Jest taki bardzo konkretny moment, w którym tracimy czujność: tuż po opublikowaniu ogłoszenia. Kanapa sfotografowana, opis napisany, cena ustalona. A dwadzieścia minut później telefon wibruje. „Dzień dobry, jestem zainteresowany pana przedmiotem, czy jest jeszcze dostępny?” Wiadomość jest uprzejma, poprawna, bez błędów. Przychodzi SMS-em, bezpośrednio na prywatny numer.
Od tej chwili uruchamia się dobrze naoliwiony mechanizm. Nie jest wymierzony w kupujących – to najczęstszy błąd w ocenie sytuacji – lecz w sprzedających. W tych, którzy czekają na odpowiedź, którzy liczą na szybką transakcję, którzy w myślach już wydali 250 euro ze sprzedaży roweru.
Wystawić ogłoszenie w 2026 roku to opublikować numer telefonu w przestrzeni dostępnej dla każdego, w tym dla zorganizowanych grup, które automatyzują zbieranie danych. To, co wydaje się transakcją między osobami prywatnymi, staje się terenem łowieckim. Oto jak te oszustwa naprawdę działają, dlaczego są tak skuteczne i jakie nawyki warto wypracować, jeszcze zanim wystawi się pierwszy przedmiot.
Dlaczego sprzedający są idealnym celem
Sprzedający prywatnie łączy w sobie trzy cechy, których szukają oszuści.
Po pierwsze, czeka na wiadomość. W przeciwieństwie do masowego smishingu – fałszywego SMS-a od urzędu skarbowego czy z funduszu zdrowia, wysyłanego na miliony losowych numerów – wiadomość otrzymana przez sprzedającego wpisuje się w kontekst, który on sam stworzył. Mózg nie szuka niespójności: szuka potwierdzenia.
Po drugie, udostępnił swój numer. Nawet gdy platforma oferuje wewnętrzny komunikator, spora część sprzedających podaje numer w treści ogłoszenia albo zgadza się na to już przy pierwszej wymianie zdań, żeby „poszło szybciej”. Numery są następnie automatycznie zbierane, odsprzedawane i wykorzystywane przez wiele miesięcy.
Po trzecie, jest w pozycji oczekiwania na pieniądze. Ma otrzymać przelew. I właśnie tę asymetrię wykorzystuje oszustwo: nikt nie prosi go o zapłatę, tłumaczy mu się, że musi dopełnić formalności, aby odebrać pieniądze. Psychologicznie jest to nieporównanie skuteczniejsze.
Platforma Signal Arnaques oraz oficjalny system 33700, prowadzony przez Fédération française des télécoms pod egidą ministerstwa gospodarki, rok po roku odnotowują ten rodzaj zgłoszeń w najwyższych wolumenach – obok fałszywych SMS-ów o dostawie przesyłek.
Cztery najczęstsze scenariusze w 2026 roku
1. Fałszywy „bezpieczny” link płatniczy
To klasyk gatunku i wciąż najbardziej dochodowy wariant. Kupujący tłumaczy, że nie może przyjechać, proponuje płatność przez zintegrowany system płatności platformy, a następnie wysyła SMS-a z linkiem.
Otwierająca się strona jest wierną kopią: logo, typografia, informacje prawne, kłódka HTTPS. Prosi o numer karty płatniczej „w celu otrzymania przelewu”. Tymczasem żaden system płatności na świecie nie wymaga danych karty, aby zasilić konto. Do otrzymania pieniędzy potrzebny jest numer rachunku, nigdy trzycyfrowy kod CVV.
Bardziej wyrafinowany wariant: strona prosi o zalogowanie się do bankowości internetowej w celu „potwierdzenia odbioru”. Oszust przechwytuje dane logowania w czasie rzeczywistym i zleca przelew, podczas gdy wspólnik dzwoni, podając się za doradcę z działu przeciwdziałania oszustwom, aby uzyskać kod autoryzacyjny.
