Jak rozpoznać phishing na Marketplace?
Najczęstszy schemat phishingu na Marketplace wygląda tak: „Kupiłem twój przedmiot, kliknij tutaj, żeby odebrać pieniądze”. Link prowadzi do strony przypominającej OLX, Vinted albo Facebook Marketplace, ale jej celem jest wyłudzenie danych karty. Jeśli wiadomość przenosi rozmowę na WhatsApp lub Messenger, pojawia się presja czasu, a strona prosi o numer karty i kod SMS z banku, przerwij transakcję.
Jak rozpoznać próbę oszustwa?
Phishing to podszywanie się pod zaufany portal, firmę lub operatora płatności w celu wyłudzenia danych albo nakłonienia do wykonania niebezpiecznej czynności. Na marketplace oszust zwykle udaje kupującego, który rzekomo już zapłacił za przedmiot. Następnie wysyła link do „odbioru pieniędzy” lub „potwierdzenia płatności”.
Najważniejsza zasada brzmi: płatność sprawdzaj wyłącznie w oficjalnej aplikacji lub na stronie portalu. Nie korzystaj z linku otrzymanego w komunikatorze, SMS-ie ani wiadomości e-mail. Typowe sygnały ostrzegawcze przedstawia tabela:
| Sytuacja | Dlaczego to podejrzane? |
|---|---|
| Kupujący chce przenieść rozmowę na WhatsApp lub Messenger | Poza komunikatorem portalu trudniej zweryfikować przebieg transakcji, a oszust może łatwo przesłać fałszywy link. |
| Otrzymujesz link do „odebrania pieniędzy” | Sprzedający zwykle nie musi podawać danych karty, aby otrzymać zapłatę. Taki formularz może służyć do przejęcia karty. |
| Adres strony tylko przypomina domenę OLX, Vinted lub Facebooka | Wygląd strony można skopiować. Liczy się dokładny adres URL widoczny w pasku przeglądarki, a nie logo ani grafika. |
| Strona prosi o numer karty, datę ważności, kod CVV lub saldo konta | To dane wrażliwe, które mogą umożliwić płatności kartą albo dalszą manipulację. |
| Wiadomość wymaga działania „natychmiast” | Pośpiech ma ograniczyć czas na sprawdzenie transakcji i zwiększyć ryzyko pochopnego kliknięcia. |
| Wiadomość lub strona zawiera błędy językowe | Literówki i nienaturalna składnia często wskazują na fałszywy formularz, choć ich brak nie potwierdza autentyczności strony. |
Oszuści mogą też przesyłać profesjonalnie wyglądające dokumenty PDF, potwierdzenia przelewu albo informacje o rzekomej dostawie kurierskiej. Taki dokument nie zastępuje weryfikacji w oficjalnym systemie portalu. Firma kurierska nie powinna pośredniczyć w płatności między prywatnym sprzedającym a kupującym.
Jak działa pułapka z kartą i kodem SMS?
Po kliknięciu w link trafiasz na stronę, która może wyglądać niemal identycznie jak prawdziwy serwis. Formularz prosi o dane karty, numer telefonu, czasem także o dane osobowe. Następnie oszust inicjuje operację w banku, na przykład próbę dodania Twojej karty do portfela cyfrowego.
Kod z SMS-a od banku nie służy do „odebrania pieniędzy”. Potwierdza konkretną operację opisaną w treści wiadomości. Może chodzić o dodanie karty do Google Pay lub Apple Pay, zatwierdzenie płatności albo inną czynność związaną z dostępem do środków. Jeśli SMS mówi o dodaniu karty, wypłacie lub płatności, nie wpisuj kodu na stronie z linku.
Ostrzeżenie: bank nie wysyła kodów autoryzacyjnych po to, aby ktoś mógł przekazać Ci przelew. Zawsze przeczytaj pełną treść SMS-a i sprawdź, co dokładnie zatwierdzasz. W razie rozbieżności przerwij operację i skontaktuj się z bankiem oficjalnym numerem.
Co robić, jeśli już podałeś dane?
Reaguj od razu, nawet jeśli nie widzisz jeszcze nieautoryzowanej transakcji. Kolejność działań może ograniczyć straty:
- Zablokuj lub zastrzeż kartę w aplikacji banku albo bankowości internetowej.
- Skontaktuj się z bankiem przez oficjalną infolinię i opisz, jakie dane zostały podane oraz czy zatwierdziłeś kod SMS. Poproś o sprawdzenie operacji i zabezpieczenie rachunku.
- Zabezpiecz konta – jeśli podano dane logowania, zmień hasło z bezpiecznego urządzenia i wyloguj aktywne sesje. Nie używaj tego samego hasła w innych serwisach.
- Zgłoś stronę lub wiadomość do CERT Polska przez formularz na stronie incydent.cert.pl. Podejrzany SMS można przekazać do analizy na numer 8080.
- Zawiadom Policję, szczególnie gdy doszło do utraty pieniędzy. Zachowaj wiadomości, numer telefonu, adres strony, dokumenty, potwierdzenia i zrzuty ekranu.
Jeśli oszust nakłonił Cię do instalacji aplikacji z linku lub przejął dostęp do urządzenia, odłącz je od internetu i skontaktuj się z bankiem z innego, bezpiecznego urządzenia. Nie usuwaj dowodów przed ich zapisaniem.
Lista kontrolna przed kliknięciem w link
Przed wykonaniem jakiejkolwiek czynności związanej z płatnością sprawdź:
- Czy rozmowa nadal odbywa się w oficjalnym komunikatorze portalu?
- Czy płatność widzę po zalogowaniu do aplikacji Marketplace, a nie tylko w wiadomości od kupującego?
- Czy samodzielnie sprawdziłem dokładny adres URL w pasku przeglądarki?
- Czy strona nie prosi o dane karty, saldo konta albo kod autoryzacyjny bez wyraźnego powodu?
- Czy przeczytałem całą treść SMS-a z banku i wiem, jaką operację zatwierdzam?
Bezpieczna sprzedaż nie wymaga pośpiechu ani podawania danych karty osobie poznanej na portalu ogłoszeniowym. Gdy kupujący nalega na link z WhatsAppa, „odbiór płatności” poza oficjalnym systemem albo wpisanie kodu z banku, zakończ kontakt i zgłoś próbę oszustwa.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady banku ani organów ścigania. W przypadku podejrzenia nieautoryzowanej operacji niezwłocznie skontaktuj się ze swoim bankiem.
