Prawdziwy przedmiot, dane sprzedającego i strona podobna do OLX. Wszystko ma doprowadzić ofiarę do podrobionej bankowości elektronicznej.
Wystawiasz używany telefon, rower albo mebel na OLX. Niedługo później dostajesz SMS z informacją, iż konto wymaga weryfikacji. Klikasz, a na stronie widzisz dokładnie swój przedmiot i własne dane. Wszystko wygląda więc tak, jakby wiadomość faktycznie przyszła od OLX. To właśnie najważniejszy element nowej kampanii phishingowej. Oszuści kopiują prawdziwe ogłoszenie, żeby uśpić czujność, a kilka ekranów dalej podstawiają fałszywą stronę twojego banku.
Tym razem nikt nie chce kupić twojej kanapy
Stare oszustwo na OLX zdążyło się już mocno opatrzyć. Wystawiasz przedmiot, kilka minut później odzywa się wyjątkowo zdecydowany kupujący, który nie negocjuje ceny, nie zadaje pytań i już podobno zapłacił. Trzeba tylko kliknąć link, żeby odebrać pieniądze.
Na Spider’s Web sprawdzaliśmy to choćby na własnej skórze. Po wystawieniu przedmiotu pierwsi oszuści pojawili się po około 5 min. Nowa metoda usuwa jednak najbardziej podejrzany element całej historii: fikcyjnego kupującego.
Zamiast niego na telefon przychodzi zwykły SMS dotyczący rzekomej weryfikacji konta. Wiadomości obserwowane w ostatniej kampanii najczęściej miały nadawcę Verify, choć trafiały się również zwykłe numery telefonów.
Nie ma śmiesznej opowieści o kurierze, nie ma informacji, iż ktoś już przelał pieniądze, nie ma choćby szczególnej presji. Wygląda to raczej jak zwykły komunikat administracyjny, który chce się gwałtownie odhaczyć.
Klikasz i widzisz własne ogłoszenie
Link prowadzi do witryny podszywającej się pod OLX. W obserwowanej kampanii adres zawierał fragment z nazwą serwisu oraz ciąg 9 cyfr. Najważniejsze pojawia się jednak po otwarciu strony. Nie widzimy uniwersalnej makiety z przypadkowym telefonem czy rowerem. Strona jest kopią rzeczywistego ogłoszenia przypisanego do ofiary. Zgadza się wystawiony przedmiot, a na stronie pojawiają się również informacje dotyczące sprzedającego.
To bardzo skuteczna sztuczka psychologiczna. o ile SMS informuje o problemie z kontem, klikamy link, a na stronie rzeczywiście pojawia się nasza oferta sprzed kilku chwil, mózg dostaje mocne potwierdzenie: skoro wiedzą, co właśnie wystawiłem, to musi być OLX. Nie musi.
Samo skopiowanie ogłoszenia nie jest tak naprawdę szczególnie trudną operacją techniczną. Duża część jego treści musi przecież być publicznie dostępna, żeby potencjalni kupujący mogli ofertę zobaczyć. Nie wiadomo natomiast, w jaki dokładnie sposób operatorzy obecnej kampanii budują bazę ofiar i wiążą konkretne ogłoszenia z numerami, na które wysyłają wiadomości. Nie ma też żadnych podstaw, aby z tej kampanii wyciągać wniosek o wycieku bazy danych OLX.
Potem zaczyna się weryfikacja
Fałszywa strona nie próbuje od razu wyciągnąć naszego hasła do banku. Najpierw pojawia się panel wyglądający jak internetowa pomoc. Język jest spokojny, komunikaty dotyczą bezpieczeństwa, a użytkownik jest przeprowadzany przez kolejne kroki rzekomej weryfikacji. Na początku formularz prosi o dane osobowe.
Później trzeba wybrać sposób potwierdzenia tożsamości. Problem w tym, iż działa tylko jedna możliwość: konto bankowe. Po wskazaniu banku użytkownik trafia na kolejną kopię, tym razem strony logowania do swojej prawdziwej bankowości elektronicznej. Wpisany login i hasło nie idą oczywiście do banku. Dostają je przestępcy. Ci mogą w tym samym momencie spróbować zalogować się na prawdziwe konto ofiary.
