Lista polskich fałszywych sklepów internetowych – uważaj na nie

Aktualna lista polskich fałszywych sklepów internetowych obejmuje setki rotujących domen, z których najgroźniejsze to witryny podszywające się pod znane marki obuwnicze, sklepy ze sprzętem RTV oraz fikcyjne hurtownie pelletu i węgla. Żeby nie stracić pieniędzy, powinieneś przed każdą transakcją weryfikować datę rejestracji domeny w bazie WHOIS, sprawdzać fizyczny adres podmiotu w CEIDG oraz kategorycznie unikać miejsc, które oferują wyłącznie płatność z góry przelewem na konto bankowe. Oszuści masowo wykorzystują kampanie reklamowe w mediach społecznościowych, kierując ruch na strony o żywotności nieprzekraczającej kilkunastu dni.

Prawda jest zresztą absolutnie taka, że mechanizmy weryfikacji po stronie platform reklamowych praktycznie nie działają. My w branży widzimy to codziennie. Sklepy widmo pojawiają się w piątek wieczorem. Zbierają żniwo przez weekend. W poniedziałek rano domena zwraca błąd 404, a pieniądze klientów przepływają przez łańcuch giełd kryptowalut. To nie jest problem, który rozwiąże kolejna dyrektywa unijna. To surowa rzeczywistość e-commerce, w której konsument jest zdany wyłącznie na własną paranoję.

Jakie polskie fałszywe sklepy internetowe działają obecnie w sieci?

Oszuści odeszli od budowania długoterminowych marek. Zamiast tego stawiają na masowe klonowanie jednego szablonu. W zdecydowanej większości przypadków fałszywy sklep internetowy korzysta z gotowego silnika PrestaShop lub Shopify, do którego podpięto kradzione zdjęcia z chińskich platform hurtowych. Domena kosztuje kilkanaście złotych. Certyfikat SSL jest darmowy od Let’s Encrypt. Klienci widzą kłódkę w przeglądarce i ślepo ufają, że transakcja jest bezpieczna.

Kłódka oznacza tylko tyle, że twoje dane płatnicze są szyfrowane w drodze do serwera o​szusta. Nic więcej.

W ostatnich miesiącach zauważyliśmy wyraźny schemat w nazewnictwie domen. Przestępcy masowo rejestrują adresy składające się z nazwy znanej marki i dopisku “polska”, “warszawa” lub “wyprzedaz”. Przykładowo, jeśli popularna marka butów ma adres marka.com, oszuści stawiają sklep pod adresem markapolska-sklep.pl. Użytkownik wpisuje w wyszukiwarkę nazwę, klika w pierwszy sponsorowany link i ląduje na idealnie odwzorowanej kopii. Różnicę widać dopiero w regulaminie, który zazwyczaj jest przetłumaczony translatorem z języka rosyjskiego lub chińskiego, a w miejscu danych firmy widnieje przypadkowy adres z Wielkiej Brytanii. A czasem nie ma go wcale.

Po czym poznać, że sklep online to bezczelny scam?

Sami pewnie kliknęliście kiedyś w taką reklamę na Facebooku. Ja też kliknąłem w zeszłym tygodniu, szukając części do roweru. Strona wyglądała poprawnie. Były opinie, był koszyk, działał czat na żywo z konsultantem. Dopiero próba finalizacji zamówienia zdradziła całą operację. Zawsze zwracaj uwagę na cztery sygnały ostrzegawcze przed podaniem danych z karty.

