Kupiłeś na OLX lub Vinted, a sprzedający prosi o płatność "przez link"? Nie daj się oszukać
Kupujący, który „już zapłacił”, sprzedawca z „bezpieczną płatnością” i kurier, który czeka tylko na dopłatę. Fałszywy SMS i link do „odbioru środków” to dziś jedno z najbardziej polskich oszustw w sieci – niezależnie od tego, czy handlujesz na OLX, Vinted, Allegro Lokalnie czy na Facebooku. Rozłożyliśmy je na części i sprawdziliśmy, co da się z tym zrobić.
Wyobraźmy sobie taką sytuację. Jest wtorek, dochodzi 22:00, a ty właśnie wystawiłeś na Vinted kurtkę, z której wyrosło dziecko. Cena 120 zł, trzy zdjęcia na tle drzwi. Po kilku minutach odzywa się kupujący: nie negocjuje, nie pyta o rozmiar, prosi tylko o numer WhatsApp, „bo tak szybciej”. Kwadrans później przychodzi link. Płatność zaksięgowana, środki czekają na odbiór, wystarczy potwierdzić dane karty. Strona wygląda jak Vinted, jest na niej nawet zdjęcie twojej kurtki.
To hipotetyczny scenariusz, ale złożony wyłącznie z elementów, przed którymi od lat ostrzegają banki, policja i CERT Polska. Kolejny krok też jest dobrze opisany: po numerze karty pojawia się prośba o kod z SMS-a. Tyle że ten kod wcale nie służy do „odbioru środków”.
Cały numer polega na tym, że oszust nie musi niczego łamać. Wystarczy, że przekona swoją ofiarę do wpisania danych tam, gdzie on chce. Sprawdzaliśmy to zresztą na własnej skórze – po wystawieniu przedmiotu na OLX pierwsi „kupujący” odezwali się po około pięciu minutach.
Zastrzeżenie na wstępie: OLX i Vinted to tylko przykłady, a problem nie leży w samych platformach. Duże serwisy sprzedażowe obsługują płatności i wypłaty wewnątrz własnych aplikacji. Oszustwo zaczyna się dokładnie w momencie, w którym transakcja z nich wychodzi – na WhatsAppa, do Messengera, SMS-a albo maila.
Jaka jest skala? Z badania IBRiS dla Santander Consumer Banku z sierpnia 2025 r. wynika, że SMS z fałszywym linkiem to najczęstsza próba wyłudzenia, z jaką stykają się Polacy – doświadczyło jej 29 proc. badanych. Spośród osób, które trafiły na próbę oszustwa, 16 proc. faktycznie straciło pieniądze. Warto pamiętać, że badanie objęło 1000 dorosłych internautów, a nie całą populację. Jeden wniosek jest jednak wyraźny: wśród osób w wieku 18–49 lat odsetek tych, które nigdy nie spotkały się z próbą oszustwa, nie przekracza 30 proc. Smishing w Polsce to nie jest problem „naiwnych seniorów”.
Handel w sieci jest przy tym wyjątkowo wdzięcznym terenem. Według raportu rocznego CERT Polska w kampaniach phishingowych w 2025 r. najczęściej wykorzystywano wizerunek dwóch serwisów sprzedażowych: OLX (28,5 tys. incydentów) i Allegro (22,5 tys.). To po prostu najbardziej rozpoznawalne marki, a więc najlepsza „owcza skóra” dla wilka z drugiej strony kabla.
Zobaczmy więc, jak ten schemat wygląda w praktyce – w trzech wariantach.
Wariant pierwszy: sprzedajesz, a kupujący „już zapłacił”
To klasyk, który zna prawie każdy, kto kiedykolwiek coś wystawił – niezależnie od serwisu. Kupujący odzywa się błyskawicznie, nie targuje się, a pod byle pretekstem przenosi rozmowę poza platformę. Potem oznajmia, że już zapłacił i zamówił kuriera – DPD, InPost albo rzekomą usługę dostawy samej platformy. Marka jest dobierana tak, żeby brzmiała znajomo. Na koniec przychodzi link do „odbioru płatności”, czasem z podrobionym potwierdzeniem przelewu.
