Polacy tracą oszczędności całego życia w pięć minut. Zobaczyli, uwierzyli. Teraz nie mają za co żyć i grozi im bezdomność

Paweł z Lublina miał zwyczaj sprawdzać Facebooka przy porannej kawie. Tego dnia zobaczył coś, co go zainteresowało – Donald Tusk w garniturze, siedzący w eleganckim gabinecie, opowiadał o „nowej metodzie inwestowania, której politycy nie chcą ujawnić”. Nagranie wyglądało profesjonalnie, dźwięk był czysty, premier mówił swoim charakterystycznym głosem. Paweł pomyślał: skoro premier to poleca, może warto się przyjrzeć.

Fot. Warszawa w Pigułce

Trzy tygodnie później stracił dwanaście tysięcy złotych oszczędności emerytalnych. Nagranie z Tuskiem było deepfakiem – sztuczną inteligencją wygenerowanym filmem tak doskonałym, iż choćby żona premiera mogłaby się nabrać. Paweł stał się jedną z dziesiątek tysięcy ofiar najbardziej wyrafinowanej kampanii oszustw w historii polskiego internetu.

Pięć razy więcej oszukańczych stron w trzy lata

Najnowszy raport CSIRT KNF – zespołu odpowiedzialnego za cyberbezpieczeństwo polskiego sektora finansowego – brzmi jak scenariusz filmu katastroficznego. W 2024 roku zidentyfikowali 51 241 oszukańczych stron internetowych. To o 70 procent więcej niż rok wcześniej i pięć razy więcej niż w 2021 roku. W praktyce oznacza to, iż każdego dnia w polskim internecie pojawiało się około 140 nowych stron stworzonych wyłącznie po to, żeby ukraść pieniądze.

Te liczby nie mówią jednak wszystkiego. Za każdą z tych stron stoją prawdziwi ludzie – tacy jak Paweł – którzy stracili oszczędności życia, wpłacając pieniądze na „pewne inwestycje”. Kobieta z Krakowa, która uwierzyła w ankietę „od PKO BP” obiecującą iPhone za wypełnienie formularza, oddała oszustom dostęp do swojego konta. Emeryt z Gdańska, który kliknął w link o „pilnej sprawie od ZUS”, stracił całą trzynastą emeryturę.

Dlaczego tak się dzieje? Większość ludzi nie jest przecież naiwna. Paweł prowadził przez lata własny biznes, Alicja z Krakowa pracowała w banku, emeryt z Gdańska był nauczycielem. To nie są osoby, które łatwo dają się oszukać w realnym świecie. Problem w tym, iż internet przestał być realnym światem.

Gdy sztuczna inteligencja staje się przestępcą

Paweł nie wiedział, iż nagranie z Tuskiem powstało w ciągu kilku godzin. Wystarczyły publicznie dostępne wypowiedzi premiera z YouTube, aplikacja do tworzenia deepfaków i kilkaset złotych opłaty za użycie profesjonalnego oprogramowania. Przestępca siedział prawdopodobnie gdzieś w innym kraju, może choćby na innym kontynencie, i tworzył dziesiątki podobnych nagrań z różnymi politykami.

Sztuczna inteligencja zrewolucjonizowała przestępczość tak samo, jak zrewolucjonizowała inne dziedziny życia. Gdzie kiedyś trzeba było wynająć aktora, zbudować scenografię i nagrać film, dziś wystarczy komputer i odpowiednia aplikacja. Gdzie kiedyś oszust mógł nabrać kilka osób dziennie, dzisiaj AI pozwala mu prowadzić tysiące równoległych konwersacji, każda dostosowana do profilu psychologicznego ofiary.

Z 51 tysięcy oszukańczych stron wykrytych w zeszłym roku, niemal 46 tysięcy to były fałszywe platformy inwestycyjne. Każda z nich obiecywała łatwe pieniądze, każda wyglądała profesjonalnie, każda miała rekomendacje „znanych osób”. W rzeczywistości każda była pułapką skonstruowaną przez algorytm, który przeanalizował tysiące prawdziwych stron inwestycyjnych i stworzył coś, co wyglądało bardziej wiarygodnie niż oryginał.

Historia powtarza się, tylko szybciej

Ania z Warszawy pracuje jako księgowa w średniej firmie. Ma doświadczenie w finansach, wie co to audyt, rozliczenia, rozumie podstawowe mechanizmy ekonomiczne. Gdy zobaczyła reklamę o inwestycji „polecane przez Beatę Szydło”, od razu pomyślała o oszustwie. Ale gdy sprawdziła stronę internetową, znalazła tam wszystko, czego się spodziewała – licencję KNF, adres biura w centrum Warszawy, choćby numer NIP, który można było zweryfikować w systemie.

Oszuści przygotowali się perfekcyjnie. Wynajęli prawdziwy adres mailowy, stworzyli fałszywą licencję KNF tak dobrą, iż tylko ekspert mógłby wychwycić różnicę, a choćby zarejestrowali spółkę w Krajowym Rejestrze Sądowym. To nie były już amatorskie próby wyłudzenia – to była przestępczość zorganizowana z budżetem i planowaniem jak w korporacji.

Ania zainwestowała pięć tysięcy złotych. Przez pierwsze tygodnie wszystko wyglądało wspaniale – konto pokazywało zyski, dostawała profesjonalne raporty, mogła choćby wypłacić niewielką kwotę na próbę. Gdy zdecydowała się wpłacić kolejne dziesięć tysięcy, pułapka się zamknęła. Próby wypłaty były blokowane pod różnymi pretekstami, obsługa klienta przestała odpowiadać, a strona internetowa zniknęła z dnia na dzień.