• Wiek domeny. To jest absolutny weryfikator. Wchodzisz na stronę Krajowego Rejestru Domen lub zagraniczne whois.com, wklejasz adres URL sklepu i patrzysz na datę rejestracji. Jeśli sklep chwali się dziesięcioletnim doświadczeniem i tysiącami zadowolonych klientów, a jego domena została zarejestrowana trzy dni temu, masz przed sobą oszustwo. Nie ma od tego wyjątków. Nikt nie przenosi wielkiego biznesu na nową, pustą domenę bez historii.
• Brak płatności kartą i wymuszanie przelewu. Fałszywe sklepy nienawidzą operatorów kart płatniczych. Systemy Visa i Mastercard mają wbudowaną procedurę chargeback, która brutalnie odbiera oszustom środki w przypadku zgłoszenia niedostarczenia towaru. Dlatego scammerzy oferują wyłącznie tradycyjny przelew na konto (często na zagraniczny numer IBAN) lub szybki przelew BLIK na numer telefonu tzw. słupa.
• Złodziejskie ceny. Zbyt niska kwota to pułapka na chciwość. Nikt nie sprzedaje nowych konsol do gier za połowę ceny hurtowej.
• Brak fizycznego adresu w CEIDG.

Zresztą powiem wam jak to wyglądało u nas na supporcie w zeszły wtorek. Przyszła klientka, płacze w słuchawkę, że kupiła robota planetarnego za 400 złotych na stronie, która miała w nazwie “RTV” i “AGD”. Pytam ją, czy sprawdziła regulamin. Mówi, że tak, czytała. Wchodzę na ten ich regulamin, a tam w sekcji zwrotów wklejony tekst lorem ipsum i adres firmy z siedzibą na Wyspach Marshalla. Ludzie po prostu nie czytają tego, co mają przed oczami, dopóki z konta nie zejdzie im hajs. I to jest główny problem. Nagle okazuje się, że serwer stoi w Panamie i prokuratura umarza sprawę po tygodniu, bo NIKT nie będzie wysyłał interpolu po 400 złotych za robota kuchennego. Takie są realia.

Gdzie zgłosić oszustwo w sklepie internetowym?

Jeśli już przelałeś pieniądze i kontakt ze sprzedawcą się urwał, musisz działać szybko. Czas gra na twoją niekorzyść. Oszuści błyskawicznie transferują środki na inne konta lub wymieniają je na kryptowaluty. Pierwsze 24 godziny decydują o tym, czy masz jakiekolwiek szanse na odzyskanie gotówki.

Nie miej złudzeń. Zgłoszenie sprawy na policję rzadko kończy się odzyskaniem pieniędzy z konta sprawcy. Słupy, na które zakładane są rachunki bankowe, to najczęściej osoby bezdomne lub ludzie zwerbowani przez internet pod pretekstem “pracy zdalnej przy testowaniu aplikacji bankowych”. Prawdziwi organizatorzy procederu siedzą poza jurysdykcją polskich służb. Zgłoszenie ma jednak inny cel. Bez policyjnej notatki żaden bank nie potraktuje twojej reklamacji poważnie.

Czy bank zwróci pieniądze za zakupy w fałszywym sklepie?

Zależy od metody płatności. Jeśli płaciłeś kartą debetową lub kredytową, masz w ręku potężne narzędzie. Nazywa się chargeback. Dzwonisz do banku, mówisz, że towar nie dotarł, a sprzedawca nie odpowiada. Bank przyjmuje zgłoszenie i sam uderza do centrum rozliczeniowego. Sprzedawca ma zazwyczaj kilkanaście dni na udowodnienie, że wysłał paczkę. Fałszywy sklep internetowy oczywiście niczego nie udowodni. Hajs wraca na twoje konto. Proces trwa od kilku tygodni do dwóch miesięcy, ale ma bardzo wysoką skuteczność.

Gorzej, jeśli zrobiłeś zwykły przelew z konta na konto.

W przypadku tradycyjnego przelewu bank umywa ręce. Zgodnie z polskim prawem bankowym, instytucja finansowa odpowiada za realizację zlecenia zgodnie z podanym numerem rachunku. Nie weryfikuje, czy nazwa odbiorcy zgadza się z właścicielem konta. Kliknąłeś “wyślij”, system przetworzył dane, pieniądze poszły. Możesz złożyć reklamację, ale bank najpewniej odpisze formułką, że transakcja została autoryzowana poprawnie przez użytkownika. Wtedy zostaje ci tylko powództwo cywilne przeciwko właścicielowi rachunku. A jak już ustaliliśmy, właścicielem jest zazwyczaj słup bez grosza przy duszy.

