romance scam

Romance scam (oszustwo na uczucia) to wyłudzenie, w którym sprawca przez tygodnie lub miesiące buduje z ofiarą relację uczuciową w internecie, a potem prosi o pieniądze pod pretekstem nagłej potrzeby. Niebezpiecznik opisuje schemat, w którym oszust przez kilka miesięcy prowadzi korespondencję z ofiarą i buduje z nią relację emocjonalną, a w pewnym momencie prosi o pomoc, zwykle na koszty leczenia albo pożyczkę ^[3]. FBI klasyfikuje takie zdarzenia jako oszustwa zaufania, w których ofiara wierzy, że jest w relacji rodzinnej, przyjacielskiej lub romantycznej, i zostaje nakłoniona do przekazania pieniędzy, danych albo cennych przedmiotów ^[1]. Romance scam jest odmianą socjotechniki i jednym z najbardziej kosztownych rodzajów oszustw internetowych.

Jak działa

Sprawca nie spieszy się. Cała wartość ataku leży w zaufaniu, które buduje przez długi czas, dlatego zwykły filtr antyspamowy czy ostrzeżenie w przeglądarce nie mają tu zastosowania.

RYS. 1Przebieg romance scamu

W opisie Niebezpiecznika ofiarę, najczęściej kobietę, zaczepia w mediach społecznościowych atrakcyjny mężczyzna, który przedstawia się jako żołnierz, inżynier lub biznesmen na kontrakcie w Afryce ^[3]. Wysyła zdjęcia i opowiada o swoim życiu ^[3]. Amerykańska FTC odnotowała, że oszuści bardzo często tłumaczą niemożność spotkania służbą w odległej bazie wojskowej albo pracą na platformie wiertniczej ^[2].

Według FTC 40% osób, które w 2022 roku straciły pieniądze w romance scamie, poznało sprawcę w mediach społecznościowych, a 19% na stronie lub w aplikacji ^[2]. Kryptowaluty i przelewy bankowe odpowiadały za ponad 60% zgłoszonych strat, a karty podarunkowe pojawiły się w 24% przypadków ^[2].

Odmiany

Romance scam przybiera różne formy w zależności od pretekstu i tego, co sprawca chce uzyskać.

Wariant z szantażem to sextortion; FTC podała, że zgłoszenia takich gróźb wzrosły ponad ośmiokrotnie od 2019 roku ^[2]. Wariant inwestycyjny, w którym relacja służy namówieniu ofiary na fikcyjną platformę, opisuje hasło pig butchering; pokrewne jest też oszustwo inwestycyjne.

Romance scam jako wejście do innych ataków

Relacja uczuciowa bywa tylko furtką. W lutym 2026 roku Sekurak opisał kampanię wykrytą przez badaczy ESET, w której przestępcy, stosując romance scam, nakłaniali użytkowników Androida w Pakistanie do instalacji rzekomej aplikacji randkowej ^[4]. Aplikacja była oprogramowaniem szpiegującym GhostChat i wykradała identyfikator urządzenia, listę kontaktów oraz dokumenty i zdjęcia z pamięci telefonu ^[4]. W tej samej kampanii ofiary proszono o zeskanowanie kodu QR, co parowało ich WhatsAppa z urządzeniem atakujących ^[4]. To już przejęcie konta i eksfiltracja danych, a nie tylko wyłudzenie pieniędzy.

Druga ścieżka prowadzi do prania pieniędzy. Definicja FBI obejmuje także sytuacje, w których ofiara zostaje nakłoniona do przekazywania pieniędzy lub przedmiotów w celu ich wyprania na rzecz sprawcy ^[1]. Związek Banków Polskich ostrzega, że przestępcy na portalach randkowych stopniowo przekonują ofiary do otwierania rachunków bankowych, które potem służą do przepuszczania nielegalnych środków ^[5]. Ofiara oszustwa staje się wtedy słupem i sama może ponieść odpowiedzialność karną.

Zagrożenia i skutki

W raporcie IC3 za 2024 rok kategoria „Confidence/Romance”, która obejmuje także oszustwa „na wnuczka”, to 17 910 zgłoszeń i straty 672 009 052 USD ^[1]. Wśród osób powyżej 60. roku życia ta sama kategoria to 7 626 zgłoszeń i 389 312 356 USD strat ^[1], czyli ponad połowa kwoty. Dla porównania osoby w wieku 50–59 lat złożyły w tej kategorii 2365 zgłoszeń ^[1]. Starsi użytkownicy są więc grupą szczególnie narażoną, co warto brać pod uwagę, rozmawiając o bezpieczeństwie w sieci z rodzicami i dziadkami. Liczby FBI obejmują wyłącznie przypadki zgłoszone do IC3, a nie wszystkie oszustwa tego typu, i dotyczą głównie ofiar ze Stanów Zjednoczonych. Według FTC w 2022 roku niemal 70 tys. osób zgłosiło romance scam, straty wyniosły 1,3 mld USD, a mediana straty na osobę 4400 USD ^[2].

W Polsce Niebezpiecznik opisywał przypadki strat rzędu kilkunastu i kilkudziesięciu tysięcy złotych ^[3]. Poza pieniędzmi ofiara traci dane osobowe, które mogą posłużyć do kradzieży tożsamości, a także poczucie bezpieczeństwa i zaufanie do bliskich, przed którymi często ukrywa znajomość.

Jak się bronić

Najważniejszą obroną jest rozpoznanie wzorca. FTC formułuje prostą regułę: kto prosi o kryptowalutę, numery kart podarunkowych albo przelew, jest oszustem; tak samo prośby o opłaty za paczkę lub cło ^[2].

• Sprawdzić zdjęcia z profilu wyszukiwaniem obrazem ^[2].
• Porozmawiać o nowej znajomości z zaufaną osobą ^[2].
• Nie wysyłać pieniędzy ani dokumentów osobie poznanej tylko w sieci.
• Nie instalować aplikacji z linku od nowego znajomego, zwłaszcza spoza oficjalnego sklepu; to sideloading.
• Nie skanować kodów QR, które mają „połączyć” komunikator z innym urządzeniem ^[4].
• Nie otwierać rachunku bankowego na czyjąś prośbę ^[5].

Pomóc mogą osoby trzecie. W przypadku opisanym przez Niebezpiecznika pracownik firmy kurierskiej, zapytany w sierpniu 2019 roku o wysyłkę iPhone’a do Nigerii, zasugerował klientce, że mogła paść ofiarą oszustwa ^[3]. Przy podejrzeniu, że dane osobowe trafiły do sprawcy, warto rozważyć zastrzeżenie numeru PESEL.