Do pełnego dostępu zwykle potrzebny pozostało drugi składnik uwierzytelnienia. Oszuści próbują więc skłonić użytkownika do podania kodu z SMS-a albo zaakceptowania operacji w aplikacji bankowej. o ile to się uda, następny ekran może już nie być atrapą. Przestępca naprawdę siedzi na koncie bankowym.
Własne ogłoszenie nie pozostało dowodem autentyczności
Przez lata powtarzaliśmy, żeby uważać na strony pełne literówek, kiepskie kopie serwisów i wiadomości, które nie wiedzą o nas nic. Oszuści coraz skuteczniej eliminują właśnie takie sygnały ostrzegawcze. Fałszywa witryna może znać twoje imię. Może pokazać zdjęcia, które sam zrobiłeś. Może podać cenę wystawionego przez ciebie przedmiotu i wyświetlić jego dokładny opis. Żadna z tych rzeczy nie dowodzi, iż odwiedzasz prawdziwy OLX.
Cyberprzestępcy wykorzystują informacje, które sami publikujemy w internecie, jako element uwierzytelniający oszustwo. Podobny mechanizm coraz częściej pojawia się zresztą poza portalami ogłoszeniowymi: przestępcy potrafią wykorzystywać prawdziwe dane ofiary, żeby fałszywa wiadomość wyglądała znacznie bardziej wiarygodnie. W tym przypadku czerwona lampka powinna zapalić się najpóźniej przy żądaniu danych do bankowości.
OLX może wysłać SMS. To czyni pułapkę jeszcze lepszą
Całą sprawę komplikuje jeszcze jeden szczegół. Sama weryfikacja przez SMS nie jest wymyśloną procedurą. OLX rzeczywiście wykorzystuje numer telefonu do weryfikowania kont. Tyle iż prawidłowy proces nie polega na otrzymaniu niespodziewanej wiadomości prowadzącej przez zewnętrzną witrynę do logowania w banku.
OLX od lat powtarza również bardzo prostą zasadę: pracownik serwisu nie potrzebuje hasła do bankowości, kodu BLIK ani kodu SMS służącego do zatwierdzania operacji bankowej. Problemy z kontem najlepiej weryfikować po samodzielnym uruchomieniu aplikacji albo wpisaniu adresu OLX w przeglądarce, zamiast korzystać z linku dostarczonego w wiadomości. o ile strona rzekomego portalu ogłoszeniowego nagle chce, żebyśmy zalogowali się do banku w celu potwierdzenia swojej tożsamości, nie ma już czego sprawdzać. Zamykamy ją.
To nie jest zupełnie nowy pomysł. Nowa jest jego jakość
Fałszywe witryny OLX pokazujące szczegóły ogłoszeń obserwowano już wcześniej. CERT Polska opisywał podobne strony w swoim podsumowaniu z marca 2026 r. Nowa kampania wyróżnia się jednak sposobem podania całej historii.
Jeszcze w 2024 r. przy sprzedaży na OLX pisaliśmy o tym, iż kilkanaście minut po dodaniu ogłoszenia można dostać kilka wiadomości od oszustów, które są bardzo często nachalne, opierają się na fikcyjnym zakupie i gwałtownie próbują wyprowadzić rozmowę poza platformę. Teraz może nie odezwać się żaden kupujący. Zamiast tego przyjdzie nudny SMS z Verify, a strona pokaże prawdziwy przedmiot, który właśnie wystawiliśmy.
Tak właśnie niestety dojrzewa phishing. Coraz rzadziej chodzi o stworzenie jednej idealnej fałszywej strony. Liczy się cały scenariusz, w którym każdy kolejny ekran ma odpowiadać temu, czego ofiara spodziewa się zobaczyć. A własne zdjęcie, własny opis i własna cena produktu mogą przekonywać lepiej, niż najbardziej dopracowane logo OLX.
*Źródło grafiki wprowadzającej: Evgeniy Alyoshin, Getty Images, Canva Pro / Canva Pro
