Najpopularniejsze oszustwa 2026: od kuriera po deepfake’i bankowców. Jak się bronić?

Internetowe oszustwa przestały być grubo ciosanymi przekrętami na „nigeryjskiego księcia”. W 2026 roku przestępcy mogą brzmieć jak członek twojej rodziny. Potrafią tworzyć strony WWW tak wiarygodne, że wyglądają jak witryny poważnych instytucji. Szacują, kiedy dostajesz paczki i udają firmę kurierską. Przejmują konta znajomych, po czym proszą o BLIK-a. Nawet odchodząc od laptopa nie jesteśmy bezpieczni, bo kod QR na przystanku czy parkomacie może prowadzić do infekcji smartfonu lub kradzieży pieniędzy.

Niestety, owoce postępu technologicznego bywają wykorzystywane w niegodziwy sposób. Dlatego warto regularnie odświeżać wiedzę na temat tego, jakich oszustw dopuszczają się przestępcy. Zagrożony jest bowiem każdy. Nie tylko senior, ale też czujący się w sieci jak ryba w wodzie nastolatek. Współczesne narzędzia oszustów są bowiem w stanie nabrać wszystkich, niezależnie od wieku, płci czy profesji.

Dlatego, razem z analitykami cyberzagrożeń z ESET, przygotowaliśmy dla was listę najpopularniejszych oszustw w 2026 roku. Po tej lekturze przestępcom będzie znacznie trudniej was nabrać, nawet korzystając z najnowocześniejszych narzędzi napędzanych sztuczną inteligencją:

Przejęcie konta na platformach społecznościowych to nic trudnego. Niestety, oszuści rzadko na tym poprzestają. Następnym krokiem jest wysłanie wiadomości do znajomych, prosząc o drobną pożyczkę, często w formie wygodnego BLIK-a. Oczywiście dostajemy obietnicę, że kolega lada dzień zwróci pieniądze. Nigdy ich nie widzimy, a odzyskanie konta przez znajomego może trwać miesiące.

W dobie sztucznej inteligencji wiadomości wysyłane do nas z przejętych kont mogą być niezwykle wiarygodne. Przykładowo, oszust może wkleić historię naszej rozmowy chatbotowi AI, a następnie poprosić, aby model językowy poprosił o pożyczkę z zachowaniem stylu rozmówcy, wplatając w to wiarygodny kontekst osobisty. Na przykład wizytę u mechanika, o której rozmawialiśmy kilka dni temu, jeszcze przed przejęciem profilu.

W takiej sytuacji warto zadzwonić do znajomego. Szansa, że oszust przejął jednocześnie jego konto społecznościowe oraz numer telefonu, nie jest duża. Dobry kolega na pewno zrozumie nasze obawy. No i zawsze to okazja do pogawędki.

Kody QR stały się częścią naszego życia. Za ich pośrednictwem kasujemy bilety w komunikacji miejskiej, sprawdzamy menu w restauracjach czy oceniamy odwiedzane miejsca. Przyzwyczailiśmy się do tych praktycznych kwadratów, co niestety zaczynają wykorzystywać oszuści.

Fałszywe kody QR zaczynają się pojawiać w miejscach publicznych takich jak przystanki, parkingi czy słupy ogłoszeniowe. Czyli wszędzie tam, gdzie się ich spodziewamy i gdzie naklejenie takiego kodu jest banalnie proste. Po zeskanowaniu fałszywego kodu jesteśmy odsyłani do fikcyjnych stron udających np. witryny od płatności za parking lub zakup biletów. Tam oszuści próbują wyłudzić wrażliwe informacje, hasła lub dane płatnicze. Nasze smartfony mogą także zostać zainfekowane złośliwym oprogramowaniem.

Kody QR potrafią być niezwykle groźnym narzędziem oszustów, ponieważ nie sposób ocenić ich autentyczności na podstawie kwadratowego symbolu. Dlatego trzeba zachować szczególną uwagę podczas skanowania. Należy zwracać uwagę, dokąd prowadzą, przyglądając się adresowi URL. Pamiętajmy - nasza wygoda nigdy nie powinna być realizowana kosztem naszego bezpieczeństwa.

Dzwonek do drzwi. Dobrze znany kurier wręcza ci paczkę, chociaż niczego nie zamawiałeś. Patrzysz jednak na etykietę, a tam wszystko się zgadza: imię, nazwisko, adres, nawet numer telefonu. W środku przesyłki znajduje się jakaś drobnostka, na przykład tani chiński gadżet. Albo niskiej jakości bielizna. Jest szansa, że to wcale nie pomyłka, ale efekt uboczny procederu oszustów, określanego jako brushing scam.

Czym jest brushing scam? To wykorzystanie naszych danych do tworzenia fikcyjnych kont na platformach e-commerce. Po co oszust sprawia nam drobne „upominki”? Z jego perspektywy to konsekwencja procederu, polegającego na kupowaniu z „naszego” konta swoich własnych produktów, a następnie pompowaniu pozytywnych ocen jako zweryfikowany użytkownik. W ten sposób oszuści oszukują algorytmy, promując swoje sklepy oraz kanały sprzedaży. Jak wielki jest to proceder, wskazują dane podane przez analityków ESET: w samym tylko 2024 roku Amazon zablokował prawie 300 milionów podejrzanych recenzji.

