Oszustwo na OLX przez WhatsApp: link do odbioru pieniędzy i kod z SMS-a

Oszustwo na OLX przez WhatsApp działa tak: ktoś pisze, że kupił twój przedmiot i już zapłacił, a pieniądze odbierzesz po kliknięciu w link. Link prowadzi do fałszywej strony łudząco podobnej do OLX, na której wpisujesz dane karty, a potem kod z SMS-a od banku. Ten kod autoryzuje operację na twojej karcie, a nie odbiór pieniędzy.

Przeczytałem trzy komunikaty polskiej policji na ten temat. Opisują ten sam schemat i zgadzają się co do tego, że kluczowy jest moment otrzymania linku i prośba o kontakt poza OLX.

Jak wygląda schemat: cztery etapy od ogłoszenia do pustego konta

Opis pochodzi z komunikatu Komendy Powiatowej Policji w Strzelinie z 17.01.2022. Pokrywa się z tym, co pisze policja z Wielunia.

Schemat wygląda następująco:

• Wystawiasz przedmiot na OLX. Szybko zgłasza się "kupiec", najczęściej przez WhatsApp, a nie przez czat serwisu.
• Rozmówca twierdzi, że już zapłacił, a pieniądze możesz odebrać po wejściu w link.
• Link prowadzi na stronę łudząco podobną do OLX, z formularzem na dane karty i stan konta. Policja z Wielunia dodaje, że dane karty mają rzekomo posłużyć do przelewu za przedmiot z ogłoszenia.
• Bank wysyła SMS z kodem autoryzacyjnym. Wpisujesz go do formularza, a oszust płaci twoją kartą przez aplikację płatniczą albo wypłaca gotówkę z bankomatu.

Strzelińscy policjanci kończą opis jednym zdaniem: konto jest puste.

Co naprawdę znaczy kod z SMS-a od banku

Najczęstszy błąd to wpisanie kodu bez czytania treści wiadomości. Według komunikatu ze Strzelina w SMS-ie jest jasno napisane, że autoryzujesz dodanie swojej karty do Google Pay lub Apple Pay. To nie jest potwierdzenie przyjęcia pieniędzy.

Policja z Wielunia opisuje to samo z innej strony: kod wpisany do formularza autoryzuje wypłatę środków z konta przez oszusta. Oba opisy prowadzą do jednego wniosku. Do przejęcia pieniędzy oszust potrzebuje trzech rzeczy: danych karty z formularza, twojej zgody w postaci kodu i chwili nieuwagi. Dane karty bez kodu to dla niego za mało.

Dlatego pierwsza rada ze Strzelina brzmi: czytaj SMS-y od banków i zwracaj uwagę na to, co autoryzujesz. Poznaj też zasady bezpieczeństwa swojego banku i stosuj je, gdy korzystasz z portali aukcyjnych.

Czego OLX nie robi: linki do odbioru pieniędzy i Dotpay

Policja z Wielunia powołuje się na oficjalny blog OLX. Według tego cytowanego fragmentu OLX nie generuje linków do opłacenia zakupu ani do podania danych w celu otrzymania płatności za twój przedmiot. Przy finalizacji Płatności OLX jedyną stroną, do której cię przekierowuje, jest Dotpay, i to przez nią realizowana jest wpłata.

Z tego wynika prosta reguła. Jeśli rozmówca podsyła link, który ma rzekomo odblokować wypłatę, a ty nie widzisz tej wpłaty w procesie opisanym przez OLX, masz do czynienia z próbą wyłudzenia. Policja ze Strzelina odsyła dodatkowo do oficjalnego bloga OLX o phishingu, gdzie są przykłady wiadomości i fałszywych stron.

Sygnały ostrzegawcze z komunikatów policji

Z trzech komunikatów da się złożyć listę sygnałów. Zestawiłem je z tym, co radzi policja:

Wiele z tych punktów to znane sygnały z innych oszustw w sieci. Podobną logikę opisuję w tekście o sygnałach oszustwa internetowego z influencerem w tle. Zmienia się opakowanie, a mechanizm zostaje: link, pośpiech i prośba o dane.

Jak sprawdzić link, zanim go klikniesz

Policja Łódzka opisuje metodę, która nie wymaga otwierania podejrzanej strony:

• Nie klikaj w link od sprzedającego ani kupującego.
• Skopiuj go i wklej w pole Centrum Pomocy OLX.
• Jeśli pole podświetli się na czerwono, strona jest fałszywa.
• Następnie zaznacz opcję "Zgłoś".

Łódzcy policjanci zaznaczają, że przy takiej ofercie momentem newralgicznym jest otrzymanie linku, i to zarówno gdy kupujesz, jak i gdy sprzedajesz. W komunikatach ze Strzelina i Wielunia opisany jest wariant ze sprzedającym, którego namawia się do "odbioru" pieniędzy.

Łódzka policja przestrzega też przed uspokajającymi gestami oszusta. Taka osoba często legitymuje się dowodem osobistym, żebyś uwierzył w jej prawdomówność. Policja radzi nie wierzyć w takie deklaracje.

Wpisałeś kod z SMS-a: co zrobić od razu

Komunikaty są spójne co do kolejności działań:

• Zadzwoń na infolinię swojego banku. Policja ze Strzelina pisze, że z bankiem trzeba się skontaktować koniecznie przez infolinię.
• Zastrzeż kartę w bankowości lub w aplikacji banku. Według policji ze Strzelina karta przestaje wtedy działać również w Google Pay i Apple Pay.
• Zabezpiecz jak najwięcej danych teleadresowych, którymi posługiwał się oszust. Tak radzi policja z Łodzi.
• Zgłoś sprawę policji.

Kolejność ma znaczenie, bo zastrzeżenie karty zatrzymuje płatności z jej użyciem. Szczegółowy opis, gdzie i w jakiej kolejności zgłaszać takie sprawy, znajdziesz w tekście jak zgłosić oszustwo internetowe. Inne bieżące schematy opisuję w dziale scam, a o fałszywych reklamach z użyciem wizerunku piszę w materiale o reklamach deepfake z 2026 roku.

Czego policja w tych komunikatach nie podaje

Żaden z trzech komunikatów nie podaje liczby zgłoszeń ani łącznych strat. Policja Łódzka pisze tylko ogólnie, że policyjne statystyki każdego dnia rosną w tego typu zdarzenia. Komunikat ze Strzelina ma datę publikacji 17.01.2022, a strony policji z Łodzi i Wielunia nie pokazują daty w treści, którą przeczytałem.

Nie wiem więc, jak często dziś pojawia się ten wariant. Opisany mechanizm jest jednak powtarzalny, a rady z komunikatów nie zależą od skali zjawiska.

FAQNajczęstsze pytania