Jeżeli rzekomy kupujący wysyła link, pod którym masz „odebrać pieniądze”, „potwierdzić sprzedaż” albo „zaakceptować kuriera”, przerwij tę ścieżkę. Nie wpisuj w formularzu danych karty, loginu do banku, kodu BLIK ani kodu z SMS-a. Sprawdź sprzedaż po samodzielnym otwarciu oficjalnej aplikacji lub strony platformy. Sam zrzut ekranu, wiadomość e-mail i zapewnienie kupującego nie potwierdzają zapłaty.
Dlaczego sprzedający staje się celem, skoro powinien otrzymać pieniądze?
Ten scenariusz wykorzystuje prostą zmianę perspektywy. Osoba wystawiająca rzecz spodziewa się wpływu, więc formularz z napisem „odbierz 250 zł” nie kojarzy się jej z płatnością wychodzącą. Oszust pisze często krótko po publikacji ogłoszenia, akceptuje cenę bez pytań i szybko przenosi rozmowę do WhatsAppa, Messengera, SMS-a albo poczty. Następnie twierdzi, że przesyłka została opłacona, lecz sprzedający musi wykonać ostatnią czynność. Link prowadzi do strony wykorzystującej logo platformy, przewoźnika lub operatora płatności. Taka witryna może wyglądać przekonująco również wtedy, gdy nie ma błędów językowych. Jej zadaniem nie jest przekazanie zapłaty, ale zebranie danych pozwalających zabrać pieniądze. Formularz może prosić o numer karty, datę ważności i kod CVV, a później o kod autoryzacyjny. Inny wariant pokazuje listę banków i otwiera fałszywy panel logowania. Bywa też, że pojawia się czat z rzekomym konsultantem, który tłumaczy kolejne żądania jako „weryfikację rachunku”. Po wpisaniu danych przestępca może próbować zalogować się do bankowości, podpiąć kartę do Apple Pay lub Google Pay, wykonać przelew albo wypłatę. To, że na ekranie widzisz kwotę należną za przedmiot, nie mówi nic o operacji zatwierdzanej w banku.
Ważne: kod z banku opisuje rzeczywistą operację. Jeżeli wiadomość mówi o dodaniu karty do portfela mobilnego, zmianie limitu, logowaniu na nowym urządzeniu albo przelewie, wpisanie kodu nie „odbiera zapłaty”. Zatwierdza wskazaną czynność.
Jak odróżnić prawdziwą sprzedaż od podstawionego procesu?
Nie oceniaj transakcji po wyglądzie wiadomości. Sprawdź ją drugim kanałem. Zamknij przesłany link, uruchom oficjalną aplikację z ikony telefonu albo samodzielnie wpisz adres platformy w przeglądarce i przejdź do zakładki ze sprzedażą, zamówieniami lub portfelem. Jeśli zakup rzeczywiście nastąpił w systemie, powinien pozostawić ślad na Twoim koncie: status zamówienia, dane wysyłki, instrukcję nadania lub informację o środkach. Brak takiego zdarzenia przy jednoczesnym „potwierdzeniu” na obcej stronie oznacza, że oglądasz dekorację przygotowaną przez nadawcę, a nie stan transakcji.
Na Vinted zarobek ze sprzedaży trafia do Portfela Vinted, a platforma zaleca, aby nie opuszczać jej na żadnym etapie transakcji. OLX radzi prowadzić rozmowę w swoim czacie i nie klikać zewnętrznych linków umożliwiających płatność. Szczegóły usług zmieniają się, dlatego nie należy zapamiętywać jednego wyglądu ekranu ani jednego operatora. Stabilna pozostaje zasada: kupujący nie powinien projektować Ci alternatywnej drogi odbioru środków poza funkcjami widocznymi na Twoim koncie platformy.
| Sygnał | Co może znaczyć | Bezpieczna kontrola |
|---|---|---|
| Prośba o e-mail lub numer telefonu | Próba przeniesienia kontaktu poza platformę | Pozostań w czacie serwisu i sprawdź, czy dane są w ogóle potrzebne |
| Link do odebrania pieniędzy | Phishing podszywający się pod platformę lub kuriera | Nie otwieraj linku, wejdź do aplikacji samodzielnie |
| Formularz danych karty | Próba przejęcia karty albo dodania jej do portfela mobilnego | Nie wpisuj numeru, daty ważności, CVV ani kodu bankowego |
| Dopłata 1 lub 2 zł | Pretekst do zebrania danych płatniczych lub logowania | Sprawdź należność wyłącznie w oficjalnej aplikacji |
| Zrzut ekranu z potwierdzeniem | Obraz może być zmieniony lub nie dotyczyć Twojej transakcji | Potwierdź status na własnym koncie, nie na obrazie kupującego |
| Presja na natychmiastową wysyłkę | Próba wysłania rzeczy bez otrzymania zapłaty | Nadaj paczkę dopiero według statusu i instrukcji platformy |
Czy sprzedający powinien podawać numer karty, kod BLIK albo logować się do banku?