Jeśli otrzymasz tego typu paczkę, nie panikuj. Najpierw upewnij się, czy inni domownicy niczego nie zamawiali. Następnie zgłoś incydent właścicielowi platformy e-commerce. Od razu włącz też weryfikację dwuetapową wszędzie, gdzie twoje dane mogły wyciec, a także dokładnie przeanalizuj historię finansową w bankowej aplikacji. Natomiast nie odsyłaj paczki pod adres nadawcy, nie próbuj się z nim kontaktować oraz nie skanuj żadnych kodów QR, jeśli znajdowałyby się w paczce.

Nie każdy zdaje sobie z tego sprawę, ale społecznościowe platformy biznesowe to naturalne środowisko oszustów. Platforma profilowana jako miejsce dla specjalistów i kadry zarządzającej pozwala dotrzeć do osób decyzyjnych oraz dysponujących poufnymi informacjami. Fałszywe konta liderów, kierowników oraz managerów umożliwiają przestępcom nawiązywanie relacji, które później wykorzystują na rozmaite sposoby.

Oszuści wysyłają na przykład ściśle sprofilowane prywatne wiadomości do osób na konkretnych stanowiskach, odbierane poza czasem pracy na prywatnych urządzeniach. Takie sprzęty są pozbawione firmowej ochrony, co za tym idzie, mogą zostać w łatwy sposób zainfekowane. Przestępcy najpierw rozpracowują strukturę firmy, jej hierarchię oraz sposób działania, a następnie polują na słabe ogniwa. Bardzo często takimi ogniwami są to osoby świeżo przyjęte do pracy, bez doświadczenia i bez znajomości procedur bezpieczeństwa.

Oszuści podają się także za rekruterów. Tworzą fikcyjne ogłoszenia o pracę, służące do wyłudzeń danych osobowych. Przykładowo, analitycy  ESET wykryli kampanie, w których członkowie grupy Lazarus, podszywając się pod rekruterów, instalowali złośliwe oprogramowanie na komputerach pracowników sektora lotniczego. Z kolei w ramach operacji Wagemole, osoby powiązane z Koreą Północną uzyskały realne zatrudnienie w zagranicznych firmach, aby infiltrować je od środka.

Z tego powodu należy weryfikować wszystkie konta, które próbują wejść z nami w relacje. Także tę biznesową. Trzeba sprawdzać zwłaszcza datę utworzenia profilu oraz bazę wspólnych znajomych. Ze społecznościowej platformy biznesowej warto korzystać na służbowych, zabezpieczonych urządzeniach. Z kolei włączenie dwustopniowej weryfikacji znacząco utrudnia przejęcie profilu, co często stanowi pierwszy krok do infiltracji całej organizacji.

Zostawiamy potężny cyfrowy ślad. Wpisy w mediach społecznościowych, publikowane zdjęcia, pinezki geolokalizacyjne, zapytania o produkty, kliki w reklamy, historia aktywności fizycznej – wszystko to, odpowiednio agregowane, umożliwia sprofilowanie każdego z nas. Taka wiedza w niepowołanych rękach może mieć bardzo negatywne konsekwencje.

Przykładowo, znając adres zamieszkania, oszuści wiedzą, kto jest naszym dostawcą mediów. Następnie wysyłają wiadomości podając się np. za dystrybutora energii. W 2026 roku nie jest już problemem, aby zamiast nieznanego numeru na ekranie telefonu wyświetlił się nam SMS od „PGE” albo „Taurona”, w którym rzekomy podmiot prosi o dopłatę do rachunku. Często na drobną kwotę, ale wraz z nią w rękach oszustów zostawiamy cenne dane logowania, na fikcyjnej witrynie łudząco przypominającej prawdziwą stronę instytucji.

W podobny sposób oszuści podają się za kurierów i dostawców, estymując prawdopodobieństwo zamawiania przez nas produktów. Tego typu proceder ma miejsce zwłaszcza w okresie przedświątecznym. Wtedy, w gorączce przygotowań, jesteśmy rozproszeni i łatwiej nas oszukać. Wystarczy odpowiedni SMS w odpowiednim czasie, proszący o dopłatę za ponadwymiarową przesyłkę. Fałszywe bramki płatności zachowają nasze dane, otwierając przestępcom drzwi do konta bankowego.

Dlatego należy zachować szczególną ostrożność, jeśli „instytucja” nieoczekiwanie chce od nas dodatkowych pieniędzy. Zwłaszcza, jeżeli używa presji czasu oraz groźby kar. Żadna organizacja tego typu nie będzie od nas chciała haseł czy numerów kart. Nie mając pewności, kto jest po drugiej stronie, zawsze warto samemu zadzwonić do danej instytucji, własnoręcznie szukając odpowiedniego numeru kontaktowego. Warto też skonsultować niepewną sytuację z rodziną oraz bliskimi.

