„Wystawiłem rower o 14:00. O 14:40 miałem już SMS-a od kupującego. Pomyślałem: świetnie.”
To nie był kupujący. To był bot, a dokładniej niewielka ekipa wyposażona w narzędzia, które nieprzerwanie monitorują nowe ogłoszenia. Sprzedaż między osobami prywatnymi stała się jednym z najbardziej dochodowych pól smishingu, bo łączy trzy składniki, które oszuści uwielbiają: osobę, która czeka na kontakt, zaplanowaną transakcję pieniężną oraz numer telefonu, często widoczny albo łatwy do zdobycia.
Szczególną cechą tych oszustw jest to, że nie przypominają klasycznego fałszywego SMS-a. Nie ma rażących błędów ortograficznych ani groźby zablokowania konta. Jest uprzejma, wiarygodna wiadomość, która przychodzi dokładnie w momencie, w którym na nią liczysz. To właśnie ten timing wykonuje całą pracę.
Jak Twój numer trafia w ich ręce
Sam go wyświetliłeś
Na Leboncoin wyświetlanie numeru pozostaje bardzo chętnie wykorzystywaną opcją, zwłaszcza przy sprzedaży lokalnej (meble, sprzęt AGD, samochody). Wielu sprzedających włącza ją, myśląc, że „odsieje ciekawskich”. W praktyce sprawia to, że numer jest czytelny dla każdego odwiedzającego — człowieka albo automatu. Skrypty przeglądają najnowsze ogłoszenia w danej kategorii i regionie, wyciągają wyświetlone numery i układają je w świeżą, doskonale sprofilowaną listę: ci ludzie coś sprzedają, i to teraz.
Wpisałeś go w treści albo na zdjęciu
Klasyk: „Dzwoń pod 06 XX…, będzie szybciej”. Niektórzy wpisują go nawet na zdjęciu, licząc, że umkną botom. Narzędzia do rozpoznawania tekstu na obrazach stały się banalnie dostępne; ta ostrożność już dawno przed niczym nie chroni.
Podałeś go na czacie wewnętrznym
To najczęstszy punkt zwrotny. Rozmowa zaczyna się poprawnie w komunikatorze platformy, a potem rozmówca proponuje, żeby „przejść na SMS-y, będzie prościej”. Podajesz numer i wychodzisz z jedynego środowiska, w którym platforma potrafi wykryć podejrzane wiadomości, zachować ślady i zawiesić konto.
Wyciągnięcie Cię z komunikatora wewnętrznego to dokładnie cel oszusta. Wszystko inne jest już tego konsekwencją.
Cztery scenariusze, które powtarzają się najczęściej w 2026 roku
1. Fałszywa płatność „zablokowana do potwierdzenia”
Dostajesz SMS-a z informacją, że płatność została wykonana i zostanie odblokowana dopiero po Twoim działaniu: potwierdzeniu konta, zatwierdzeniu adresu dostawy, opłaceniu „kosztów ochrony transakcji”. Do wiadomości dołączony jest link, który prowadzi na stronę wiernie imitującą interfejs platformy albo serwisu płatniczego.
Strona prosi albo o dane logowania, albo — co gorsza — o numer karty płatniczej, „żeby otrzymać środki”. Sprzedający nigdy nie musi podawać karty, aby przyjąć pieniądze. Już sama ta zasada neutralizuje większość prób.
2. Link do „dostawy do domu” przysłany przez rzekomego kupującego
Kupujący tłumaczy, że mieszka daleko, że korzysta z firmy kurierskiej, i przysyła SMS-em link do „zorganizowania odbioru”. Strona odtwarza wygląd znanego przewoźnika i żąda danych bankowych, aby „zwrócić Ci koszty przesyłki”. Te fałszywe strony kurierskie są coraz bardziej dopracowane, odkąd oszuści korzystają z automatycznych generatorów stron.
3. Nadpłata do zwrotu
Scenariusz bardziej rzemieślniczy, ale zabójczo skuteczny: kupujący twierdzi, że przelał 800 € zamiast 80 €, dołącza zrzut ekranu przelewu i prosi o zwrot różnicy „szybko, to pieniądze na czynsz”. Zrzut jest sfabrykowany, przelew nie istnieje, a pieniądze, które odsyłasz, są jak najbardziej prawdziwe. Zgłoszenia tego typu regularnie pojawiają się w materiałach Cybermalveillance.gouv.fr wśród klasycznych oszustw przy sprzedaży między osobami prywatnymi.
4. Kod weryfikacyjny wyłudzany „na dowód, że nie jesteś botem”
Rozmówca zapowiada, że wyśle Ci sześciocyfrowy kod, i prosi o jego przekazanie. W rzeczywistości zakłada w tym momencie konto (poczta, serwis płatniczy, platforma ogłoszeniowa), używając Twojego numeru jako numeru weryfikacyjnego. Kod, który przychodzi na Twój telefon, nie ma nic wspólnego z kupującym: to klucz do konta otwartego na Twoje nazwisko.