Kluczowy jest ostatni etap. Strona prosi o dane karty, a potem o kod z SMS-a od banku. Banki od dawna tłumaczą, co ten kod naprawdę zatwierdza: dodanie nowego urządzenia do bankowości albo podpięcie karty do Google Pay lub Apple Pay w telefonie przestępcy. Od tej chwili oszust płaci twoją kartą – i formalnie robi to za twoją zgodą.
Wrzesień 2026 r. przyniósł zresztą odmianę bez kupującego. Opisywaliśmy kampanię, w której przychodzi nudny SMS od nadawcy „Verify” z informacją, że konto OLX wymaga weryfikacji. Link prowadzi do strony z twoim własnym ogłoszeniem: zdjęciami, opisem, ceną. Mózg dostaje mocne potwierdzenie – skoro wiedzą, co wystawiłem, to musi być OLX. Nie musi. Ogłoszenie jest publiczne, a po kilku ekranach „weryfikacji” jedyną dostępną opcją okazuje się logowanie do banku. Oczywiście na podrobionej stronie.
Wariant drugi: kupujesz, a sprzedawca podsyła „bezpieczną płatność”
Role łatwo odwrócić. Szukasz używanej konsoli na Facebooku i trafiasz na ofertę wyraźnie tańszą niż reszta. Sprzedawca odpisuje w kilka sekund, ale „jest w delegacji”, więc odbiór osobisty odpada. Proponuje za to coś, co brzmi rozsądnie: transakcję „przez Allegro Lokalnie, dla bezpieczeństwa obu stron”. Link do oferty przychodzi w Messengerze.
To nie jest wymyślony wariant. Moderatorzy forum Allegro w maju 2026 r. opublikowali specjalne ostrzeżenie przed linkami do rzekomych ofert Allegro Lokalnie rozsyłanymi przez komunikatory. Adresy wyglądają na pierwszy rzut oka wiarygodnie, ale po „allegrolokalnie.pl” pojawia się myślnik, cyfry albo druga końcówka domeny. Strona ma przycisk „kup i zapłać”, a płatność często działa wyłącznie przez BLIK. Na tym samym forum w sierpniu 2026 r. kupująca opisała, jak w ten sposób straciła 1300 zł – po zapłacie strona „oferty” po prostu zniknęła.
Problem jest tu podwójny. Oszust wykorzystuje markę, która ma kupującego uspokoić, a ochrona nie działa, bo transakcja nigdy nie odbyła się na platformie. Allegro mówi to wprost: serwis nie wymaga od sprzedającego korzystania z linków do płatności, a płaci się wyłącznie po wejściu na ofertę na oficjalnej stronie. Na Vinted ten sam mechanizm bywa podany inaczej – jako propozycja „ominięcia prowizji” albo mail rzekomo od platformy z linkiem do płatności. Reguła jest jedna: jeśli ktoś nakłania do płatności przez podesłany link, to już nie jest transakcja na platformie.
Wariant trzeci: nic nie kupujesz, a paczka i tak czeka na dopłatę
Żeby dostać fałszywy SMS, nie trzeba niczego kupować ani sprzedawać. Wystarczy mieć telefon. Schemat, który w sieci krąży jako „dopłata do przesyłki scam”, działa masowo: wiadomość o zatrzymanej paczce, niekompletnym adresie albo dopłacie rzędu kilku złotych. CERT Polska ostrzegał m.in. przed falą SMS-ów z żądaniem dopłaty 4,27 zł rzekomo od InPostu. Link prowadził do fałszywej strony przewoźnika, a stamtąd do podrobionego panelu płatności.
Niska kwota nie jest przypadkiem. Przy kilku złotych odruch „chwila, to podejrzane” rzadko uruchamia się automatycznie. Zdecydowanie łatwiej o pierwszą myśl „dobra, byle szybciej”. A oszustowi nie chodzi o te kilka złotych, tylko o to, jakie dane trafią do formularza. CERT Orange Polska przypomina, że ani Poczta Polska, ani InPost nie wysyłają SMS-ów z żądaniem dopłaty za dostawę.
Ten wariant łączy się z dwoma poprzednimi w wyjątkowo niewygodny sposób. Ktoś, kto właśnie sprzedał coś na OLX albo czeka na paczkę z Vinted czy Allegro Lokalnie, ma pełne prawo spodziewać się wiadomości od kuriera. Dokładnie na to liczy oszust.