Wysublimowanym rozwinięciem profilowania oraz klasycznego phishingu jest vishing. To próba wyłudzenia naszych danych, haseł lub środków przy pomocy rozmowy telefonicznej lub nawet wideo-rozmowy. W dobie narzędzi AI tego typu proceder będzie wyłącznie groźniejszy. Dlatego już teraz warto wypracować skuteczną metodę obrony.

Ktoś do ciebie dzwoni. Na ekranie smartfonu widzisz nazwę swojego banku. Odbierasz i słyszysz w słuchawce naturalny głos. Mężczyzna podaje się za pracownika, wymienia twoje imię oraz nazwisko. Jest problem z kontem, podejrzany wniosek kredytowy na dużą sumę. Dzwoni, bo woli się upewnić. Mówisz, że nie brałeś żadnego kredytu. Głos w słuchawce uspokaja, rozumie i zapewnia, że wszystko da się odkręcić. Musisz tylko przejść proces weryfikacji, czy ty to na pewno ty, a nie ten oszust od kredytu. Podaj hasło. Podaj numer karty. Wszystko będzie dobrze.

Współczesne modele generatywnej AI są w stanie podrobić wszystko. Od konsultanta w słuchawce mówiącego wzorowo po polsku, po wideo „udowadniające”, że właśnie siedzi w banku i analizuje dziwną aktywność na twoim koncie. Z kolei w świecie, gdzie wszystko może być fikcją, jedynym rozwiązaniem jest przejęcie inicjatywy. Zamiast odpowiadać na pytania miłego konsultanta, należy się rozłączyć i samemu zadzwonić do banku, pod oficjalny numer na stronie.

Niestety, czasem oszuści potrafią być jeszcze perfidniejsi. Korzystają z technologii deepfake, udając kogoś bliskiego. Na przykład członka rodziny, który właśnie miał stłuczkę i na szybko potrzebuje kilka tysięcy złotych, aby załatwić ugodowo sprawę. Dlatego już teraz warto porozmawiać o tym z bliskimi. Stworzyć coś na kształt hasła weryfikacyjnego. Sposobu identyfikacji. Może to być np. osobiste wspomnienie, konkretne słowo czy pytanie o drobny detal.

W sieci można natknąć się na „reklamy” zachęcające do korzystania z niezwykle atrakcyjnej promocji albo zainwestowania z pewną stopą zwrotu. Tego typu treści są szczególnie popularne na platformach społecznościowych, odsyłając do profesjonalnie wyglądających, budzących zaufanie witryn. „Reklamy” wykorzystują wizerunki znanych osób, a także logotypy instytucji, w tym finansowych.

Fikcyjne witryny bardzo często przypominają sklepy internetowe, na których akurat trwa niezwykle atrakcyjna wyprzedaż. Oczywiście ograniczona czasowo. Inne strony zachęcają do inwestowania, z pewnym zwrotem, ale trzeba się szybko decydować. Tego typu „okazje” są zbyt dobre, aby były prawdziwe. Stoją za nimi oszuści, chcący wykorzystać presję czasu.

Należy pamiętać, że wiele produktów sprzedawanych przez internet to towary niskomarżowe. Dlatego do rabatów sięgających 50, 60 czy 70 proc. należy podchodzić ze szczególną podejrzliwością. Zamiast zakładać konto w takim sklepie, najpierw trzeba sprawdzić jego reputację. Z kolei w przypadku zachęt do inwestycji trzeba pamiętać: nie ma czegoś takiego jak inwestycja bez ryzyka. Jeśli jesteśmy namawiani do alokacji kapitału w zamian za pewny zysk, musi to być oszustwo. Ponadto proces inwestycyjny musi być poprzedzony wypełnieniem ankiety MiFID. Jej brak to automatyczna czerwona lampka.

Dawniej zaglądając do skrzynki e-mail ze spamem mogliście zobaczyć dziesiątki wiadomości pisanych łamaną polszczyzną. Zagraniczni oszuści udawali instytucje finansowe, administrację skarbową czy policję, ale robili to tak nieporadnie, że naprawdę trudno było się nabrać na ich maile.

Niestety, tamte czasy się skończyły. W dobie sztucznej inteligencji oszuści mogą tworzyć wiadomości z nienaganną polszczyzną, do tego dopasowane stylem - urzędowym, potocznym, korporacyjnym - w zależności od schematu działań. Przykładowo, analitycy ESET zwracają uwagę na fałszywe maile pochodzące rzekomo od Caritas Polska, na które nabrało się wielu Polaków oraz Litwinów. Wybór nie był przypadkowy. Caritas to organizacja charytatywna, ciesząca się sporym zaufaniem.

Wystarczyło otworzyć spreparowaną wiadomość e-mail w podatnej wersji przeglądarkowego klienta poczty (webmaila), a uruchamiał się złośliwy skrypt witryny, pozyskując dane logowania oraz treść korespondencji. Według analityków ESET wysoki odsetek klikających to połączenie rzekomego adresata budzącego zaufanie z treścią napisaną naturalną, pozbawioną błędów polszczyzną.