2. Fałszywy SMS od przewoźnika
Sprzedający wysłał paczkę. Kilka dni później: „Twoja przesyłka nr FR8842… została zatrzymana w sortowni, opłata za ponowne nadanie wynosi 1,95 €.” Kwota jest celowo śmiesznie niska – celem nie jest kradzież 1,95 €, lecz zdobycie danych karty, by ustawić cykliczne obciążenia lub odsprzedać numer.
Ten scenariusz ma tę cechę, że jest wiarygodny nawet dla osób świadomych zagrożeń, właśnie dlatego, że paczka rzeczywiście jest w drodze. Jedyny pewny nawyk: nigdy nie klikać linku z SMS-a, tylko samodzielnie wpisać numer przesyłki na stronie przewoźnika.
3. Nadpłata i zwrot różnicy
Kupujący informuje, że „przez pomyłkę zapłacił za dużo” i przesyła zrzut ekranu przelewu na 800 € zamiast 300 €. Prosi o zwrot różnicy przelewem natychmiastowym lub kodem doładowującym. Zrzut ekranu jest spreparowany, przelew nie istnieje albo zostanie anulowany kilka dni później.
Zasada do zapamiętania jest prosta: otrzymany przelew jest ostatecznie twój dopiero wtedy, gdy widnieje na wyciągu z rachunku, a nie w powiadomieniu, nie na zrzucie ekranu i nie w e-mailu.
4. Przeniesienie rozmowy gdzie indziej
Krótka, niewinna pierwsza wiadomość, a potem: „Możemy przejść na WhatsAppa?” albo „Proszę podać numer, zadzwonię”. Wyjście poza komunikator platformy sprawia, że znika jakikolwiek ślad przydatny w razie sporu, wyłącza automatyczne filtry antyfraudowe i pozwala wysyłać linki, które gdzie indziej zostałyby zablokowane.
To nie jest drobiazg: to pierwszy krok w niemal każdym z opisanych wyżej oszustw.
Zasada ogólna: im bardziej rozmówca próbuje opuścić oficjalny kanał, tym większe prawdopodobieństwo oszustwa. Dotyczy to ogłoszeń drobnych, fałszywych doradców bankowych i fałszywych rekruterów.
Tabela sygnałów ostrzegawczych
| Zaobserwowany sygnał | Interpretacja | Poziom ryzyka |
|---|---|---|
| Kupujący, który nie negocjuje ceny | Nietypowe na platformie ogłoszeniowej | Wysoki |
| Prośba o numer telefonu już w pierwszej wiadomości | Próba wyjścia z bezpiecznego kanału | Wysoki |
| Link płatniczy przesłany SMS-em | Żadna wiarygodna platforma tak nie działa | Krytyczny |
| Lekko nienaturalne sformułowania, tłumaczenie maszynowe | Grupa działająca z zagranicy | Średni |
| Podkreślany pośpiech („wyjeżdżam dziś wieczorem”) | Klasyczna dźwignia nacisku | Wysoki |
| Prośba o dane karty w celu otrzymania pieniędzy | Technicznie niemożliwe | Krytyczny |
| Propozycja zapłaty więcej, niż wynosi cena | Scenariusz nadpłaty | Krytyczny |
Co zrobić przed opublikowaniem ogłoszenia
Najlepsza obrona nie rozgrywa się w chwili otrzymania podejrzanego SMS-a, lecz znacznie wcześniej.
Nigdy nie podawaj numeru w treści ogłoszenia. Ani w opisie, ani na zdjęciach – niektórzy sprzedający bezwiednie fotografują dokument, etykietę czy fakturę z własnymi danymi. Sprawdzenie zdjęć przed publikacją zajmuje dziesięć sekund.
Wyczyść zdjęcia. Fotografia zrobiona smartfonem zawiera metadane, czasem dokładną pozycję GPS mieszkania. Większość dużych platform usuwa je przy wgrywaniu, ale nie wszystkie i nie przy wysyłce przez prywatny komunikator. W przypadku wartościowych przedmiotów fotografowanie na neutralnym tle przy użyciu małego składanego namiotu bezcieniowego dodatkowo pozwala nie pokazywać wnętrza mieszkania, mebli ani widoku z okna – czyli wskazówek ułatwiających rozpoznanie terenu.
