Oszustwa internetowe w UK — jak działają i co zrobić gdy już padniesz ofiarą

W samym 2024 roku oszuści ukradli w Wielkiej Brytanii ponad £1,1 miliarda. Nie milion. Miliard. W 2025 roku liczba zarejestrowanych przypadków oszustw przekroczyła 444 000 — rekord wszech czasów. Liczba ta rośnie co roku.

Ten wpis to transkrypcja wiedzy z rozmowy, którą Sebastian przeprowadził z Mariuszem — człowiekiem, który na własnej skórze (i portfelu) przetestował metody internetowych złodziei. Dowiesz się: jak działają, czemu tak łatwo się nabrać i co konkretnie zrobić, gdy już padniesz ofiarą.

Skala problemu jest większa niż myślisz

Zanim wejdziemy w szczegóły — jedna liczba, która powinna dać do myślenia.

Szacowany koszt oszustw w Anglii i Walii za rok kończący się w marcu 2024 wyniósł według Home Office £14,4 miliarda — z czego £9,2 miliarda dotknęło osoby prywatne. Nie firmy. Prywatne osoby, takie jak ty. Office for National Statistics

W 2024 roku oszustwa tożsamościowe (identity fraud) były najczęstszym typem przestępstwa — niemal 250 000 przypadków. Nieautoryzowane zamiany kart SIM wzrosły o ponad 1000%. Cifas

66% wszystkich przypadków tzw. APP fraud (gdzie ofiara sama przelewa pieniądze pod wpływem manipulacji) zaczęło się online. UK Finance

Phishing, klonowanie SIM, romance scam, fałszywe sklepy — to nie są problemy innych ludzi. To codzienność Polaków w UK, którzy robią zakupy, bankują i inwestują w internecie. I dlatego o tym piszemy.

Phishing — fałszywa strona banku, która wygląda jak prawdziwa

Phishing to podszywanie się pod bank, firmę kurierską albo znajomego. Dostajesz SMS lub maila z linkiem. Klikasz. Strona wygląda jak Barclays, jak Amazon, jak InPost. Logujesz się. Gotowe — właśnie oddałeś swoje dane złodziejom.

Kluczowy trick: domena. Zamiast barclays.co.uk masz barclays-secure.co.uk albo barc1ays.co.uk — zero zamiast O, przestawione litery. Różnica na tyle mała, że oko ją przeskakuje.

Najczęstsze scenariusze:

„Twoje konto bankowe zostało zablokowane” — SMS z linkiem do „odblokowania”. Klikasz w panice i logujesz się na fałszywej stronie.

„Dopłać za paczkę” — kilka funtów, żeby kurier dojechał. Klasyk, który działa, bo paczki wszyscy zamawiamy.

Fałszywy QR kod na parkingu — naklejka przyklejona przez oszusta na automacie parkingowym. Skanuje kod, płacisz, pieniądze trafiają nie tam, gdzie trzeba.

Jak się bronić:

Nigdy nie wchodź na stronę banku czy kuriera z linku w SMS. Wpisz adres ręcznie albo zadzwoń na numer z karty. Sprawdź domenę dwa razy. Unikaj skróconych linków (np. bit.ly) — nie wiesz, gdzie prowadzą.

I obowiązkowo: włącz 2FA (two factor authentication) wszędzie gdzie się da — bank, mail, social media. To podwójne zabezpieczenie, bez którego jesteś — jak to ujął Mariusz — „prawie goli i weseli”.

Dodaj do tego menedżer haseł (LastPass, 1Password, lub wbudowany na iPhonie) — po pierwsze generuje trudne hasła, po drugie automatycznie wykryje, gdy jesteś na fałszywej stronie i odmówi podania danych logowania. Proste, a skuteczne.

Kryptowaluty i inwestycje — raj dla oszustów

Jeśli interesujesz się kryptowalutami, masz na głowie podwójne zagrożenie.

Po pierwsze: fałszywe oferty inwestycyjne. Na Telegramie, Discordzie, WhatsAppie, Messengerze — dostajesz wiadomość o „gwarantowanych zyskach”, „AI tradingu”, „podwojeniu bitcoinów”. Ktoś się podszywa pod znane osoby (Elon Musk, Robert Kiyosaki, a w Polsce nawet pod szefa InPostu Rafała Brzoskę — generując fałszywy wizerunek przez AI). Straty z romance scamu i scamu inwestycyjnego wzrosły o 35% w pierwszej połowie 2025 roku. UK Finance

Po drugie: pump and dump na scam tokenach. Ktoś tworzy nową kryptowalutę, pompuje cenę, zachęca innych do wejścia, po czym znika z kasą. Tokenów tego typu są tysiące.

Po trzecie: fałszywe portfele i giełdy. Chcesz kupić bitcoina? Upewnij się, że giełda ma licencję (w UK reguluje ją FCA). Jeśli nie możesz tego sprawdzić — nie wchodź. Pamiętaj też: środki na giełdzie to nie twoje środki. Trzymaj kryptowaluty we własnym portfelu sprzętowym (np. Ledger), a seed phrase zapisz na kartce — nigdy screenshotem.

Czerwona lampka: jeśli ktoś, kto nie jest licencjonowanym doradcą inwestycyjnym, oferuje ci konkretną inwestycję — łamie prawo UK. To nie jest szara strefa — to przestępstwo.

Romance scam, fałszywe sklepy i klonowanie głosu AI

Romance scam to budowanie fałszywej relacji przez miesiące. Oszust (lub oszustka — choć statystycznie to mężczyźni stoją za tymi profilami) tworzy atrakcyjny profil ze stockowych zdjęć, nawiązuje bliską relację, obniża czujność — a potem prosi o przelew na „nagły wypadek zdrowotny” albo „inwestycję”.

