„Dzień dobry, biorę ten rower za podaną cenę, nie ma potrzeby negocjować. Płatność zabezpieczoną już wykonałem przez platformę, dostanie Pan SMS-a z prośbą o potwierdzenie otrzymania środków. Mój kurier podjedzie jutro rano."
Wiadomość jest uprzejma, szybka, bez targowania się. I właśnie to powinno wzbudzić czujność — a właśnie to uspokaja. Po trzech tygodniach wiszącego ogłoszenia i czterech ciekawskich, którzy proponowali połowę ceny, kupujący mówiący od razu „tak" wygląda jak wybawienie, a nie jak pułapka.
Oszustwo na fałszywego kupującego ma pewną cechę, która czyni je wyjątkowo groźnym: odwraca role. Wszystkie kampanie prewencyjne nauczyły nas zachowywać ostrożność, kiedy kupujemy przez internet. Prawie nikt nie wytłumaczył nam, że można zostać okradzionym, sprzedając. A jest to dziś jeden z najczęstszych scenariuszy smishingu w Polsce i nie dotyczy już wyłącznie początkujących.
Pełny scenariusz, krok po kroku
W przeciwieństwie do fałszywego SMS-a o przesyłce, który przychodzi znienacka, to oszustwo buduje się stopniowo. Zawsze zaczyna się od prawdziwego ogłoszenia, wystawionego przez Ciebie, na prawdziwej platformie. Oszust niczego nie wymyśla: wykorzystuje to, co sam umieściłeś w sieci.
Krok 1 — Błyskawiczny kontakt. Od kilku minut do kilku godzin po publikacji ogłoszenia przychodzi wiadomość przez wewnętrzny komunikator serwisu. Kupujący akceptuje podaną cenę, nie zadaje żadnych technicznych pytań o przedmiot i deklaruje, że jest „bardzo zainteresowany". Często powołuje się na jakieś ograniczenie: wyjeżdża służbowo, kupuje dla bliskiej osoby, nie może przyjechać osobiście.
Krok 2 — Wyjście poza platformę. To moment przełomowy. Kupujący prosi o Twój numer telefonu, „żeby poszło szybciej" albo „bo aplikacja się zawiesza". Podajesz go, rozmowa przenosi się na SMS-y lub szyfrowany komunikator. Właśnie opuściłeś przestrzeń, w której platforma archiwizuje, moderuje i może zawiesić konto.
Krok 3 — Dowód płatności. Oszust wysyła zrzut ekranu wykonanego przelewu, czasem fałszywy e-mail potwierdzający w barwach platformy. Te dokumenty są dobrze zrobione: prawidłowe logo, prawidłowa czcionka, przepisane informacje prawne. Nie mają żadnej wartości, ale tworzą poczucie, że sprawa posuwa się naprzód.
Krok 4 — SMS-pułapka. Przychodzi wiadomość, rzekomo automatyczna, z linkiem: „Dla sprzedającego oczekuje kwota 480 zł. Kliknij, aby potwierdzić otrzymanie środków na konto." Domena imituje adres platformy albo znanego operatora płatności, z drobniutką różnicą.
Krok 5 — Formularz. Strona prosi o numer karty płatniczej, datę ważności, kod CVV, czasem o dostępne saldo „w celu weryfikacji zgodności wpłaty". Następnie każe potwierdzić powiadomienie w aplikacji bankowej.
Krok 6 — Obciążenie. To potwierdzenie nie autoryzuje wpływu, lecz płatność wychodzącą albo zapisanie Twojej karty w portfelu cyfrowym kontrolowanym przez oszusta. Kolejne obciążenia następują później, czasem rozłożone na kilka dni, żeby nie wywołać alertu.
Kluczowe kłamstwo: przyjęcia pieniędzy nigdy się nie „potwierdza"
Trzeba to sobie gdzieś wyryć, bo na tym jednym punkcie opiera się całe oszustwo.
Otrzymanie pieniędzy nigdy nie wymaga podania numeru karty płatniczej, kodu CVV ani zatwierdzenia operacji w aplikacji bankowej.
Przelew przychodzący dociera sam. Zwrot dociera sam. Płatność przez platformę sprzedażową trafia do portfela platformy, a potem na Twoje konto po zleceniu wypłaty, które Ty inicjujesz z poziomu oficjalnej aplikacji, logując się samodzielnie.
Dane karty płatniczej służą wyłącznie do obciążania tej karty. Trzycyfrowy kod z tyłu istnieje tylko po to, by udowodnić, że w momencie zakupu fizycznie posiadasz kartę. Żaden system na świecie nie potrzebuje go, żeby przelać Ci pieniądze. Instytucje zajmujące się cyberbezpieczeństwem powtarzają tę zasadę we wszystkich materiałach poświęconych phishingowi.
Praktyczny wniosek: w chwili gdy ktokolwiek łączy słowa „otrzymać" i „karta płatnicza" w jednym zdaniu, rozmowa jest zakończona.
Warianty krążące w 2026 roku
Podstawowy scenariusz ma wiele odmian. Oto najczęściej zgłaszane.
| Wariant | Pretekst | O co Cię proszą |
|---|---|---|
| Nadpłata | „Zapłaciłem 800 zł zamiast 80 zł, proszę zwrócić różnicę" | Przelew od Ciebie na nieznany numer konta |
| Koszty dostawy | „Kurier wymaga, by sprzedający zaliczkował koszty, potem zwracane" | Płatność 30–60 zł kartą |
| Ubezpieczenie paczki | „Przedmiot musi być ubezpieczony, platforma zwróci później" | Płatność + dane bankowe |
| Konto firmowe | „Twoje konto musi przejść na status zweryfikowanego sprzedawcy" | Dokument tożsamości + numer konta + karta |
| Fałszywy spór | „Kupujący złożył reklamację, ureguluj to w 24 h" | Logowanie na fałszywym panelu klienta |