Rozważ drugi numer. Kto sprzedaje regularnie, powinien przeznaczyć osobną linię na ogłoszenia – to najskuteczniejsze rozwiązanie. Karta SIM prepaid bez zobowiązań, włożona do zapasowego telefonu lub do drugiego slotu SIM, całkowicie oddziela działalność sprzedażową od głównego numeru – tego, na który przychodzą kody bankowe i uwierzytelnianie dwuskładnikowe. Gdy numer pomocniczy zostanie zasypany spamem, wymienia się go bez żadnych konsekwencji.
Zabezpiecz swój główny numer. Skoro numer prywatny jest kluczem awaryjnym do banku, poczty i mediów społecznościowych, musi być chroniony najlepiej. Przeniesienie uwierzytelniania dwuskładnikowego wrażliwych kont do dedykowanej aplikacji, a nawet na fizyczny klucz bezpieczeństwa FIDO2, eliminuje zależność od SMS-a – kanału, który, przypomnijmy, nie jest szyfrowany i pozostaje podatny na przejęcie numeru.
Co zrobić, gdy podejrzany SMS już przyszedł
Nie klikaj, nie odpowiadaj
Zwykłe „STOP” albo zirytowana odpowiedź potwierdza, że numer jest aktywny i przypisany do realnej osoby. Ta informacja ma wartość handlową: trafia następnie do kolejnych grup.
Zgłoś pod numer 33700
System jest bezpłatny i działa w dwóch krokach:
- Przekaż oszukańczy SMS na numer 33700.
- Odpowiedz na automatyczną wiadomość, podając numer nadawcy.
Zgłoszenie zasila wspólną bazę operatorów, która pozwala zawieszać numery nadawcze i blokować całe kampanie. Za pośrednictwem formularza internetowego oficjalna strona 33700 umożliwia również zgłaszanie wiadomości otrzymanych przez komunikatory.
W przypadku oszukańczych linków platforma Phishing Initiative (prowadzona we Francji przez Orange Cyberdefense) pozwala umieścić adres URL na czarnej liście przeglądarek. A w razie pytań lub potrzeby wsparcia oficjalnym punktem kontaktowym państwa jest Cybermalveillance.gouv.fr.
Jeśli dane zostały już podane
Liczy się czas, i to w minutach.
- Natychmiast zadzwoń do banku i zastrzeż kartę. Numer znajduje się na jej odwrocie; nigdy nie oddzwaniaj na numer otrzymany SMS-em.
- Zmień hasła do wszystkich powiązanych kont, zaczynając od poczty elektronicznej, która steruje resetowaniem pozostałych. Menedżer haseł chroni przed używaniem tych samych danych logowania na wielu stronach – to właśnie ta luka jest wykorzystywana w większości lawinowych włamań.
- Złóż zawiadomienie na policji, w jednostce żandarmerii lub przez internetowy formularz wstępnego zgłoszenia. Potwierdzenie przyjęcia jest niezbędne w dalszych krokach.
- Zażądaj zwrotu środków. Artykuł L133-18 francuskiego kodeksu monetarnego i finansowego nakłada na bank obowiązek zwrotu nieautoryzowanej transakcji płatniczej niezwłocznie po zgłoszeniu, chyba że posiadacz dopuścił się rażącego niedbalstwa. Sąd kasacyjny wielokrotnie precyzował, że przekazanie danych w wyniku starannie przygotowanego phishingu nie stanowi automatycznie rażącego niedbalstwa: to bank musi to udowodnić.
Dokumentuj wszystko, systematycznie
Zrzuty ekranu SMS-a z widocznym numerem nadawcy, znaczniki czasu, historia rozmowy na platformie, numer ogłoszenia. To właśnie te elementy decydują, czy sprawa trafi do rozpoznania, czy zostanie umorzona. Osobom sprzedającym regularnie prowadzenie zeszytu ewidencji transakcji z datami, kwotami i danymi kupujących bardzo ułatwia odtworzenie historii nawet po kilku miesiącach.
