Phishing przy zakupach online – jak rozpoznać fałszywy sklep zanim zapłacisz?

Picodi22 maja 2026 r.

W 2025 roku CERT Polska zarejestrował ponad 260 000 incydentów bezpieczeństwa – o 150% więcej niż rok wcześniej. Blisko 80 000 z nich dotyczyło phishingu. W grudniu 2025 roku oszustwa komputerowe stanowiły aż 98% wszystkich obsłużonych incydentów. Fałszywe sklepy internetowe, podszywanie się pod znane marki i wyłudzenia przy okazji zakupów to dziś codzienność – coraz trudniejsza do odróżnienia od prawdziwego handlu. Ten artykuł pokazuje konkretne techniki weryfikacji, które działają nawet wtedy, gdy fałszywa strona wygląda identycznie jak oryginał.

Dlaczego wygląd strony nie jest dowodem jej autentyczności?

To najważniejsza informacja w tym artykule, dlatego jest na początku: wygląd strony niczego nie dowodzi. Współczesne ataki phishingowe wykorzystują dokładne kopie wizualne znanych serwisów – praktycznie każdy, kto ma podstawowe umiejętności techniczne, może skopiować logo, kolory i układ graficzny. Fałszywa strona może wyglądać identycznie jak oryginał, łącznie z certyfikatem SSL (kłódką przy adresie URL).

Kłódka przy adresie to znak, że połączenie jest szyfrowane – ale nie oznacza, że strona należy do kogoś, za kogo się podaje. Oszuści też mają certyfikaty SSL. Jedyną niezawodną metodą weryfikacji jest analiza adresu URL – nie wyglądu strony.

Jak analizować adres URL – konkretna metoda krok po kroku

Adres URL to jedyne miejsce, którego fałszerze nie mogą dokładnie skopiować. Metoda jest prosta, ale wymaga chwili skupienia:

Krok 1: Znajdź domenę główną. Czytaj adres od prawej strony, ignorując wszystko po prawym ukośniku. W adresie allegro.pl/kategoria/elektronika domena główna to allegro.pl. W adresie allegro-promocje.scam.pl/allegro domena główna to scam.pl – zupełnie inny właściciel.

Krok 2: Sprawdź, czy domena jest dokładnie taka jak oficjalna. Najczęstsze sztuczki oszustów:

Dodatkowa litera lub literówka: alllegro.pl, amazzon.pl
Zamiana liter na podobne cyfry: a1legro.pl, inp0st.pl
Domena z myślnikiem: inpost-paczka.com zamiast inpost.pl
Prawdziwa nazwa jako poddomnena: allegro.pl.scam.com – domena to scam.com, nie allegro.pl
Zmiana końcówki domeny: allegro.shop, zalando.store zamiast .pl

Krok 3: Sprawdź datę rejestracji domeny. Narzędzie whois.domaintools.com – wpisujesz domenę i widzisz, kiedy została zarejestrowana. Sklep z 30-letnią historią, którego domena ma 3 tygodnie, to ewidentny sygnał ostrzegawczy. Fałszywe sklepy często są rejestrowane kilka tygodni przed wyprzedażą lub sezonem zakupowym.

Czerwone flagi – lista sygnałów ostrzegawczych przed zakupem

Żaden z tych sygnałów sam w sobie nie jest dowodem oszustwa, ale kombinacja kilku z nich powinna skłonić do ostrożności:

