Typy oszustw w mediach społecznościowych
Media społecznościowe to wygodny kanał kontaktu, a zarazem podatny grunt dla oszustw. Na platformach takich jak Facebook, Instagram czy TikTok przestępcy wyłudzają dane osobowe, pieniądze albo rozsyłają złośliwe oprogramowanie. Skalę widać w raporcie rocznym CERT Polska za 2024 rok: zespół otrzymał ponad 600 000 zgłoszeń (o 62% więcej niż w 2023 roku), z których powstało przeszło 100 000 incydentów, a oszustwa komputerowe stanowiły 94,7% z nich, czyli 97 995 przypadków. Sprawcy grają na pośpiechu, strachu przed utratą okazji i zaufaniu do znanych marek.
Najczęstsze formy cyberprzestępstw na platformach społecznościowych
Najczęstszą formą jest phishing: według tego samego raportu CERT Polska odpowiadał za 40 120 incydentów w 2024 roku, a Facebook był podszywany w 3 871 przypadkach. Pozostałe schematy, które spotkasz na tych platformach, opisuje lista niżej:
- Oszustwa phishingowe: fałszywe wiadomości prywatne albo posty z linkiem do strony łudząco podobnej do znanej marki. Celem są dane logowania albo dane karty. Adres takiej strony różni się od prawdziwego często jednym znakiem.
- Oszustwa związane z fałszywymi konkursami: "nagroda" za udział w zabawie, po którą trzeba podać dane osobowe albo wpłacić drobną opłatę. Pieniądze przepadają, a zebrane informacje służą do kolejnych wyłudzeń.
- Piramidy finansowe i fałszywe inwestycje: obietnica wysokiego zysku przy małym ryzyku. CSIRT KNF w lutym 2026 roku zgłosił do zablokowania 550 podrobionych profili, które publikowały na Facebooku ogłoszenia o takich lokatach (w styczniu 347).
- Przejęcia kont: sprawca przejmuje konto i pisze z niego do znajomych właściciela z prośbą o pieniądze, kod BLIK albo kliknięcie w link.
- Fałszywe reklamy i sklepy internetowe: post sponsorowany prowadzi do strony z towarem w bardzo niskiej cenie, który po zapłacie nie przychodzi. UOKiK w lipcu 2025 roku ostrzegał, że nieuczciwi sprzedawcy coraz częściej docierają do kupujących właśnie przez płatne posty dopasowane do zainteresowań odbiorców.
- Oszustwa romansowe: zmyślona tożsamość, tygodnie budowania relacji, a potem prośba o przelew z powodu nagłej potrzeby.
- Fałszywe oferty pracy: dobrze płatne zajęcie zdalne, które wymaga wcześniejszej wpłaty na szkolenie, certyfikat albo sprzęt.
Mechanizmy działania oszustw phishingowych
Phishing działa tak, że ofiara sama wpisuje login i hasło na podrobionej stronie, bo dostała link od kogoś, komu ufa. Przykład: na Messengerze piszesz ze znajomym, który prosi o pomoc w odzyskaniu konta i przesyła odnośnik do "logowania". Formularz należy do przestępców, a przejęte w ten sposób profile służą do rozsyłania kolejnych wiadomości, więc zjawisko rośnie jak kula śnieżna.
Jak się chronić: nie klikaj w podejrzane linki, nawet od znajomych. Sprawdzaj samą domenę w pasku przeglądarki, a nie kłódkę. CERT Polska przypomina, że ten symbol oznacza wyłącznie szyfrowane połączenie, a większość stron phishingowych ma dziś adres zaczynający się od https. W razie wątpliwości zadzwoń do nadawcy albo napisz innym kanałem. Podejrzany SMS przekaż na numer 8080, a podrobioną stronę opisz w formularzu na incydent.cert.pl. W 2024 roku CERT Polska dostał w ten sposób blisko 355 tysięcy wiadomości SMS do sprawdzenia.