Wspólny mianownik: link poza platformą
Przejrzyj te trzy scenariusze jeszcze raz, a zobaczysz ten sam atak w różnych przebraniach. Zmienia się nadawca, pretekst i kwota. Nie zmieniają się dwa elementy: link, który wyprowadza poza aplikację, i strona, która chce danych do karty lub banku.
To drugie jest zresztą najprostszym testem. Portal ogłoszeniowy ani firma kurierska nie mają żadnego powodu, żeby prosić o login do bankowości, kod BLIK czy kod z SMS-a. Pieniądze ze sprzedaży nie wymagają od sprzedającego podawania kodu CVV. Jeśli strona o to prosi, nie ma już czego weryfikować.
Drugi test dotyczy płatności BLIK. Przed zatwierdzeniem kodu przeczytaj w aplikacji banku, na rzecz jakiej strony realizowana jest płatność. Problem w tym, że takie testy działają, gdy jesteś wypoczęty. Oszuści to wiedzą i dlatego celują w inne momenty: wieczór po pracy, kolejkę w sklepie, przerwę między spotkaniami. Do tego dochodzi mały ekran, na którym mobilna przeglądarka chętnie ucina adres strony.
W ostatnich dniach pojawiły się z kolei doniesienia o fałszywych SMS-ach mających pochodzić od CANARD albo GITD, dotyczących rzekomych mandatów z odcinkowych pomiarów prędkości. Tam też pojawia się link do szybkiego uregulowania niewielkiej płatności. Strona docelowa jest stylizowana na serwis rządowy. Wariantów jest mnóstwo, ale szkielet pozostaje niezmienny – wystarczy tylko kliknąć link i podać dane.
Ochrona, która działa, zanim SMS w ogóle zaświeci ekran
System obrony w Polsce naprawdę działa. W 2025 r. przez numer 8080 trafiło do analizy CERT Polska ponad 350 tys. SMS-ów, a na podstawie 790 wzorców operatorzy zablokowali blisko 1,88 mln złośliwych wiadomości. Liczba SMS-ów uznanych za szkodliwe przekroczyła 80 tys., a i tak była najniższa od 2022 r., co NASK wiąże ze skutecznością blokad.
To jednak obrona reaktywna. Wzorzec powstaje dopiero wtedy, gdy ktoś zgłosi wiadomość, więc pierwsza fala nowej kampanii i tak trafia do skrzynek. A kampanie, które przechodzą przez blokady, są co do zasady tymi najświeższymi.
Dlatego warto mieć drugą warstwę bezpośrednio na telefonie. Surfshark uruchomił w sierpniu 2026 r. funkcję Scam Text Protection, czyli filtr analizujący przychodzące SMS-y w czasie rzeczywistym. Sprawdza linki w wiadomości, numer nadawcy i samą treść, szukając wzorców typowych dla smishingu.
Działanie zależy od systemu:
- iOS – podejrzany SMS trafia automatycznie do folderu Spam i nie generuje powiadomienia. Wiadomość o „środkach czekających na odbiór” po prostu nie wyskoczy na ekranie blokady, więc nie ma czego kliknąć w pośpiechu.
- Android – ostrzeżenie pojawia się w momencie, gdy podejrzana wiadomość dotrze. Można ją obejrzeć w kontrolowanym środowisku wewnątrz aplikacji Surfshark, bez ryzyka przypadkowego kliknięcia linku.
Surfshark deklaruje, że nie przechowuje treści wiadomości po analizie i nie używa ich do trenowania modeli AI. Funkcja jest dostępna w planach Surfshark One i Surfshark One+.
A jeśli link przyszedł WhatsAppem?
Tu trzeba uczciwie powiedzieć jedną rzecz. Filtr SMS-ów nie zobaczy wiadomości z WhatsAppa ani Messengera, a właśnie tam toczy się duża część rozmów z fałszywymi kupującymi i sprzedawcami. Kierownik CERT Polska, podsumowując 2025 r., zauważył zresztą, że skuteczne blokady SMS-ów zaczynają wypychać przestępców do innych kanałów.
