W sierpniu na Facebooku wisiały sponsorowane reklamy z logo Bankier.pl. Zapraszały do „oficjalnego kanału” z analizami inwestycyjnymi. Nie były nasze, a jednak przeszły przez moderację i trafiły do użytkowników.
Reklama miała naszą nazwę i naszą szatę graficzną. Obiecywała ekskluzywne analizy ekspertów i udawała materiał redakcji. Ostrzegaliśmy przed nią 7 sierpnia i powtarzamy: ani redakcja, ani analitycy Bankier.pl nie oferują w ten sposób dostępu do zamkniętych grup z rekomendacjami inwestycyjnymi. Do żadnych grup na WhatsAppie też nikogo nie zapraszamy.
Kilkanaście dni wcześniej to samo spotkało „Puls Biznesu”. Zespół social mediów Bankier.pl wypatrzył sponsorowany wpis z profilu „PB”, który kusił kanałem na WhatsAppie z ekskluzywnymi rekomendacjami. Sama reklama była zrobiona porządnie, zdradzał ją właściwie tylko nieco inny krój czcionki. Profil już nie (parę przypadkowych zdjęć plus grafika o skutkach otyłości).
Rano redakcja zgłosiła profil. Po kilku godzinach zniknął.
Po południu wrócił, z zablokowaną wcześniej reklamą na ścianie.
Kiedy Eugeniusz Twaróg z „PB” pisał o tym tekst, w okienku reklamowym na pb.pl wyskoczyła kolejna podróbka. Reklama prowadziła do fałszywych WP Wiadomości ze zmyślonym wywiadem z prezesem NBP. Twaróg wpisał w formularz swój numer. Telefon zadzwonił po pół minucie. Po drugiej stronie był „Mark” ze wschodnim akcentem, z ofertą inwestowania z pomocą sztucznej inteligencji.
Media dostają w tym za swoje od dawna. W raporcie rocznym za 2025 r. CSIRT KNF wymienia m.in. podróbki Onetu i TVN24 oraz zmyślone artykuły i wywiady. Banki i biura maklerskie też tam są, a raczej ich logotypy.
W sierpniu politycy zniknęli z reklam
Przez całą wiosnę i wczesne lato oszuści woleli polityków. Od marca do lipca 2026 r. ich twarze pojawiały się, według CSIRT KNF, w 18–31 proc. kampanii fałszywych inwestycji w miesiącu. Narodowy Bank Polski trzymał się równo, z udziałem 13–18 proc.
Potem przyszedł sierpień i polityków nie było wcale. Zero. Reklamy udające banki i domy maklerskie dobiły do 60 proc. zidentyfikowanych kampanii. Fałszywe kasyna miały 11 proc., marka Orlen 9 proc. Skąd ta zmiana? Raport KNF tego nie wyjaśnia. Mowa o raporcie „Przeciwdziałanie fałszywym inwestycjom. Wyniki działań operacyjnych w latach 2021–2026”, który KNF opublikowała 25 września.
Inne liczby z tego samego raportu: od stycznia do sierpnia CSIRT KNF zgłosił do blokady 5132 profile publikujące reklamy fałszywych inwestycji, w samym lipcu 1193. W lipcu przekazał też do CERT Polska 17 617 domen, ponad jedenaście razy więcej niż w czerwcu. KNF tłumaczy ten skok namierzeniem infrastruktury jednej masowej kampanii o zasięgu międzynarodowym.
Dla porządku: CERT Polska zarejestrował w 2025 r. 260 783 unikalne incydenty i 97 proc. z nich zaklasyfikował jako oszustwa komputerowe.
Formularz zamiast strony
Stara rada: sprawdź adres strony. Dobrze, tylko co, jeśli strony nie ma?
Coraz częściej jej nie ma. CSIRT KNF widział to już w 2025 r., kiedy kampanie fałszywych inwestycji przenosiły się do Lead Ads, czyli formularzy wbudowanych w sam system reklamowy. Dane kontaktowe zostają na Facebooku, a „doradca” odzywa się później, przez telefon. Zablokować nie ma czego. W 2025 r. CSIRT KNF zgłosił o 9490 stron mniej niż rok wcześniej. Profili publikujących takie reklamy było za to o 1288 więcej.
PKO BP pisze o formularzach z reklam w mediach społecznościowych krótko: „My nigdy o to nie prosimy”.
Zanim klikniesz
1. Kto za tym stoi? DSA (art. 26) każe platformom pokazywać przy każdej reklamie, w czyim imieniu jest wyświetlana i kto za nią zapłacił, jeśli to ktoś inny. Potem profil. Fałszywy „Puls Biznesu” sypał się przy pierwszym spojrzeniu. Z opcji „Dlaczego widzę tę reklamę” da się też przejść do Biblioteki Reklam Mety i zobaczyć, co jeszcze publikuje ten nadawca. Z jednym zastrzeżeniem, o nim niżej.
