Wystawiasz kurtkę na Vinted albo laptop na OLX. Odzywa się "kupujący", chce zapłacić i zamówić kuriera, a za chwilę przysyła SMS z linkiem do "odbioru płatności". Strona wygląda jak Allegro albo InPost. Wpisujesz dane karty, żeby "potwierdzić sprzedaż" - i to jest dokładnie moment, w którym tracisz pieniądze.
Kupno i sprzedaż od prywatnych osób długo było stosunkowo bezpieczne: platforma pośredniczy, jest historia, jest opinia. Przestępcy nauczyli się jednak wyciągać transakcję poza platformę i tam okradać. Ich głównym narzędziem jest telefon - SMS, WhatsApp albo zwykła rozmowa.
Czego ci nie mówią w tych wszystkich poradnikach "uważaj na linki": nie musisz zapamiętywać każdego wariantu z osobna. Wszystkie te schematy sprowadzają się do dwóch reguł - każda próba wyciągnięcia cię poza platformę jest atakiem, a kod BLIK, który masz komuś podać, zawsze działa na twoją niekorzyść. Płatność i BLIK płyną w jedną stronę: to ty odbierasz pieniądze, nigdy ich nie "potwierdzasz" ani nie "cofasz" na cudzą prośbę. Kto tłumaczy inaczej, kłamie.
Schemat "OLX/Allegro Kurier" - najbardziej masowy
Ten wariant był tak powszechny, że stał się wręcz synonimem oszustw na ogłoszeniach. Działa tak:
- Wystawiasz przedmiot (Allegro Lokalnie, OLX, FB Marketplace).
- Odzywa się "kupujący", który chce zapłacić i od razu zamówić kuriera.
- Przysyła link (SMS lub WhatsApp) do "odbioru płatności" - wygląda jak strona platformy albo firmy kurierskiej.
- Prosi, żebyś wpisał dane karty "dla potwierdzenia tożsamości sprzedającego".
- Twoja karta zostaje obciążona, a "kupujący" znika.
Zapamiętaj jedno: żadna platforma nigdy nie każe wpisywać danych karty, żebyś odebrał pieniądze za sprzedaż. Dane karty podaje się, gdy płacisz, a nie gdy ktoś płaci tobie. Link do takiej strony to phishing - nie klikaj, nie wpisuj. Sam wariant z OLX Lokalnie rozkładamy na czynniki w tekście o oszustwach na OLX z fałszywym kupującym.
Schemat "nadpłata" na Vinted i FB Marketplace
Kupujący zgadza się na cenę, ale "przez pomyłkę" wysłał więcej i prosi o zwrot różnicy na podany numer konta. Haczyk polega na tym, że płatność, która do ciebie "przyszła", jest sfałszowana albo zostanie cofnięta - a ty w tym czasie zwracasz prawdziwe pieniądze ze swojego konta. Zostajesz z minusem po obu stronach.
Bliźniaczy wariant: kupujący "płacił BLIK-iem" i chce "anulować transakcję", więc prosi cię o kod BLIK "do cofnięcia". Taka procedura nie istnieje. Kto prosi o twój kod BLIK "do zwrotu" albo "do anulowania", w rzeczywistości próbuje wykonać osobną wypłatę na twój koszt. Socjotechnikę wokół BLIK-a opisujemy szczegółowo w tekście o oszustwach na BLIK przez telefon.
Pułapki przy odbiorze osobistym
| Trik | Jak wygląda | Twoja obrona |
|---|---|---|
| Telefon "w zastaw" | Kupujący zostawia swój telefon i wychodzi "zadzwonić do kolegi" z twoim sprzętem | Nie wypuszczaj towaru z rąk przed zapłatą |
| Odwrócony BLIK | "Aplikacja mi nie działa, zeskanuj mój ekran" - inicjuje transakcję odwrotną | Płatność zawsze potwierdzasz w swojej aplikacji |
| Fałszywy przelew "już wysłany" | Pokazuje ekran z potwierdzeniem, którego jeszcze nie ma na koncie | Wydajesz towar dopiero, gdy pieniądze są na twoim koncie |
Osobny trik to wyłudzanie danych "do umowy" jeszcze przed transakcją: numer seryjny sprzętu, faktura, twoje dane osobowe. Numer seryjny bywa potem użyty do zgłoszenia urządzenia jako skradzionego, co je blokuje. Numer seryjny udostępniaj dopiero przy fizycznym przekazaniu sprzętu, po otrzymaniu zapłaty.
Jak się chronić - lista kontrolna
- Nie wychodź poza platformę. "Przejdźmy na WhatsApp, bo platforma nie działa" to czerwona flaga, nie wygoda.
- BLIK działa w jedną stronę. Kupujący podaje kod tobie, ty przepisujesz go do swojej aplikacji. Ty nigdy nie dyktujesz kodu kupującemu.
- Przy odbiorze - pieniądze przed towarem. Gotówkę licz sam, przelew sprawdzasz na koncie, BLIK potwierdzasz w aplikacji, dopiero potem wydajesz sprzęt.
- Nie zwracaj "nadpłaty". Przy przelewie zaksięgowanie bywa opóźnione, a przy BLIK-u płatność jest natychmiastowa i nieodwracalna - "nadpłat do zwrotu" po prostu nie ma.
- Numer seryjny i dokumenty pokazujesz przy przekazaniu, nie wcześniej.
Co robić, jeśli już padłeś ofiarą
Jeśli wpisałeś dane karty na fałszywej stronie: natychmiast zadzwoń do banku, zablokuj kartę i zgłoś reklamację nieautoryzowanych transakcji. Jeśli przelałeś pieniądze na cudze konto, poproś bank o recall przelewu, zgłoś sprawę na policję (art. 286 kk - numer konta docelowego jest śladem) i zgłoś incydent do CERT Polska. Jeśli w grę wchodził link phishingowy, CERT może go zablokować dla innych użytkowników. Warto też zgłosić profil oszusta zespołowi bezpieczeństwa platformy.
