Najczęstsze oszustwa przy sprzedaży online i jak je rozpoznać

Oszustwa przy sprzedaży online nie polegają na kradzieży towaru — polegają na tym, że sprzedający sam wykonuje czynność, która go okrada. Wszystkie opisane niżej schematy mają ten sam cel: skłonić cię do kliknięcia w link, podania kodu albo wysłania paczki, zanim zdążysz sprawdzić konto. Poniżej sześć scenariuszy, po czym każdy z nich poznać i co zrobić, jeśli już się na niego nabrałeś.

Skala jest realna: CERT Polska obsłużył w 2025 roku 260 783 unikalne incydenty na podstawie 658 320 zgłoszeń, a 97 procent tych incydentów to oszustwa komputerowe — phishing, oszustwa inwestycyjne i inne wyłudzenia. Sama liczba oszustw komputerowych wzrosła w ciągu roku o 152 procent.

Co łączy wszystkie oszustwa przy sprzedaży online?

Ogłoszenia prywatne, czyli transakcje C2C, są dla oszustów atrakcyjne z jednego powodu: po drugiej stronie nie ma działu bezpieczeństwa, tylko osoba, która pierwszy raz w życiu sprzedaje rower. Każdy schemat opiera się na trzech elementach naraz: pośpiechu, przeniesieniu rozmowy poza serwis i prośbie o coś, czego uczciwa transakcja nie wymaga. Jeśli w rozmowie występują wszystkie trzy, nie musisz rozpoznawać konkretnego wariantu — wystarczy przerwać kontakt.

CERT Polska wymienia wśród sygnałów phishingu dokładnie te elementy: nietypowy kanał kontaktu i przeniesienie rozmowy na komunikator, prośbę o dane karty razem z kodem CVV, prośbę o kod BLIK, prośbę o kod autoryzacyjny z SMS-a „na potwierdzenie otrzymania środków" oraz presję czasu i emocji. Jedyny element, którego nie da się podrobić, to nazwa domeny w pasku adresu.

Zapamiętaj jedno zdanie, bo unieważnia większość schematów: sprzedający nigdy nie wykonuje żadnej czynności, żeby dostać pieniądze. Przelew przychodzi sam. Nie trzeba go odblokowywać, potwierdzać, aktywować ani odbierać przez link.

Schemat 1: fałszywy link do „odbioru środków"

To najczęstszy scenariusz na portalach ogłoszeniowych i jest opisany wprost przez CERT Polska. Przebieg wygląda tak: ktoś pisze do ciebie w sprawie ogłoszenia, kopiuje dane twojego przedmiotu i tworzy fałszywą stronę z podstawionym twoim ogłoszeniem. Twierdzi, że już zapłacił, a tobie zostaje tylko „odebrać środki na własne konto przez specjalną stronę". Link prowadzi do fałszywej bramki płatności, potem do fałszywego panelu logowania do bankowości, a na końcu do pola na kod autoryzacyjny z SMS-a. Efektem jest nieautoryzowany przelew albo przejęcie dostępu do konta.

Po czym poznasz: pojawia się link, przez który masz „odebrać" pieniądze. To wystarczy. Żadna platforma ogłoszeniowa ani bank nie odbiera pieniędzy w ten sposób.

Co zrobić: nie klikaj, zgłoś rozmowę do moderacji serwisu, a adres strony zgłoś do CERT Polska przez formularz na incydent.cert.pl. Domeny z takich zgłoszeń trafiają na Listę Ostrzeżeń, którą CERT Polska prowadzi od marca 2020 roku i na podstawie której operatorzy telekomunikacyjni blokują dostęp do stron. W 2025 roku trafiło na nią blisko 250 tysięcy domen.

Schemat 2: presja na wysyłkę przed zaksięgowaniem przelewu

Kupujący deklaruje, że „przelew już poszedł", i naciska, żebyś nadał paczkę jeszcze dziś, bo wyjeżdża, bo to prezent, bo kurier ma odbiór tylko do godziny piętnastej. Czasem dosyła zrzut ekranu z aplikacji banku albo plik PDF wyglądający jak potwierdzenie.

Policja opisuje sprawy, w których sprawca odbierał towar, okazując wygenerowane elektronicznie potwierdzenia przelewów. Zrzut ekranu i PDF to obrazy — nie mają żadnej mocy dowodowej i nie oznaczają, że jakikolwiek przelew istnieje.