Ceny o 50–70% niższe niż wszędzie indziej – iPhone za 800 zł, kurtka The North Face za 99 zł. Jeśli oferta wygląda zbyt dobrze, żeby być prawdziwą – prawdopodobnie nią nie jest.
Tylko jedna metoda płatności – wyłącznie przelew bankowy lub kryptowaluty. Legalne sklepy oferują karty, BLIK, PayPal. Przelew to metoda bez chargebacku – trudno odzyskać pieniądze po stracie.
Błędy językowe i dziwne sformułowania – automatycznie przetłumaczona treść, mieszane czcionki, niespójne opisy produktów. Polskie sklepy piszą po polsku bez błędów.
Brak danych firmy lub NIP w regulaminie – każdy legalny sklep w Polsce musi podać nazwę firmy, adres i NIP w regulaminie. Sprawdź NIP w bazie REGON (stat.gov.pl) – jeśli nie istnieje w rejestrze, sklep nie jest legalny.
Presja czasowa – „Zostały 2 sztuki!”, „Oferta wygasa za 23 minuty!”, „Tylko dziś ta cena!”. Uczciwe sklepy nie stosują sztucznej presji czasowej przy standardowych produktach.
Brak lub fałszywe opinie – same 5-gwiazdkowe recenzje bez szczegółów, opinie dodane w krótkim czasie, brak negatywnych komentarzy. Sprawdź opinie na Ceneo lub Google przez wyszukiwarkę: „[nazwa sklepu] opinie” lub „[nazwa sklepu] scam”.
Domena zarejestrowana niedawno – sklep „z 10-letnią historią” z domeną sprzed miesiąca to sprzeczność. Sprawdź przez whois.
Brak możliwości zwrotu lub niejasna polityka zwrotów – legalne sklepy w Polsce mają ustawowe prawo do zwrotu w 14 dniach. Brak tej informacji to sygnał ostrzegawczy.

Nowe metody phishingu w 2026 roku – na co uważać?

Fałszywe reklamy w social mediach z AI deepfake. Oszuści używają wygenerowanych przez AI twarzy i głosów znanych osób do promocji fałszywych sklepów i platform inwestycyjnych. „Elon Musk poleca”, „Robert Lewandowski inwestuje” – to fałszywe materiały wideo, które nie mają nic wspólnego z wymienionymi osobami. Sławna twarz w reklamie to nie weryfikacja produktu.

SMS od kuriera z linkiem do dopłaty. Dostajesz SMS rzekomo od InPost lub DHL z informacją o paczce wymagającej dopłaty 2–5 zł. Link prowadzi do fałszywej strony łudząco podobnej do oryginału – po wpisaniu danych karty oszuści mają pełny dostęp do konta. Zasada: InPost i DHL nigdy nie proszą o podanie danych karty przez link w SMS-ie. Jeśli masz wątpliwości – wejdź na stronę kuriera bezpośrednio, nie przez link.

Fałszywe kody QR. Na ulotkach, w e-mailach lub na naklejkach na produktach pojawiają się kody QR prowadzące do stron phishingowych. Przed zeskanowaniem sprawdź, czy kod jest oryginalny (nie przyklejony na inne opakowanie) i zweryfikuj URL, który otwiera się po skanowaniu.

Likwidacyjne wyprzedaże fikcyjnych marek. Schemat: fałszywy sklep ogłasza „likwidację firmy z 30-letnią historią” z cenami –80%. Sklep nie istnieje, produkty nie zostaną wysłane. Zawsze sprawdzaj NIP i datę rejestracji domeny przy zakupach od nieznanej marki z wyjątkową promocją.

Co zrobić, jeśli podejrzewasz phishing lub dałeś się oszukać?

Nie podawaj żadnych dalszych danych – zamknij podejrzaną stronę natychmiast
Zmień hasło – jeśli podałeś je na podejrzanej stronie, zmień je natychmiast na oryginalnej platformie
Zadzwoń do banku – jeśli podałeś dane karty, zrób to w ciągu kilku minut. Bank może zablokować kartę i uruchomić procedurę chargeback
Zgłoś incydent do CERT Polska – przez stronę incydent.cert.pl lub SMS na numer 8080 z podejrzanym linkiem. CERT może zablokować fałszywą stronę, chroniąc kolejne ofiary
Złóż zawiadomienie na policji – przy stracie finansowej, przez epuap.gov.pl lub osobiście. To dowód przy odzyskiwaniu środków

Jeśli interesuje Cię temat bezpiecznych zakupów online i ochrony konsumenta, sprawdź również:

Autor: Piotr – Od dziesięciu lat kupuje w internecie i od dziesięciu lat szuka sposobu, żeby płacić mniej. Twierdzi, że to hobby, ale wszyscy wokół już wiedzą, że to obsesja.

Zespół Picodi – testujemy setki kodów tygodniowo, żebyś Ty nie musiał tracić czasu.