Jak odzyskać kasę z przelewu BLIK na fałszywy sklep?

Z BLIKiem jest jeszcze trudniej. Architektura tego systemu została zaprojektowana pod kątem maksymalnej szybkości i nieodwracalności transakcji. Płacąc BLIKiem na stronie internetowej, autoryzujesz płatność w aplikacji mobilnej. Z technicznego punktu widzenia dajesz bankowi jasny sygnał: “Wiem, co robię, zgadzam się na natychmiastowe obciążenie”.

Szczerze mówiąc, z BLIKiem to loteria. Niektórzy agenci rozliczeniowi obsługujący bramki płatnicze (np. PayU, Przelewy24, Tpay) mają własne programy ochrony kupujących. Jeśli oszust podpiął fałszywy sklep pod legalną polską bramkę płatniczą, możesz uderzać bezpośrednio do operatora bramki. Oni mają procedury wstrzymywania wypłat dla podejrzanych merchantów. Ale oszuści szybko się uczą. Coraz częściej rezygnują z polskich bramek na rzecz zagranicznych procesorów krypto lub po prostu wyłudzają kod BLIK do wypłaty z bankomatu. Jeśli podałeś kod BLIK, a ktoś wypłacił gotówkę w bankomacie na drugim końcu Polski, szanse na zwrot od banku spadają drastycznie. Bank uzna, że sam udostępniłeś kod osobie trzeciej.

Jak oszuści budują fałszywe sklepy z elektroniką i butami?

Proces jest zautomatyzowany. Grupy przestępcze używają skryptów, które w kilka minut stawiają w pełni funkcjonalny sklep. Pobierają bazę produktów ze stron producentów. Ustawiają ceny o 40% niższe. Generują fałszywe paski “Ostatnia sztuka!” i “Ktoś właśnie kupił ten produkt”. Dodają moduł opinii, w którym boty co godzinę wrzucają pozytywne komentarze z kradzionymi zdjęciami profilowymi.

Wszystko po to, żebyś podjął decyzję impulsywnie. Masz poczuć presję czasu. Masz pomyśleć, że znalazłeś okazję życia, zanim ktoś inny sprzątnie ci ją sprzed nosa.

Zmieniliśmy te zasady na robocie lata temu. Kiedyś audytowaliśmy takie strony ręcznie. Sprawdzaliśmy nagłówki HTTP, szukaliśmy dziur w kodzie. Dzisiaj nie ma to sensu. Sklepy powstają i znikają w takim tempie, że żadna ręczna lista ostrzeżeń nie nadąża za rynkiem. Dlatego musisz nauczyć się rozpoznawać wzorce zachowań, a nie uczyć się na pamięć adresów domen. Domena to tylko tani, wymienny element w ich maszynie.

FAQ – Lista polskich fałszywych sklepów internetowych

Gdzie znajdę oficjalną listę podejrzanych sklepów internetowych w Polsce?

Nie istnieje jedna, centralna baza, która w czasie rzeczywistym blokuje wszystkie nowe zagrożenia. Najbardziej wiarygodnym źródłem jest Lista Ostrzeżeń Publicznych prowadzona przez Komisję Nadzoru Finansowego (KNF) oraz rejestr domen służących do wyłudzeń danych prowadzony przez CERT Polska. Warto też śledzić fora internetowe i grupy na Facebooku zrzeszające oszukanych konsumentów. Pamiętaj jednak, że brak sklepu na liście ostrzeżeń nie oznacza, że jest on bezpieczny. Nowe scamy potrzebują kilku dni, zanim trafią do oficjalnych rejestrów.

Czy płatność za pobraniem chroni przed oszustwem w e-commerce?

W dużej mierze tak, ale nie daje stuprocentowej gwarancji. Zamawiając za pobraniem, płacisz kurierowi przy odbiorze paczki. Oszuści prowadzący fałszywe sklepy rzadko decydują się na tę formę, bo wymaga ona fizycznej wysyłki czegokolwiek. Zdarzają się jednak przypadki, gdzie przestępcy wysyłają przesyłkę wypełnioną śmieciami lub ziemniakami. Odbierasz paczkę, płacisz kurierowi, otwierasz karton w domu i odkrywasz oszustwo. Pieniądze są już u przewoźnika. Zawsze sprawdzaj zawartość przesyłki w obecności kuriera przed podpisaniem odbioru.

