oszustwo na OLX / Vinted (fałszywy sklep internetowy)

Oszustwo na OLX / Vinted to oszustwo handlowe w internecie, w którym sprawca podszywa się pod kupującego albo sprzedającego na platformie ogłoszeniowej lub prowadzi sklep-widmo. Celem są dane karty płatniczej, dane logowania do banku albo przelew za towar, który nie istnieje. Skala jest duża: w 2025 roku CERT Polska zarejestrował 28 462 incydenty z nieuprawnionym użyciem wizerunku serwisu OLX i 22 513 z wizerunkiem Allegro ^[1]. Na Listę Ostrzeżeń trafiło w tym roku 28 562 domen podszywających się pod OLX, wobec 9714 rok wcześniej ^[1].

Jak działa

Najczęstszy schemat to oszustwo „na kupującego”. Ofiarą jest sprzedający, który wystawił ogłoszenie. CSIRT KNF opisał go w 2021 roku: przestępca podaje się za kupującego, przenosi rozmowę do zewnętrznego komunikatora, na przykład WhatsAppa, i proponuje zakup przez usługę płatności platformy ^[2]. Następnie wysyła link do strony podobnej do OLX, na której sprzedający ma „odebrać pieniądze” ^[2]. Strona prosi o numer karty, datę ważności i kod CVV ^[2].

RYS. 1Oszustwo na kupującego

Wiarygodność zwiększa spoofing (podszywanie się). W grudniu 2022 roku Sekurak opisał SMS-y z nadpisem InPost albo OLX, które telefon wyświetlał w tym samym wątku co wcześniejsze prawdziwe wiadomości tych firm ^[5]. Link prowadził dalej do fałszywej bramki płatności i fałszywych stron logowania do banków ^[5]. SMS z linkiem to smishing, a cała metoda jest odmianą phishingu.

Na Vinted mechanizm wygląda tak samo. Małopolska policja opisała we wrześniu 2022 roku sprzedających, którzy dostali od rzekomych kupujących link w SMS-ie, a na fałszywej stronie banku podali dane logowania; łączne straty przekroczyły 4000 zł ^[4].

Odmiany

Fałszywy operator płatności. Niebezpiecznik opisał w październiku 2017 roku rzekomego sprzedającego gry, który po krótkiej korespondencji wysyłał kupującemu link do strony udającej operatora płatności Dotpay ^[6]. Adres zaczynał się od nazwy prawdziwego serwisu, ale domena należała do kogoś innego ^[6]. Po zalogowaniu się ofiary do „banku” sprawca przejmował dane ^[6].

Komunikat w czacie platformy. W lutym 2025 roku Sekurak opisał przypadek czytelnika, który wystawił ogłoszenie bez numeru telefonu ^[7]. Wiadomość w wewnętrznym czacie OLX twierdziła, że konto zostało zablokowane, i podawała „klucz” do ręcznego wpisania w przeglądarce, co utrudniało automatyczne wykrycie linku ^[7]. Po drodze była strona z CAPTCHA, fałszywa strona InPost, bramka płatności i fałszywe logowanie do banku ^[7]. Imitacja adresu przez podobne znaki to typosquatting.

Sklep-widmo. CERT Polska wymienia sygnały ostrzegawcze: brak numeru telefonu i danych sprzedawcy, mało metod płatności i brak płatności przy odbiorze, podejrzanie jednolite opinie oraz wyjątkowe okazje ograniczone czasem ^[8]. Zespół podkreśla, że kłódka przy adresie sklepu nie gwarantuje bezpiecznych zakupów ^[8]; certyfikat SSL/TLS potwierdza szyfrowanie połączenia, a nie uczciwość sprzedawcy.

Jak się bronić

OLX zaleca prowadzenie rozmów w czacie OLX i nieklikanie zewnętrznych linków do płatności ^[3]. Radzi korzystać z Przesyłek OLX albo odbioru osobistego, używać przycisku „Kup z Przesyłką” tylko na stronie ogłoszenia w serwisie olx.pl i uważać na prośby o szybki przelew lub kod BLIK ^[3]. Wyłudzenie kodu opisuje hasło oszustwo na BLIK-a.

• Nie podawać nikomu numeru karty płatniczej ^[2].
• Adres banku wpisywać ręcznie, nie przechodzić do niego z linku w wiadomości ^[4].
• Nie podawać haseł ani kodów autoryzacyjnych z SMS-ów ^[4].
• Podejrzaną stronę zgłosić przez incydent.cert.pl, a SMS przesłać na numer 8080 ^[7]; zob. zgłoszenie podejrzanego SMS-a na numer 8080.
• Po utracie pieniędzy od razu skontaktować się z bankiem, zgłosić incydent CERT Polska i powiadomić policję; szybka reakcja zwiększa szansę odzyskania środków, zwłaszcza przy płatności kartą ^[8].

Domeny zgłoszone przez użytkowników trafiają na Listę Ostrzeżeń przed niebezpiecznymi stronami, która w 2025 roku objęła 244 341 domen ^[1].

W WordPressie

Oszustwo na OLX dotyczy stron WordPress z dwóch stron.

Przejęta witryna jako hosting kampanii. Fałszywa strona płatności potrzebuje serwera i domeny. W 2025 roku CERT Polska otrzymał 144 320 zgłoszeń phishingu hostowanego w polskich sieciach ^[1]. Włamywacz, który przejmie słabo zabezpieczoną witrynę WordPress, może umieścić w podkatalogu gotowy zestaw stron udających OLX albo InPost. Właściciel może się o tym dowiedzieć dopiero z powiadomienia o blokadzie domeny; zob. wpis na czarną listę (blacklisting). Pomaga monitorowanie integralności plików, które wykrywa pojawienie się nieznanych katalogów.

Sklep-widmo na gotowym oprogramowaniu. Do zbudowania sklepu-widma wystarczy popularny CMS z wtyczką sklepową i skopiowane zdjęcia produktów. Dla uczciwego sklepu na WooCommerce oznacza to ryzyko podszycia się pod jego markę pod podobną domeną. Warto sprawdzać, czy w sieci nie pojawiają się kopie sklepu, i jasno komunikować klientom, jakie metody płatności są jedynymi prawdziwymi. Socjotechnika sprawców działa najlepiej tam, gdzie klient nie wie, czego się spodziewać.

Historia i przykłady

• październik 2017: fałszywe strony operatora płatności w oszustwach na OLX ^[6].
• maj 2021: CSIRT KNF ostrzega przed fałszywymi kupującymi i linkami do „odbioru płatności” ^[2].
• wrzesień 2022: policja w Małopolsce opisuje oszustwa na Vinted ze stratami ponad 4000 zł ^[4].
• grudzień 2022: SMS-y z podrobionym nadpisem InPost i OLX ^[5].
• luty 2025: fałszywe komunikaty systemowe w czacie OLX ^[7].
• 2025: 28 462 incydenty z wizerunkiem OLX w statystykach CERT Polska ^[1].