo podrobić i nie są dowodem zapłaty ^[1]. Pierwszy kontakt bywa przenoszony z czatu serwisu do komunikatora albo poczty e-mail ^[1], gdzie nie działają zabezpieczenia platformy. Szczegóły tego wariantu opisuje hasło oszustwo na OLX / Vinted.

Odmiany

Warianty różnią się głównie przynętą i kanałem, którym przychodzi link.

Wariant z SMS-em to smishing, a wariant z kodem QR na naklejce to quishing. W kampanii „mandatowej” z kwietnia 2021 roku kwota wynosiła 10 zł, a link prowadził do fałszywej bramki podszywającej się pod PayU ^[5]. Po podaniu loginu i hasła ofiara była proszona o kod z SMS-a, co pozwalało przestępcom wyprowadzić pieniądze z konta ^[5].

W WordPressie

Strona na WordPressie może mieć z fałszywą bramką płatności do czynienia na dwa sposoby: jako narzędzie oszustwa albo jako jego ofiara.

Przejęta strona jako nadawca. W grudniu 2023 roku przestępcy przejęli system mailingowy wydawcy Pulsu Biznesu i wysłali do prawdziwych subskrybentów wiadomość z linkiem do fałszywej bramki płatności w schemacie dopłaty do przesyłki ^[6]. Wiadomości przeszły kontrole SPF / DKIM / DMARC, bo wyszły z prawdziwej infrastruktury nadawcy ^[6]. Według oświadczenia wydawcy dostęp uzyskano danymi logowania z baz wycieków danych, pochodzącymi z prywatnego urządzenia ^[6]. To samo może spotkać wtyczkę newslettera na WordPressie, jeśli konto administratora nie ma uwierzytelniania dwuskładnikowego (2FA).

Fałszywy formularz płatności w sklepie. Odmianą bliską web skimmingowi jest podstawienie fałszywego formularza karty w samym sklepie. Sucuri opisała w styczniu 2025 roku złośliwy JavaScript zapisany w bazie WordPressa, w tabeli wp_options, w wierszu widget_block ^[7]. Kod został wstrzyknięty do widżetu z blokiem HTML przez panel administracyjny ^[7]. Skrypt sprawdzał, czy adres strony zawiera słowo „checkout”, i tworzył formularz z polami na numer karty, datę ważności, kod CVV i dane rozliczeniowe ^[7]. Mógł też przechwytywać dane z istniejących pól kasy ^[7]. Klient widzi wtedy znany sklep, a nie obcą domenę, więc nie ma powodu do podejrzeń.

Ponieważ kod leżał w bazie danych, a nie w plikach motywu czy wtyczek, narzędzia sprawdzające wyłącznie pliki mogą go przeoczyć. Sucuri zaleca przegląd widżetów z blokiem HTML, aktualizacje, uwierzytelnianie dwuskładnikowe dla kont administratorów, monitorowanie integralności plików i WAF ^[7]. Dane kart zebrane w ten sposób trafiają potem do obrotu albo do testowania kart (card testing).

Jak się bronić

CERT Polska radzi uważnie czytać SMS-y i komunikaty w aplikacji banku, które potwierdzają operację ^[2]. Prawdziwe potwierdzenie zawsze podaje rodzaj operacji i kwotę; niezgodność z tym, co użytkownik robi, oznacza próbę oszustwa ^[2]. Link do płatności otrzymany w wiadomości warto porównać z rzeczywistym zobowiązaniem, zanim się go otworzy ^[2].

Gdy dane logowania już wyciekły, należy natychmiast skontaktować się z bankiem i zmienić hasło do bankowości. Jeśli pieniądze zniknęły, trzeba zgłosić sprawę policji ^[1].

W Polsce działa lista ostrzeżeń przed niebezpiecznymi stronami, którą CERT Polska prowadzi od marca 2020 roku ^[4]. Operatorzy telekomunikacyjni uczestniczący w porozumieniu blokują dostęp do domen z listy na poziomie DNS ^[4]. Podejrzane strony można zgłaszać formularzem, a podejrzane SMS-y przesyłać bezpłatnie na numer 8080 ^[4]; zob. zgłoszenie podejrzanego SMS-a na numer 8080. Domena pozostaje zablokowana przez 6 miesięcy ^[4].

Historia i przykłady

• 9 kwietnia 2021 roku: Niebezpiecznik ostrzega przed kampanią SMS o „nieopłaconym mandacie karnym” na 10 zł z fałszywą bramką PayU ^[5].
• 12 kwietnia 2022 roku: CERT Polska publikuje opis oszustw na portalach z ogłoszeniami, z pełną ścieżką od kontaktu z kupującym do kradzieży pieniędzy ^[1].
• 18 grudnia 2023 roku: phishing z prawdziwej domeny wydawcy Pulsu Biznesu, prowadzący do fałszywej bramki płatności ^[6].
• 2 kwietnia 2025 roku: w przeglądzie kampanii z 2024 roku CERT Polska opisuje naklejki na parkometrach kierujące do fałszywej bramki płatności ^[3].