Co zrobić, gdy fałszywy sklep ukradł dane mojej karty płatniczej?

Natychmiast zablokuj lub zastrzeż kartę w aplikacji mobilnej swojego banku. Nie czekaj, aż z konta znikną kolejne środki. Oszuści często dokonują małej transakcji testowej (np. na 1 euro), a po kilku dniach próbują ściągnąć znacznie większą kwotę. Po zastrzeżeniu karty skontaktuj się z infolinią banku i zgłoś nieautoryzowane transakcje. Złóż wniosek o wydanie nowej karty z nowym numerem i kodem CVC.

Dlaczego fałszywe sklepy mają pozytywne opinie w Google i na Facebooku?

Opinie są masowo kupowane lub generowane przez boty. Przestępcy zakładają setki fałszywych kont, z których wystawiają sobie pięciogwiazdkowe recenzje. Często kradną prawdziwe komentarze z innych, legalnych sklepów, żeby uwiarygodnić swój profil. Ignoruj same gwiazdki. Szukaj opinii jednowiazdkowych. Jeśli sklep ma 500 opinii 5/5 i nagle pojawia się kilka długich komentarzy 1/5 opisujących brak wysyłki i zerwany kontakt, masz odpowiedź. Boty wystawiają oceny pozytywne, żywi ludzie piszą skargi.

Czy mogę cofnąć szybki przelew PayU lub Przelewy24 do oszusta?

Zatrzymanie szybkiego przelewu (tzw. pay-by-link) jest bardzo trudne, ponieważ bramka płatnicza księguje środki niemal natychmiast. Powinieneś jednak bezzwłocznie skontaktować się z operatorem bramki (dane kontaktowe znajdziesz w mailu z potwierdzeniem transakcji). Operatorzy mają obowiązek przeciwdziałania praniu brudnych pieniędzy. Jeśli otrzymają zgłoszenie o oszustwie, mogą zablokować wypłatę środków ze swojego subkonta na konto główne przestępcy. Wymaga to jednak szybkiej reakcji z twojej strony.

Jak sprawdzić, do kogo należy domena fałszywego sklepu?

Skorzystaj z wyszukiwarek WHOIS. Wpisz w przeglądarkę “WHOIS lookup” i wklej adres sklepu na jednej z darmowych stron. Zobaczysz datę utworzenia domeny oraz dane rejestratora. W przypadku polskich domen (.pl) dane osób prywatnych są domyślnie ukryte przez NASK ze względu na RODO, ale jeśli domenę zarejestrowała firma, zobaczysz jej nazwę. Oszuści często korzystają z usług firm ukrywających dane (tzw. privacy protection) z siedzibą na Bahamach lub Seszelach. To kolejny mocny sygnał ostrzegawczy.

Zanim wpiszesz ten CVC w formularzu na stronie, która sprzedaje markową kurtkę za ułamek ceny, weź głęboki oddech i sprawdź datę rejestracji domeny. Nikomu w sieci nie zależy na twoich pieniądzach tak bardzo, jak tobie samemu. Przestań wierzyć w okazje. Zablokuj kartę, złóż zawiadomienie i wyciągnij wnioski na przyszłość, zamiast czekać na cudowne odzyskanie środków przez system, który z założenia nie został stworzony do naprawiania błędów konsumentów.

Bibliografia:

1. CERT Polska – https://cert.pl

2. Komisja Nadzoru Finansowego – https://www.knf.gov.pl

3. Ministerstwo Finansów – https://www.gov.pl/web/finanse

4. Krajowy Rejestr Sądowy – https://prs.ms.gov.pl

5. Związek Banków Polskich – https://zbp.pl

6. Urząd Ochrony Konkurencji i Konsumentów – https://uokik.gov.pl