A co, jeśli to ty kupujesz
Większość poradników - i spora część tego tekstu - patrzy na oszustwo oczami sprzedającego. Ale kupujący też ma swój zestaw pułapek, tyle że lustrzany. Tu przynętą nie jest "odbiór płatności", lecz okazja: znany sprzęt znacznie poniżej ceny, "bo szybko potrzebuję gotówki". Sprzedający naciska, żebyś zapłacił z góry przelewem albo BLIK-iem na numer telefonu, zanim zobaczysz towar - i po wpłacie znika razem z ogłoszeniem.
Reguła dla kupującego jest równie prosta jak dla sprzedającego, tylko odwrócona: korzystaj z ochrony kupujących wbudowanej w platformę i płać dopiero w jej ramach, nigdy "na już" poza systemem. Przelew i BLIK na numer telefonu są natychmiastowe i nieodwracalne - to jak wręczenie gotówki obcej osobie bez świadka. Jeśli sprzedający ucieka od płatności chronionej i goni cię do przelewu bezpośredniego, potraktuj to jak deklarację, że nie zamierza wysłać towaru.
Skala problemu w Polsce
Schemat "OLX Kurier" był na tyle powszechny, że CERT Polska, policja i same platformy prowadziły wspólne kampanie ostrzegawcze. Co roku do zgłoszenia trafiają dziesiątki tysięcy takich prób - a to i tak wierzchołek, bo wielu poszkodowanych w ogóle nie zgłasza sprawy, zakładając z góry, że pieniędzy się nie odzyska. To założenie jest błędne: szybka reakcja - blokada karty, recall przelewu, zgłoszenie linku - realnie zwiększa szanse i pomaga zablokować stronę zanim złapie kolejną osobę.
Warto też widzieć szerszy wzorzec. Te same triki wędrują między platformami: raz przychodzą jako SMS "z InPostu", raz jako wiadomość na WhatsAppie od "kupującego z Vinted", raz jako telefon przy odbiorze osobistym na Marketplace. Nazwa serwisu się zmienia, mechanika zostaje ta sama - wyprowadzić cię poza system i nakłonić do podania danych karty albo kodu. Kto raz rozpozna szkielet, przestaje dawać się nabierać na kolejne przebrania.
FAQ
Kupujący prosi o kod BLIK "do potwierdzenia". Podać?
Nigdy. Jako sprzedający nie podajesz kodu BLIK nikomu - to ty odbierasz kod od kupującego i wpisujesz go we własnej aplikacji. Prośba o twój kod "do potwierdzenia", "cofnięcia" czy "anulowania" to zawsze próba wypłaty na twój koszt.
Dostałem link do "odbioru płatności" za sprzedany przedmiot. To normalne?
Nie. Żadna platforma nie wymaga podawania danych karty, żebyś odebrał pieniądze za sprzedaż. Taki link prowadzi do fałszywej strony i służy przechwyceniu twojej karty. Nie klikaj i zgłoś użytkownika.
Czy "nadpłata" i prośba o zwrot różnicy może być prawdziwa?
W praktyce to niemal zawsze schemat. Zaczekaj, aż płatność będzie realnie i trwale zaksięgowana na twoim koncie, zanim cokolwiek oddasz. Przy BLIK-u i płatnościach natychmiastowych "nadpłata do zwrotu" nie ma sensu, bo transakcji nie da się cofnąć.
Skąd te SMS-y i telefony, skoro dane miałem tylko na platformie?
Numer często zostawiasz w treści ogłoszenia albo podajesz w czacie, a stamtąd trafia do oszusta. Wiele z tych linków przychodzi SMS-em, dlatego warto znać zasady z tekstu o tym, jak rozpoznać phishing przez SMS.
Sprzedający prosi o zaliczkę "na rezerwację" przedmiotu. Wpłacać?
Odradzamy. Zaliczka przelewem albo BLIK-iem poza platformą to klasyczny sposób na wyłudzenie od kupującego - po jej otrzymaniu oszust znika, a ty zostajesz bez ochrony transakcyjnej. Jeśli przedmiot jest prawdziwy, kup go normalnie przez opcję z ochroną kupującego. "Rezerwacja za zaliczkę" na czacie to najczęściej test, czy dasz się namówić na płatność poza systemem.
Czy płatność "za pobraniem" u kuriera daje pełne bezpieczeństwo?
Chroni cię przed niewysłaniem paczki, ale nie przed jej zawartością. Płacąc przy odbiorze, zwykle nie możesz sprawdzić towaru przed zapłatą, więc w pudełku może być cegła zamiast telefonu. Za pobraniem rozwiązuje problem "zapłaciłem i nic nie przyszło", ale nie problem "przyszło coś bezwartościowego" - w tej drugiej sytuacji zostaje ci reklamacja i zgłoszenie oszustwa.
Podsumowanie
Oszustwa na Allegro, Vinted i Facebook Marketplace wyglądają na dziesiątki różnych trików, ale opierają się na dwóch prostych kłamstwach: że musisz coś załatwić poza platformą i że kod BLIK służy do "potwierdzania" albo "cofania". Ani jedno, ani drugie nie jest prawdą. Zostań w systemie platformy, wydawaj towar dopiero po zaksięgowaniu pieniędzy i nie podawaj kodu BLIK nikomu. Ta jedna dyscyplina rozbraja większość scenariuszy, zanim zdążą cię kosztować.