Dlatego druga warstwa ochrony musi działać niezależnie od tego, skąd przyszedł link. Tę rolę pełni Unsafe Site Blocking. Na iPhonie znajdziesz ją w zakładce Antiscam, na Androidzie i komputerze jako Web Content Blocker. Funkcja blokuje wybrane kategorie witryn, w tym strony sklasyfikowane jako scamowe i phishingowe – bez względu na to, czy kliknąłeś link z SMS-a, na czacie czy w mailu.
Jeśli „oferta” prowadzi do domeny rozpoznanej jako phishingowa, zamiast przycisku płatności wyświetli się ekran blokady. Nie jest to rozwiązanie skuteczne w stu procentach. Na Listę Ostrzeżeń CERT Polska trafiło w 2025 r. blisko 250 tys. domen, czyli niemal jedna co dwie minuty, a świeżo postawiona domena bywa przez pierwsze godziny nieznana żadnemu filtrowi. To warstwa, która wyłapuje dużo, ale nie wszystko.
Warto też sprawdzić ustawienia: funkcja nie zadziała w sieci oznaczonej jako zaufana ani przy połączeniu VPN innym niż WireGuard. Unsafe Site Blocking, podobnie jak filtr SMS-ów, wchodzi w skład planów Surfshark One i One+, obok VPN-a, antywirusa i Alertu o wyciekach danych.
Sens tego układu jest prosty. Filtr nie sprzedaje właśnie kurtki, nie czeka na kuriera i nie ucieszy się z kupującego, który nie negocjuje ceny.
Co warto robić niezależnie od narzędzi:
- Płać i odbieraj pieniądze wyłącznie w aplikacji serwisu, na którym jest ogłoszenie. Każdą prośbę o przejście na WhatsAppa, Messengera czy SMS traktuj jako sygnał ostrzegawczy.
- Jako sprzedający niczego nie „odbierasz” przez link. Żadna wypłata nie wymaga podania numeru karty ani kodu CVV.
- Czytaj SMS-y i potwierdzenia BLIK z banku do końca. Jeśli kod zatwierdza „dodanie urządzenia” albo płatność na rzecz nieznanej strony, a ty myślisz, że odbierasz 120 zł za kurtkę, jedno kliknięcie dzieli cię od zostania ofiarą ataku.
- Ofertę wyszukaj samodzielnie w aplikacji serwisu zamiast klikać podesłany link. Status paczki sprawdzaj w aplikacji przewoźnika.
- Podejrzane SMS-y przesyłaj na bezpłatny numer 8080, a fałszywe strony zgłaszaj przez incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
- Jeśli podałeś dane karty, nie czekaj na pierwszą podejrzaną transakcję. Zadzwoń do banku na numer z karty albo z oficjalnej aplikacji i zastrzeż kartę.
Oszustwo „na link” jest niemal tak stare jak polski handel w sieci, ale wciąż dojrzewa i ewoluuje. Kiedyś zdradzały je literówki i kiepskie logo. Dziś potrafi pokazać twoje zdjęcia, twój opis i cenę twojej kurtki albo podszyć się pod serwis, który miał zapewniać ochronę.
Dobra wiadomość jest taka, że jego słaby punkt się nie zmienia. Każdy wariant musi w końcu wyprowadzić poza aplikację i poprosić o dane, o które platforma nigdy by nie zapytała.
Ochrona przed takim scamem nie polega na tym, żeby w każdej wiadomości szukać drugiego dna. Polega na tym, żeby między „kupującym” a twoją kartą stało coś więcej niż zmęczenie o 22:00.
Czytaj inne nasze materiały o VPN i bezpieczeństwie:
Z wykształcenia i zamiłowania językoznawca i kulturoznawca, z pasji motocyklista szosowy i błotny. Przez blisko 20 lat pracował nad tłumaczeniami i lokalizacją treści dla największych firm z szerokiego wachlarza branż, na czele z automotive. Na koncie ma współpracę m.in. ze Światem Motocykli, jako autor i korektor. Fan motoryzacyjnej Japonii, chociaż prywatnie maltretuje swojego ukochanego Citroena C2 VTS (nie sprzeda, będzie robił). Z poczucia misji wspomaga organizacje pozarządowe w walce z dezinformacją.