Jak rozpoznać fałszywe konkursy
Fałszywy konkurs rozpoznasz po tym, że do odbioru nagrody potrzebne są Twoje dane, dopłata albo podanie numeru karty. Przykład: na Instagramie pojawia się post z obietnicą wygrania smartfona, jeśli oznaczysz 5 znajomych i podasz adres oraz telefon. Każdy uczestnik pokazuje wtedy post kolejnym osobom, więc akcja rozchodzi się sama.
Jak się chronić: sprawdź organizatora, czyli czy konto ma znaczek weryfikacji, od kiedy istnieje i czy prowadzi do oficjalnej strony marki. Nie podawaj danych w komentarzach i nie płać za "koszty wysyłki nagrody". Prawdziwy konkurs ma regulamin z nazwą organizatora i jego adresem.
Rozpoznawanie piramid finansowych w mediach społecznościowych
Piramidę albo fałszywą inwestycję zdradza obietnica pewnego, wysokiego zysku i presja, by wpłacić szybko. Przykład: dostajesz zaproszenie do zamkniętej grupy na Facebooku, gdzie "eksperci" pokazują zrzuty ekranu z rzekomymi wynikami i proszą o depozyt na start. KNF w przeglądzie z lutego 2026 roku opisuje reklamy, które dalej wykorzystują wizerunki znanych osób, także zmarłych, a nawet ogłoszenia obiecujące odzyskanie pieniędzy ludziom już okradzionym.
Jak się chronić: każda legalna forma inwestowania wiąże się z ryzykiem, które sprzedawca ma obowiązek opisać. Przed wpłatą sprawdź firmę na liście ostrzeżeń publicznych KNF i w rejestrach podmiotów nadzorowanych. Zwróć uwagę, czy oferta prowadzi do platformy z licencją, czy do formularza, po którym "doradca" dzwoni z prośbą o instalację aplikacji do zdalnego pulpitu.
Zabezpieczenie konta przed przejęciem
Konto zabezpieczysz głównie weryfikacją dwuetapową i osobnym hasłem do każdej usługi. Przykład: użytkownik kliknął w link z wiadomości prywatnej i wpisał swoje dane na fałszywej stronie. Sprawca zmienił adres e-mail odzyskiwania, zajął profil i wysłał znajomym prośby o szybki przelew.
Jak się chronić: włącz logowanie dwuetapowe na każdym koncie społecznościowym, bo sam wyciek hasła nie wystarczy wtedy do zalogowania. Uważaj na pilne prośby znajomych o pieniądze albo kod BLIK i potwierdzaj je telefonicznie. Używaj unikalnych haseł i trzymaj je w menedżerze. Takie włamanie jest przestępstwem: według art. 267 § 2 Kodeksu karnego karze podlega, "kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego", a sankcja sięga 2 lat pozbawienia wolności.
Identyfikacja fałszywych sklepów internetowych
Fałszywy sklep zdradzają zwykle trzy rzeczy: cena wyraźnie niższa niż u innych sprzedawców, niepełne dane firmy i nietypowa domena. Przykład: na Facebooku widzisz reklamę markowych butów z rabatem 80% z okazji "likwidacji". Po zapłacie paczka nie przychodzi, a strona znika.
Jak się chronić: porównaj cenę tego samego produktu u kilku sprzedawców, bo CERT Polska uznaje dużą różnicę za wyraźny sygnał ostrzegawczy. UOKiK radzi sprawdzić adres siedziby i dane kontaktowe firmy oraz uważać na domeny z końcówkami takimi jak .xyz, .lol czy .top i na "promocje" bez informacji o najniższej cenie z 30 dni przed obniżką. Opinie publikowane na stronie sklepu mogą być podrobione, a tylko jedna metoda płatności to kolejny sygnał. Jeśli już zapłaciłeś, od razu zadzwoń do banku, zgłoś sprawę na incydent.cert.pl i złóż zawiadomienie na policji.