2. Dokąd to naprawdę prowadzi? Adres pod reklamą może kłamać. CERT Polska ustalił, że Menedżer reklam Mety pozwala wpisać w podsumowaniu reklamy inną domenę niż docelowa i nikt tego nie sprawdza. Oszuści wpisywali tam np. gazeta.pl.
CSIRT KNF opisuje sprytniejszy wariant. Reklama pokazywała prawdziwą domenę banku, a po kliknięciu otwierała się fałszywa bankowość pod adresem z literami z cyrylicy, w pasku przeglądarki niemal nie do odróżnienia od oryginału. Liczy się więc adres po kliknięciu, czytany znak po znaku.
Komunikat CERT Polska zamiast strony oznacza, że domena trafiła już na Listę ostrzeżeń. Nie każdy go jednak zobaczy, bo blokada działa tylko u operatorów, którzy ją wdrożyli.
3. Czego chce? Najpierw numeru telefonu, jeszcze przed jakimikolwiek szczegółami, a potem pada zapowiedź kontaktu „doradcy inwestycyjnego”. Ministerstwo Finansów każe na to uważać. Resztę scenariusza dopowiada CERT Polska. Dzwoni „przedstawiciel” i namawia do przelewu. Zwykle także do instalacji programu do udostępniania ekranu, rzekomo na szkolenie z obsługi platformy. A WhatsApp? Ten sam schemat, tylko w komunikatorze.
4. Co obiecuje? 900 zł, które w kilka dni ma się zamienić w 10 000 zł, „bez ryzyka”. To przykład z materiałów CERT. Oferta oczywiście tylko dla nielicznych.
5. Czy bank mówi to samo u siebie? Jeśli oferty nie ma na jego oficjalnej stronie, to jej nie ma. Można zadzwonić, ale na numer ze strony banku, nie z reklamy. Firmę inwestycyjną sprawdza się na liście ostrzeżeń publicznych KNF, co radzi sam CSIRT KNF.
Znana twarz w reklamie nic nie znaczy
Głos się zgadza, ruch warg też. CSIRT KNF opisuje deepfake'i, w których zsynchronizowane usta i sklonowany głos dają złudzenie prawdziwego wystąpienia. CERT Polska pisze wprost o nagraniach, w których znany aktor albo dziennikarz zachwala inwestycję. Nigdy tego nie powiedział.
A weryfikacja platformy? Reklama ją przechodzi, bo moderator widzi co innego niż użytkownik. CERT Polska opisał cloaking. Strona oszustów sprawdza m.in. przeglądarkę i adres IP odwiedzającego. Kto wchodzi z adresów NASK, KNF, Facebooka albo Google, dostaje niewinny portal. Zwykły użytkownik dostaje oszustwo.
Teraz obiecane zastrzeżenie do Biblioteki Reklam. W lipcu CSIRT KNF wydzielił osobną kategorię reklam maskowanych, w których treść w bibliotece różni się od tej, którą widzi użytkownik. Takie reklamy stanowiły 17 proc. kampanii w lipcu i 8 proc. w sierpniu. Nowe wersje reklam trafiają do biblioteki nawet z dobowym opóźnieniem, a użytkownik widzi je od razu.
Co z tym zrobić?
Najpierw zrzut ekranu. Link do wyświetlonej reklamy trudno zdobyć, na co CERT Polska zwraca uwagę od dawna.
Potem zgłoszenie na samej platformie, jako oszustwo i podszywanie się pod inną firmę. Na szybki efekt nie ma co liczyć. Według CERT zgłoszenia zwykłych użytkowników bywają zamykane po 7 dniach bez usunięcia reklamy. Dlatego ta sama podróbka powinna trafić też do CERT Polska. Adres strony przyjmuje formularz incydent.cert.pl/domena. W mObywatelu ścieżka prowadzi przez „Bezpiecznie w sieci” i „Zgłoś incydent”, dalej „Oszustwa i cyberataki”, na końcu „Złośliwa strona internetowa”.
Daj znać także bankowi, którego logo ktoś użył. PKO BP zachęca, by w razie wątpliwości pisać do niego w mediach społecznościowych albo dzwonić na infolinię. Podróbkę z logo Bankier.pl zgłosisz nam przez formularz kontaktowy.
A jeśli dane już poszły albo pieniądze zniknęły z konta? Ministerstwo Finansów radzi od razu dzwonić do banku i zmienić hasła. Zrzuty ekranu i potwierdzenia przelewów trzeba zachować. Potem zawiadomienie na policji.