Po czym poznasz: dowodem wpłaty ma być plik albo zdjęcie zamiast wpisu na twoim koncie. Do tego dochodzi termin, który wymyślił kupujący.

Co zrobić: odpowiedz, że wysyłasz po zaksięgowaniu, i sprawdź saldo w aplikacji banku, nie w wiadomości. Uczciwy kupujący poczeka jeden dzień. Więcej o właściwej kolejności czynności piszemy w poradniku o bezpiecznej wysyłce i odbiorze.

Schemat 3: przeniesienie rozmowy na komunikator poza serwisem

Zaraz po pierwszej wiadomości pojawia się prośba: „napisz do mnie na WhatsAppie", „podaj numer, zadzwonię". Powód brzmi zwyczajnie — rzadziej zaglądam na portal, wygodniej mi.

CERT Polska zaleca wprost: unikaj przenoszenia komunikacji poza oficjalne kanały serwisu. Powód jest prosty. Poza serwisem znika historia rozmowy, znika możliwość zgłoszenia konta do moderacji, a ty przekazujesz numer telefonu, który staje się punktem zaczepienia do kolejnych prób — SMS-ów z linkami i telefonów „z banku".

Po czym poznasz: prośba o zmianę kanału pada, zanim padnie jakiekolwiek pytanie o przedmiot.

Co zrobić: prowadź rozmowę tam, gdzie się zaczęła. W Denwi cała korespondencja idzie przez wbudowany czat i nie musisz przy tym podawać numeru telefonu — do ustalenia ceny i terminu odbioru numer nie jest potrzebny.

Schemat 4: prośba o dane albo zdjęcie dokumentu tożsamości

Kupujący prosi o zdjęcie dowodu osobistego „do weryfikacji", „bo taki mamy wymóg przy płatności", „żeby kurier wydał paczkę". Nikt z drugiej strony transakcji nie ma podstawy, żeby o to prosić.

Dane z dokumentu wpisuje się do umowy kupna-sprzedaży, gdy strony ją zawierają i pokazują sobie dokumenty przy podpisaniu — to zupełnie inna sytuacja niż wysłanie skanu nieznanej osobie. Urząd Ochrony Danych Osobowych stoi na stanowisku, że kopiowanie dowodu osobistego jest dopuszczalne wyjątkowo, tylko gdy pozwalają na to przepisy i po ocenie, czy jest naprawdę niezbędne. Sprzedaż roweru takim przypadkiem nie jest.

Po czym poznasz: prośba o dokument pojawia się w kanale, w którym nie da się jej zweryfikować, i towarzyszy jej uzasadnienie odwołujące się do rzekomych wymogów „systemu".

Co zrobić: odmów. Jeśli dane już wysłałeś — zastrzeż numer PESEL. Usługa jest bezpłatna i dostępna w aplikacji mObywatel, na mobywatel.gov.pl oraz w dowolnym urzędzie gminy. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać, czy numer PESEL jest zastrzeżony, a jeśli mimo zastrzeżenia udzielą pożyczki na skradzione dane, poszkodowany nie odpowiada za powstałe zadłużenie.

Schemat 5: prośba o kod BLIK „na potwierdzenie"

Ten wariant bywa łączony z każdym z poprzednich. Kupujący prosi o wygenerowanie kodu BLIK — rzekomo po to, żeby „potwierdzić nadanie przesyłki", „zweryfikować konto" albo „odebrać przelew".

Kodem BLIK można zapłacić albo wypłacić gotówkę. Nie da się nim niczego przyjąć. Każda prośba o kod BLIK od kupującego jest więc prośbą o wypłatę pieniędzy z twojego konta — i tak opisuje ją wspólna kampania Związku Banków Polskich i Policji, której hasłem jest apel o nieudostępnianie nikomu swojego kodu BLIK.

Po czym poznasz: ktoś prosi cię o kod, żeby ci coś dać. To sprzeczność sama w sobie.

Co zrobić: nie generuj kodu i nie zatwierdzaj żadnego powiadomienia w aplikacji banku. Jeśli kod już podałeś, natychmiast zadzwoń na infolinię banku i zablokuj BLIK.

Schemat 6: oszustwo „na kuriera"

SMS albo e-mail wygląda jak wiadomość od firmy kurierskiej: przesyłka czeka, brakuje dopłaty, trzeba potwierdzić dostawę. Link prowadzi na stronę do złudzenia przypominającą serwis kurierski, gdzie pojawia się formularz na dane karty albo dane logowania do bankowości. Policja opisuje ten schemat wspólnie z bankami w kampanii „Fałszywy Kurier".