Nie w formularzu przesłanym przez kupującego. Numer rachunku może być potrzebny platformie do wypłaty środków, lecz wprowadza się go w ustawieniach własnego konta lub portfela, po samodzielnym otwarciu oficjalnej usługi. To inna sytuacja niż podanie pełnych danych karty na stronie otrzymanej w rozmowie. Numer karty, data ważności i CVV służą przede wszystkim do obciążania karty. Nie stanowią rozsądnego zestawu danych, który obca osoba musi poznać, aby zapłacić sprzedającemu. Podobnie działa fałszywa „weryfikacja salda”. Żaden kupujący nie potrzebuje informacji, ile pieniędzy masz na rachunku. Prośba o wpisanie kwoty jest sygnałem, że przestępca chce dobrać wysokość obciążenia albo upewnić się, że atak jest opłacalny. Kod BLIK generowany w aplikacji banku także nie służy do przyjmowania zwykłego przelewu od nieznajomego. Jeżeli druga osoba prosi o kod, próbuje zainicjować płatność lub wypłatę z Twojego rachunku. W takim przypadku zastosuj procedurę opisaną w materiale Znajomy prosi o kod BLIK: jak sprawdzić wiadomość?.
Praktyczna wskazówka: zanim zatwierdzisz operację, przeczytaj cały komunikat banku, łącznie z kwotą, odbiorcą i rodzajem czynności. Nie porównuj go z obietnicą na stronie. Bank opisuje to, co rzeczywiście zostanie wykonane.
Co zrobić, gdy link został już otwarty?
Samo otwarcie strony i jej zamknięcie nie oznacza automatycznie, że przestępca uzyskał dostęp do rachunku. Ryzyko zależy od dalszych zdarzeń: wpisania danych, pobrania pliku, zgody na instalację aplikacji, udostępnienia ekranu lub zatwierdzenia operacji. Nie wracaj do strony, nie kontaktuj się z numerem podanym w formularzu i nie instaluj rzekomego modułu bezpieczeństwa. Zrób zrzuty wiadomości, zapisz adres strony oraz profil rozmówcy, a następnie zgłoś konto platformie. Podejrzaną witrynę można przekazać CERT Polska przez formularz incydent.cert.pl, a SMS zawierający złośliwy link przesłać na numer 8080. Jeśli wpisałeś hasło używane także w innym serwisie, zmień je najpierw w prawdziwej usłudze, a później wszędzie tam, gdzie zostało powtórzone. Zakończ aktywne sesje i włącz uwierzytelnianie dwuskładnikowe. Gdy strona przyjęła dane karty lub logowania do banku, nie czekaj na pierwsze obciążenie. Zadzwoń do banku numerem z aplikacji, strony wpisanej samodzielnie albo odwrotu karty. Poproś o zabezpieczenie bankowości i karty oraz sprawdzenie aktywnych urządzeń, odbiorców zaufanych, limitów i prób dodania karty do portfela mobilnego.
Po wpisaniu kodu autoryzacyjnego lub zaakceptowaniu powiadomienia push powiedz bankowi dokładnie, co zatwierdziłeś i o której godzinie. Nie ograniczaj opisu do stwierdzenia „kliknąłem link”, bo konsultant musi odróżnić ujawnienie danych od wykonanej operacji. Zastrzeżenie karty nie zawsze rozwiązuje problem, jeśli przestępca przejął również bankowość elektroniczną. Szczegółową kolejność zabezpieczenia kont znajdziesz w poradniku Kliknąłem podejrzany link lub podałem dane: co robić krok po kroku?.
Co jeśli pieniądze zniknęły albo paczka została już wysłana?