Żaden uczciwy kupujący, na żadnej platformie, nie potrzebuje kodu otrzymanego na Twój telefon. Żaden. To najbardziej niezawodny sygnał alarmowy w całej sprzedaży internetowej.
Dlaczego te SMS-y działają, choć inne zawodzą
Klasyczny smishing bankowy gra na strachu. Oszustwo przy sprzedaży gra na czymś innym: na oczekiwaniu i na uprzejmości.
Kiedy sprzedajemy przedmiot, jesteśmy stroną proszącą. Liczymy na kontakt, boimy się, że ogłoszenie nigdy nie znajdzie odbiorcy, chcemy pokazać, że jesteśmy dyspozycyjni i skłonni do ustępstw. Kupujący, który pisze: „Dzień dobry, czy przedmiot jest jeszcze dostępny? Mieszkam w Lille, mogę zamówić kuriera, płacę od razu”, odhacza wszystkie punkty listy ulgi.
Dochodzi do tego fakt, że kanał SMS nie pokazuje żadnych wskaźników zaufania. Brak pełnego adresu nadawcy, brak profilu, brak historii, brak ocen. Zwykły numer zaczynający się od 06 albo 07 — albo alfanumeryczna nazwa nadawcy, gdy oszust korzysta z profesjonalnej bramki SMS, co pozwala mu wyświetlić „DOSTAWA” lub nazwę platformy w miejsce numeru.
Tabela sygnałów ostrzegawczych
| Co mówi wiadomość | Co to naprawdę znaczy |
|---|---|
| „Przejdźmy na SMS-y / WhatsAppa, tak będzie wygodniej” | Wyjście z komunikatora, który zapisuje ślady |
| „Płatność oczekuje, potwierdź pod tym linkiem” | Strona phishingowa |
| „Podaj kartę, żeby otrzymać środki” | Zbieranie danych bankowych |
| „Przelałem za dużo, zwróć mi nadpłatę” | Fałszywy przelew, prawdziwa strata |
| „Podaj mi kod, który właśnie dostałeś” | Przejęcie konta |
| „Mój kurier potrzebuje Twoich danych” | Fałszywa strona dostawy |
| „Spieszę się, jutro wyjeżdżam w delegację” | Sztuczna presja czasu |
Jak sprzedawać, nie wystawiając swojego numeru: metoda
Prowadź rozmowę tam, gdzie się zaczęła
Dopóki wymiana wiadomości pozostaje w komunikatorze platformy, zachowujesz historię, na którą można się powołać, a platforma może interweniować. Poważny kupujący, który mieszka 15 km dalej, nie ma żadnego powodu, by odmówić pozostania tam aż do ustalania terminu spotkania.
Nie wyświetlaj numeru w ogłoszeniu
Jeśli sprzedaż jest lokalna, spotkanie da się bez problemu ustalić przez komunikator. Numer przekazuje się dopiero w ostatniej chwili, zidentyfikowanej osobie, na potrzeby logistyki w dniu odbioru.
Używaj drugiego numeru do sprzedaży
Dla osób, które sprzedają regularnie, drugi, dedykowany numer rozwiązuje problem u źródła. W zupełności wystarczy karta SIM prepaid bez umowy: działa jak adres jednorazowy, a w dniu, w którym zostanie zalana oszukańczymi SMS-ami, wymienia się ją, nie tykając numeru głównego. Telefony z dwiema kartami SIM czynią ten zabieg całkowicie bezbolesnym.
Rób zdjęcia, nie ujawniając adresu
Zdjęcie przedmiotu zrobione w salonie z oknem wychodzącym na tablicę z nazwą ulicy, list leżący na stole, czytelny kluczyk do samochodu: takie szczegóły ułatwiają namierzenie. Neutralne tło zmienia wszystko, a niewielkie składane tło fotograficzne do zdjęć przedmiotów — albo po prostu naciągnięte prześcieradło — wystarczy, by mieć czyste ogłoszenia, które zresztą sprzedają się lepiej.
Sprawdzaj płatności u źródła, nigdy przez SMS
Jedyna weryfikacja, która ma wartość, to ta, którą inicjujesz Ty: otwarcie aplikacji bankowej albo aplikacji platformy, własnymi środkami, bez klikania w cokolwiek. Prawdziwa płatność widnieje w aplikacji. Fikcyjna istnieje tylko w SMS-ie.
Moment przekazania z rąk do rąk
Sprzedaż lokalna ma swoje własne ryzyka, odrębne od smishingu, ale często wywołane tą samą korespondencją.
- Wybierz miejsce publiczne i uczęszczane. Parking supermarketu w ciągu dnia, hala dworcowa, komisariat w przypadku wartościowych przedmiotów: część komisariatów i posterunków oficjalnie udostępnia swoje otoczenie jako punkty wymiany.
- Nie zapraszaj nieznajomego do domu, jeśli przedmiot można przenieść. Jeśli chodzi o mebel — niech ktoś Ci towarzyszy.