W wersji skierowanej do sprzedających kupujący sam „wysyła link do kuriera" i prosi o podanie danych karty albo o kod BLIK „potwierdzający nadanie przesyłki". Kody są wykorzystywane natychmiast.

Po czym poznasz: wiadomość o przesyłce, której nie zamawiałeś, albo dopłata do paczki, którą sam nadajesz. Adres w pasku przeglądarki nie zgadza się z domeną przewoźnika.

Co zrobić: nie klikaj w link z wiadomości — wejdź na stronę przewoźnika, wpisując adres ręcznie, i sprawdź numer przesyłki tam. Podejrzanego SMS-a przekaż bezpłatnie na numer 8080, który CERT Polska uruchomił 22 listopada 2023 roku; najlepiej funkcją „przekaż dalej", żeby wiadomość zachowała oryginalną postać.

Tabela: sygnał ostrzegawczy, znaczenie, reakcja

Co zrobić, jeśli już straciłeś pieniądze?

Kolejność ma znaczenie i zależy od tego, co dokładnie się stało.

Jeśli ktoś obciążył twoje konto bez twojej zgody — po przechwyceniu danych logowania albo kodu — to jest transakcja nieautoryzowana. Zgłoś ją w banku najszybciej, jak potrafisz. UOKiK przypomina, że bank powinien zwrócić kwotę takiej transakcji w terminie jednego dnia roboczego, a na powiadomienie masz maksymalnie 13 miesięcy od dnia obciążenia rachunku — po tym terminie roszczenia wygasają. Nie czekaj jednak do granicy terminu: im później zgłoszenie, tym trudniej cokolwiek odzyskać.

Jeśli sam zleciłeś przelew, bo zostałeś wprowadzony w błąd, sytuacja prawna jest inna: to nie jest transakcja nieautoryzowana, tylko oszustwo w rozumieniu Kodeksu karnego. Bank i tak zawiadom — tylko on może spróbować zatrzymać środki po drodze — ale główną ścieżką jest zawiadomienie o przestępstwie. Warto wiedzieć, że zlecenia płatniczego nie da się cofnąć jednostronnie: ustawa o usługach płatniczych stanowi, że użytkownik nie może odwołać zlecenia od chwili jego otrzymania przez bank, a późniejsze odwołanie wymaga porozumienia z bankiem, a przy przelewie do innej osoby — także jej zgody.

Zawiadomienie o przestępstwie złożysz w dowolnej jednostce Policji lub w prokuraturze, osobiście albo pisemnie. Usługa jest bezpłatna. Opisz, co się stało, kiedy i gdzie, i dołącz wszystko, co masz: zrzuty rozmowy, numer konta, adres strony, numer przesyłki.

Zgłoszenie do CERT Polska przez incydent.cert.pl zajmuje kilka minut i działa profilaktycznie — fałszywa domena trafia na Listę Ostrzeżeń i przestaje być dostępna dla kolejnych osób. Domena pozostaje na liście przez sześć miesięcy, a jeśli nadal jest groźna, wpisywana jest ponownie.

Zastrzeżenie numeru PESEL ma sens zawsze, gdy oszust dostał twoje dane osobowe albo dokument.

Jak ograniczyć ryzyko, zanim ktoś do ciebie napisze?

Najwięcej daje sposób prowadzenia rozmowy, nie technika. Trzymaj korespondencję w czacie serwisu i nie podawaj numeru telefonu, dopóki nie ustalisz konkretów odbioru — w Denwi rozmowa przez wbudowany czat nie wymaga ujawniania numeru. Zgłaszaj podejrzane konta i wiadomości do moderacji, bo to jedyny sposób, żeby serwis mógł zareagować. A jeżeli ktoś prosi cię o rzecz, której nie rozumiesz — nie rozumiesz jej dlatego, że nie ma sensu.

Warto też zawczasu wiedzieć, jak wygląda uczciwy przebieg transakcji: opisujemy go w poradniku o bezpiecznej wysyłce i odbiorze, a to, co masz napisać w samej ofercie, żeby nie prowokować niepotrzebnych pytań — w poradniku o zdjęciach i opisie. Jeżeli natomiast interesuje cię, jak wygląda odpowiedzialność sprzedawcy prywatnego po sprzedaży, przeczytaj o rękojmi i podatku.

Wątpliwości dotyczące działania serwisu wyjaśnisz w centrum pomocy, a ofertę opublikujesz przez darmowe ogłoszenia.