Skontaktuj się niezwłocznie z bankiem, zablokuj zagrożone instrumenty i zgłoś transakcje, których nie rozpoznajesz. Bank poprosi o informacje potrzebne do oceny, czy doszło do transakcji nieautoryzowanej, oszustwa przy autoryzacji czy przejęcia danych karty. Opisz fakty bez zgadywania: co wpisałeś, jaki komunikat widziałeś, jaki SMS otrzymałeś i którą czynność zaakceptowałeś. Zachowaj historię rozmowy, adres phishingowej strony, potwierdzenia bankowe, numer ogłoszenia i dane przesyłki. Materiały mogą być potrzebne bankowi, platformie, Policji lub prokuraturze. Jeżeli paczka nie została odebrana przez przewoźnika, skontaktuj się z nim oficjalnym kanałem i zapytaj o możliwość zatrzymania przesyłki. Gdy już trafiła w drogę, nadal zgłoś zdarzenie, lecz nie przyjmuj zapewnienia oszusta, że zapłata „zaraz się zaksięguje”. Nie płać też dodatkowej kwoty za anulowanie, zwolnienie blokady lub zwrot paczki. To może być druga faza tego samego wyłudzenia. Jeśli na rachunku pojawił się wcześniej niespodziewany wpływ, nie odsyłaj go zgodnie z instrukcją rozmówcy. Wyjaśnia to osobny materiał: Dostałem przelew od nieznajomej osoby i prośbę o zwrot: pomyłka czy oszustwo?.
Jak sprzedawać bezpiecznie bez zapamiętywania wszystkich metod oszustów?
Nowe wiadomości mogą używać innych nazw, grafik i pretekstów, lecz można sprowadzić je do jednej kontroli: czy kupujący próbuje sprawić, abym poza oficjalnym procesem ujawnił dane, zalogował się, zatwierdził operację albo zapłacił? Jeśli tak, zatrzymaj transakcję. Nie ma znaczenia, czy rozmówca powołuje się na kuriera, ochronę kupujących, limit czasu, pierwszą sprzedaż, konto firmowe czy zagraniczny bank. Żadna z tych opowieści nie zmienia funkcji danych karty i kodów bankowych.
Rozmowę prowadź w systemie platformy, bo pozostawia czytelniejszy zapis i pozwala zgłosić konto. Status sprawdzaj po niezależnym otwarciu aplikacji. Paczkę nadaj według instrukcji przypisanej do prawdziwego zamówienia, a nie etykiety pobranej z wiadomości od kupującego. Własnego adresu e-mail lub telefonu nie podawaj tylko dlatego, że rozmówca twierdzi, iż są potrzebne do płatności. Gdy funkcja serwisu rzeczywiście wymaga uzupełnienia danych, przejdź do jej ustawień samodzielnie.
Najczęstsze pytania o oszustwa na OLX, Vinted i Marketplace
Nie powinien potrzebować go do przeprowadzenia transakcji obsługiwanej przez platformę. Prośba o e-mail lub numer telefonu często służy przeniesieniu kontaktu poza serwis i wysłaniu phishingu. Jeśli platforma wymaga uzupełnienia danych konta, zrób to po samodzielnym wejściu do jej ustawień.
Nie podawaj numeru karty, daty ważności ani CVV na stronie przesłanej przez kupującego. Dane rachunku potrzebne do wypłaty uzupełnia się w oficjalnym koncie lub portfelu platformy, otwartym samodzielnie. Pełne dane karty umożliwiają jej obciążenie, a nie tylko odbiór pieniędzy.
Samo wyświetlenie strony nie przesądza o przejęciu konta. Ryzyko rośnie, jeśli pobrałeś plik, zainstalowałeś aplikację, udzieliłeś uprawnień albo wpisałeś dane. Zamknij stronę, zgłoś link platformie i CERT Polska, sprawdź pobrane pliki oraz obserwuj konto. Gdy pojawiło się nietypowe logowanie lub operacja bankowa, reaguj natychmiast.
Nie rozstrzygaj tego na podstawie wiadomości. Drobna dopłata jest częstym pretekstem do zebrania danych karty lub bankowości. Otwórz aplikację platformy albo przewoźnika samodzielnie i sprawdź, czy należność rzeczywiście istnieje. Nie korzystaj z linku od kupującego.
Zgłoś konto oraz rozmowę administratorom platformy. Podejrzaną stronę lub wiadomość można przesłać CERT Polska przez incydent.cert.pl, a SMS z linkiem na numer 8080. Jeśli ujawniłeś dane finansowe lub zatwierdziłeś operację, najpierw skontaktuj się z bankiem. Utratę pieniędzy albo próbę oszustwa zgłoś Policji lub prokuraturze, zachowując dowody.
Sprawdzamy
Źródła
Udostępnij artykuł
Preferowane źródła Google
Chcesz częściej trafiać na odpowiedzi Dociekliwie?
Dodaj Dociekliwie do swoich preferowanych źródeł Google.