AI zrobiło z tego przemysł. Dziś wygenerowanie przekonującego profilu, zdjęć, a nawet wideo z rozmową zajmuje minuty.

Fałszywe sklepy internetowe — reklama na Facebooku, cena o 40% niższa niż w Amazonie, wygląda legalnie. Płacisz. Kontakt się urywa. Sklep często jest zarejestrowany na Seszelach albo podobnym raju podatkowym. Tu ratuje cię karta kredytowa: możesz złożyć claim (chargeback) i bank odzyska pieniądze za ciebie — bo płaciłeś pieniędzmi banku, nie swoimi.

Klonowanie głosu przez AI — dostaje telefon z ankietą, rozmawiasz kilka minut. Twój głos zostaje skopiowany. Potem dzwoni „ty” do znajomego z prośbą o pilny przelew. To nie jest science fiction — to działa już teraz.

Zasada: jeśli ktoś kontaktuje się z tobą głosowo i prosi o pieniądze lub dane — rozłącz się. Zadzwoń bezpośrednio na znany ci numer tej osoby. Nigdy nie reaguj na presję „teraz albo nigdy”.

Malware i przejęcie kont — gdy problem siedzi w twoim komputerze

Wirus na komputerze to nie to samo co irytujący popup. Nowoczesny malware to:

Keylogger — nagrywa każde twoje uderzenie w klawiaturę. Hasła, loginy, numery kart — wszystko.

Trojan (koń trojański) — instaluje się po kliknięciu w zainfekowany plik lub link. Daje oszustowi dostęp do twojego ekranu, plików, a nawet kryptowalutowych portfeli.

Remote access tool — oszust prosi cię, żebyś zainstalował „program do pomocy technicznej” (np. AnyDesk). Ty myślisz, że rozwiązujesz problem z kontem. On widzi twój ekran i steruje twoim komputerem.

Jeśli korzystasz z Windowsa — zainstaluj dobry program antywirusowy i aktualizuj go regularnie. Jeśli cokolwiek zainstalowałeś na prośbę nieznanej osoby — odinstaluj to natychmiast, zmień wszystkie hasła i sprawdź aktywne sesje logowania na swoich kontach społecznościowych.

Przejęcia kont (account takeover) wzrosły o 76% w 2024 roku — ponad 74 000 przypadków. Sektor telekomunikacyjny odnotował 105% wzrost. Cifas

Więcej na naszym kanale YT:

Padłeś ofiarą? Oto co zrobić w UK krok po kroku

Nie panikuj — działaj według kolejności.

1. Odetnij dostęp
   Jeśli zainstalowałeś podejrzany program — odinstaluj go natychmiast. Wyloguj się z urządzenia i sprawdź aktywne sesje na Facebooku, Google, emailu (ustawienia → bezpieczeństwo → aktywne sesje). Wyloguj wszystkich.
2. Zmień hasła
   Zacznij od maila (to klucz do wszystkiego), potem bank, social media. Ustaw 2FA wszędzie.
3. Zadzwoń do banku
   Jeśli podałeś dane karty lub coś zostało przelane — dzwoń natychmiast na numer z tyłu karty. Zastrzeż kartę, złóż claim. Szybkość ma znaczenie.
4. Zgłoś na policję
   Bez zgłoszenia nie ma śledztwa. Nie zakładaj, że „i tak nic z tego nie będzie”.
5. Dywersyfikuj
   Na przyszłość: trzymaj pieniądze w kilku bankach, kryptowaluty na kilku portfelach. Jeśli jeden front jest przejęty — drugi trzyma.

Gdzie zgłaszać oszustwa w UK — konkretne linki

Nie wiesz co z tym zrobić? Tu masz gotowy plan:

Zgłoszenie phishingowego maila:
→ Prześlij na: report@phishing.gov.uk (darmowe, NCSC bada każde zgłoszenie)

Podejrzany SMS:
→ Prześlij bezpłatnie na numer 7726 (działa na każdej sieci w UK)

Straciłeś pieniądze lub zostałeś zhakowany:
→ Wejdź na reportfraud.police.uk lub zadzwoń: 0300 123 2040

Nauka i profilaktyka:
→ ncsc.gov.uk — National Cyber Security Centre ma sekcje dla szkół, firm i osób prywatnych

Zgłoszenie fałszywej reklamy:
→ Advertising Standards Authority (ASA): asa.org.uk

Im więcej zgłoszeń — tym szybciej oszust traci możliwość działania. Jeśli zobaczysz fałszywy profil podszywający się pod kogoś znajomego, poproś innych, żeby też zgłosili. Razem działacie skuteczniej.

Co z tym zrobić — podsumowanie

Kilka zasad, które warto zapamiętać:

• Sprawdzaj domenę — zawsze, zanim podasz dane logowania. Literówka w adresie = fałszywa strona.
• 2FA to must-have — nie opcja, obowiązek. Wszędzie.
• Menedżer haseł — chroni przed fałszywymi stronami i przed twoim własnym lenistwem (tak, hasło123 to kiepski pomysł).
• Karta kredytowa do zakupów online — chargeback to twoja polisa ubezpieczeniowa.
• Żadne gwarantowane zyski nie istnieją — ktoś kto to obiecuje, albo łamie prawo UK, albo kradnie.
• Pod presją czasu — nie działaj. Właśnie o to im chodzi.

Bądźcie mądrzy przed szkodą, nie po.