- Sprawdzaj banknoty przy większych kwotach. Marker do wykrywania fałszywych banknotów kosztuje kilka euro i oszczędza bardzo nieprzyjemnego wieczoru; przy samochodzie albo sprzęcie profesjonalnym jedyną pewną metodą pozostaje przelew natychmiastowy sprawdzony na własnym telefonie.
- Odrzucaj niesprawdzony czek bankowy. Fałszywe czeki bankowe wciąż krążą; weryfikację przeprowadza się w oddziale, który go wystawił, dzwoniąc pod numer znaleziony samodzielnie.
Wysyłka: drugie martwe pole
Kiedy przedmiot jedzie paczką, pojawiają się dwa ryzyka.
Pierwsze to sfabrykowany spór: kupujący zgłasza, że otrzymał pustą paczkę albo uszkodzony przedmiot. Jedyną skuteczną zaporą jest dowód. Sfotografuj przedmiot, jego numer seryjny, otwarte, a potem zamknięte opakowanie, i zachowaj potwierdzenie nadania. Cyfrowa waga kuchenna pozwala też zanotować dokładną wagę paczki przed wysyłką: rozbieżność między wagą zadeklarowaną przy nadaniu i tą podawaną w reklamacji to bardzo mocny argument.
Drugie to fałszywy SMS o statusie przesyłki. Po wysłaniu paczki zarówno sprzedający, jak i kupujący dostają prawdziwe powiadomienia o śledzeniu — co tworzy idealny grunt do podrzucenia fałszywki. Kampanie fałszywych SMS-ów o dostawie rok po roku pozostają najczęściej zgłaszaną kategorią smishingu we Francji. Zasada się nie zmienia: żadnych linków w SMS-ie o przesyłce; otwiera się aplikację przewoźnika albo wkleja numer przesyłki na oficjalnej stronie.
Co robić, gdy już się stało
Jeśli podałeś dane bankowe
- Natychmiast zadzwoń pod numer zastrzegania karty w swoim banku albo pod międzybankowy serwer zgłaszania utraty i kradzieży: 0 892 705 705.
- Zastrzeż kartę i monitoruj operacje.
- Złóż zawiadomienie, zachowując zrzuty ekranu SMS-ów i odwiedzonych stron.
- Zakwestionuj nieautoryzowane operacje: francuski kodeks monetarny i finansowy przewiduje zwrot nieautoryzowanych płatności, o ile nie doszło do rażącego zaniedbania z Twojej strony. Tym bardziej nigdy nie zatwierdzaj powiadomienia uwierzytelniającego w aplikacji bankowej.
Jeśli przekazałeś kod weryfikacyjny
Powiązane konto trzeba odzyskać bez zwlekania: zmiana hasła, wylogowanie ze wszystkich sesji, sprawdzenie zapisanych numerów i adresów awaryjnych. Jeśli kod dotyczył platformy płatniczej, skontaktuj się z jej wsparciem, aby zgłosić oszukańcze założenie konta.
W każdym przypadku
- Zgłoś numer nadawcy, przekazując wiadomość na 33700 (bezpłatna usługa operatorów).
- Zgłoś ogłoszenie i profil na odpowiedniej platformie.
- Zgłoś phishing na platformie Phishing Initiative albo przez Cybermalveillance.gouv.fr, która wskaże również właściwe dalsze kroki.
- W przypadku dokonanego oszustwa bankowego platforma Perceval umożliwia zgłoszenie online oszukańczego użycia karty.
Pięć minut przygotowań przed publikacją
Przed wystawieniem ogłoszenia krótka rutyna znacznie zmniejsza ekspozycję:
- Ukryj numer telefonu w opcjach ogłoszenia.
- Przeczytaj jeszcze raz treść i przejrzyj zdjęcia, sprawdzając, czy nie widać żadnego numeru, adresu, tablicy rejestracyjnej ani dokumentu.
- Zdecyduj z góry, jaką formę płatności przyjmujesz, i trzymaj się tego niezależnie od otrzymanych propozycji.
- Pamiętaj, że przedłużająca się sprzedaż kosztuje czas, nigdy pieniądze — natomiast pospieszna sprzedaż może kosztować jedno i drugie.
Osobom, które sprzedają dużo, zeszyt do prowadzenia rejestru sprzedaży — choćby zwykły brulion — pomaga zachować ślad dat, kwot i numerów przesyłek. W dobie aplikacji wydaje się to przeżytkiem, ale to właśnie ten dokument szuka się wtedy, gdy spór pojawia się sześć tygodni później.
Sprzedaż między osobami prywatnymi pozostaje praktyką zdrową, użyteczną i powszechnie stosowaną. Zmieniło się jedynie to, że kanał SMS stał się w niej furtką dla oszustw, a nie po prostu narzędziem kontaktu. Obrona nie wymaga ani kompetencji technicznych, ani nieustannej podejrzliwości: opiera się na jednej zasadzie — trzymać transakcję w przestrzeni, w której można ją zweryfikować, i traktować każdą wiadomość, która chce Cię z niej wyciągnąć, jako z założenia podejrzaną.