Ochrona przed oszustwami romansowymi
Przed oszustwem romansowym chroni jedna zasada: nie wysyłasz pieniędzy osobie znanej tylko z internetu, bez względu na powód. Przestępcy tworzą atrakcyjne profile, często podając się za żołnierzy, lekarzy na misjach albo przedsiębiorców za granicą. Budowanie relacji trwa tygodnie lub miesiące, a prośba o przelew pojawia się dopiero wtedy, gdy ofiara jest już zaangażowana.
Jak się chronić: bądź ostrożny wobec kogoś, kto szybko deklaruje silne uczucia i unika rozmowy wideo, tłumacząc się problemami technicznymi. Użyj wyszukiwania obrazem w Google, aby sprawdzić, czy zdjęcia profilowe nie pochodzą z innego źródła. Poproś o połączenie wideo w nieoczekiwanym momencie. Sprawca, który wprowadza w błąd, by ktoś oddał mu pieniądze, popełnia oszustwo z art. 286 § 1 Kodeksu karnego, zagrożone karą pozbawienia wolności od 6 miesięcy do lat 8.
Weryfikacja ofert pracy w social mediach
Ofertę pracy zweryfikujesz, sprawdzając firmę w rejestrze i odrzucając każdą propozycję, która wymaga wpłaty od kandydata. Przestępcy kuszą wysokim wynagrodzeniem za nieskomplikowane zadania z domu, ale najpierw żądają opłaty za szkolenie, oprogramowanie albo "weryfikację tożsamości".
Jak się chronić: uczciwy zleceniodawca nie pobiera pieniędzy od kandydatów. Ogłoszeniodawcę wyszukaj w KRS albo CEIDG po numerze NIP i porównaj dane z rejestrem. Sygnałem ostrzegawczym są ogólnikowy opis stanowiska, brak wymagań i stawka wyraźnie wyższa niż w podobnych ofertach. Nie wysyłaj skanu dowodu osobistego, zanim nie potwierdzisz, kto stoi za rekrutacją, bo dane z dokumentu wystarczą do kradzieży tożsamości. Podszywanie się pod kogoś z użyciem jego wizerunku albo danych, które wyrządza mu szkodę, to przestępstwo z art. 190a § 2 Kodeksu karnego.
Techniczne metody zabezpieczenia profili
Profil zabezpieczysz technicznie trzema ustawieniami: alertami o logowaniu z nowego urządzenia, ograniczoną widocznością danych i przeglądem połączonych aplikacji. Taka informacja daje szansę zareagować w ciągu minut, zanim sprawca zmieni hasło. Data urodzenia, numer telefonu i lista znajomych nie muszą być publiczne.
Raz na 3 miesiące przejrzyj aplikacje mające dostęp do konta i usuń te, których nie używasz albo nie rozpoznajesz. Większość platform pokazuje też listę aktywnych sesji: sprawdzaj ją i wyloguj urządzenia, których nie znasz. W publicznej sieci Wi-Fi nie loguj się do mediów społecznościowych bez VPN.
Rola edukacji w przeciwdziałaniu oszustwom
Edukacja działa, bo większość opisanych schematów wymaga, żeby ofiara sama kliknęła, wpisała dane albo zrobiła przelew. Przestępcy stale zmieniają metody, dlatego warto śledzić ostrzeżenia CERT Polska i miesięczne przeglądy oszustw publikowane przez KNF. Rozmawiaj o nich z rodziną, szczególnie z osobami starszymi i mniej obeznanymi z technologią.
Jeśli padniesz ofiarą oszustwa, działaj w tej kolejności: bank albo operator płatności, zgłoszenie na incydent.cert.pl, zawiadomienie na policji. Zmień hasła i uprzedź znajomych, jeśli profil został przejęty. Szybka reakcja ma znaczenie, bo adres dodany do Listy Ostrzeżeń CERT Polska jest blokowany w ciągu 5 minut na większości polskich telefonów i komputerów. W 2024 roku zablokowano tak ponad 70 milionów prób wejść na niebezpieczne strony.