Odbiór osobisty pozostaje najbezpieczniejszą metodą
Mimo upowszechnienia płatności zintegrowanych transakcja fizyczna statystycznie pozostaje najmniej ryzykowna – pod warunkiem przestrzegania kilku zasad.
- Spotykaj się w miejscu publicznym i uczęszczanym: hala dworcowa, parking centrum handlowego; niektóre urzędy miejskie udostępniają dziś bezpieczne „punkty spotkań” objęte monitoringiem.
- Nigdy nie podawaj adresu domowego przy pierwszym kontakcie.
- Sprawdzaj gotówkę: banknoty 50 i 100 euro są najczęściej fałszowane. Przenośny tester banknotów kosztuje tyle, co jedna nieudana transakcja, i mieści się w kieszeni.
- Przy przelewie natychmiastowym wykonywanym na miejscu czekaj na powiadomienie bankowe na własnym telefonie, nigdy na telefonie kupującego.
- Sporządź krótkie pisemne pokwitowanie z opisem przedmiotu, ceną, datą i danymi obu stron. W przypadku skutera, instrumentu muzycznego czy sprzętu fotograficznego nie ma w tym nic przesadnego.
Przy przedmiotach gabarytowych lub wartościowych najprostszym środkiem ostrożności pozostaje wzięcie kogoś ze sobą. A przy wysyłkach użycie bezpiecznego opakowania z plombą oraz sfotografowanie zamkniętej paczki z etykietą zapobiega klasycznej reklamacji typu „paczka przyszła pusta”.
Co platformy robią – a czego nie robią
Duże serwisy ogłoszeniowe znacząco wzmocniły swoje filtry: wykrywanie numerów w opisach, maskowanie danych kontaktowych, automatyczne ostrzeżenia, gdy rozmowa zawiera określone słowa kluczowe. Leboncoin, Vinted i inne realnie inwestują w ten obszar pod wspólną presją DGCCRF i europejskiego rozporządzenia o usługach cyfrowych (DSA), które od 2024 roku nakłada zaostrzone obowiązki w zakresie identyfikowalności sprzedawców profesjonalnych i obsługi zgłoszeń.
Pozostają jednak dwa ograniczenia.
Pierwsze jest takie, że oszustwo rozgrywa się poza platformą. Gdy tylko rozmowa przenosi się na SMS lub do zewnętrznego komunikatora, żaden filtr nie działa. Odpowiedzialność operatora serwisu kończy się na jego własnej infrastrukturze.
Drugie polega na tym, że zgłoszenia przychodzą za późno. Fałszywe konto powstaje, działa przez kilka dni i zostaje porzucone, zanim jeszcze zdąży zostać zawieszone. Tempo rotacji sprawia, że moderacja jest strukturalnie o krok w tyle.
Stąd prosty wniosek: indywidualna czujność nie jest dodatkiem, lecz pierwszą linią obrony.
Trzy zdania do zapamiętania
Gdyby zapamiętać tylko to, co najważniejsze, byłoby to poniższe.
„Otrzymanie pieniędzy nigdy nie wymaga podania numeru karty płatniczej.” To zasada, która sama w sobie neutralizuje większość scenariuszy.
„Linku otrzymanego SMS-em się nie klika.” Otwiera się oficjalną aplikację, wpisuje adres samodzielnie, sprawdza numer przesyłki u źródła.
„Pośpiech to narzędzie manipulacji.” Naprawdę zainteresowany kupujący zgodzi się poczekać dwadzieścia cztery godziny. Oszust – nie.
Sprzedaż w internecie pozostaje praktyką użyteczną, oszczędną i ekologiczną, po którą co miesiąc sięgają miliony ludzi. Ryzyko nie jest powodem, by z niej rezygnować – jest powodem, by czysto rozdzielić to, co rozdzielone być powinno: numer do sprzedaży i numer do życia, zdjęcia publiczne i prywatność, obietnicę płatności i jej rzeczywistość na wyciągu z konta.