Dlaczego mądni ludzie dają się nabierać

Dr Marek Laskowski, psycholog zajmujący się zachowaniami konsumenckimi, badał przez ostatni rok ofiary oszustw internetowych. Jego wnioski są zaskakujące – to wcale nie są osoby naiwne czy nieuważne. Wręcz przeciwnie, często to ludzie wykształceni, zaradni, z doświadczeniem życiowym.

„Ludzie nie wpadają w te pułapki, bo są głupi” – tłumaczy dr Laskowski. „Wpadają, bo oszuści nauczyli się wykorzystywać podstawowe mechanizmy działania ludzkiego mózgu. Presja czasowa, autorytet, rzadkość, dowód społeczny – to są uniwersalne spusty psychologiczne, na które reaguje każdy z nas”.

Paweł z Lublina nie stracił pieniędzy, bo nie wiedział czym jest deepfake. Stracił je, bo był akurat w trudnej sytuacji finansowej, a oferta trafiła do niego w momencie, gdy szukał dodatkowych źródeł dochodu. Ania z Warszawy nie została oszukana, bo nie rozumiała jak działają inwestycje. Została oszukana, bo oszuści tak dobrze odrobili pracę domową, iż ich fałszywa firma wyglądała bardziej wiarygodnie niż niektóre prawdziwe.

Nowa plaga: ankiety, które kradną życie

Tomek pracuje w korporacji i każdego dnia ma dziesiątki spraw do załatwienia. Gdy dostał SMS-a: „Metro Warszawa – krótka ankieta o jakości usług, nagroda 200 zł”, pomyślał sobie: „szybka sprawa, może coś się trafi”. Ankieta wyglądała standardowo – ocena czystości, punktualności, personelu. Na końcu była informacja, iż żeby odebrać nagrodę, trzeba podać numer telefonu i zalogować się do „systemu nagród”.

Tomek podał swoje dane, bo ankieta wyglądała znajomo – takie same logo, kolory i układ jak na prawdziwych stronach Metra. Nie zastanowił się nad tym, iż Metro nigdy wcześniej nie prowadziło nagrodowych ankiet SMS-em. Był w pośpiechu, miał jeszcze dziesięć innych rzeczy do zrobienia tego dnia.

Następnego ranka zorientował się, iż ktoś zaciągnął na jego dane pożyczkę przez internet. Fałszywa ankieta była tylko pretekstem do zebrania danych osobowych potrzebnych do kradzieży tożsamości. CSIRT KNF wykrył w 2024 roku ponad 4000 takich fałszywych ankiet – od PKO BP przez Biedronkę po Allegro. Każda wyglądała autentycznie, każda miała jeden cel – ukraść dane, które później można było sprzedać innym przestępcom.

Jak żyć w świecie, gdzie nic nie jest prawdziwe

Problem polega na tym, iż tradycyjne metody weryfikacji przestały działać. Sprawdzenie adresu URL? Oszuści kupują domeny tak podobne do oryginałów, iż różnica to jedna litera. Weryfikacja certyfikatu SSL? Dzisiaj każdy może kupić profesjonalnie wyglądający certyfikat za kilkadziesiąt złotych. Zaufanie do znanych twarzy? Deepfaki są tak dobre, iż choćby eksperci mają problem z ich wykryciem.

Marzenka z Poznania ma 67 lat i nie uważa się za osobę szczególnie obeznany z technologią. Ale gdy zobaczyła na Facebooku nagranie, gdzie Jerzy Owsiak mówi o „pomocy dla seniorów w trudnej sytuacji finansowej”, od razu poczuła, iż coś jest nie tak. „Jerzy zawsze mówi inaczej, ma inne gesty” – wyjaśnia. „To był dobry deepfake, ale nie idealny”.

Marzenka uniknęła oszustwa, bo zaufała swojej intuicji, nie technologii. Nie sprawdzała certyfikatów ani analizowała adresów URL. Po prostu pomyślała: dlaczego Owsiak miałby nagrywać takie rzeczy na Facebooku? Dlaczego nikt o tym nie mówi w normalnych mediach? To wystarczyło.

Dlaczego to będzie tylko gorzej

Eksperci od cyberbezpieczeństwa mają dla nas złe wiadomości. Kamil Nowak z firmy zajmującej się ochroną przed cyberatakami uważa, iż 2024 rok to był dopiero początek. „Mamy do czynienia z wyścigiem zbrojeń” – mówi. „Oszuści dostają lepsze narzędzia, ale my też się uczymy. Problem w tym, iż oni są o krok przed nami”.

Nowe narzędzia AI pozwalają już nie tylko na tworzenie fałszywych nagrań, ale też na prowadzenie całych konwersacji przez telefon. System może naśladować głos konkretnej osoby, odpowiadać na pytania, a choćby reagować emocjonalnie na to, co słyszy. Za rok czy dwa może być tak, iż będziesz rozmawiał przez telefon z deepfakiem swojej żony i nie zorientujesz się, iż to nie ona.

Z drugiej strony, ludzie uczą się być bardziej ostrożni. Badania pokazują, iż młodsze pokolenia, które dorastały z internetem, są znacznie mniej podatne na oszustwa niż osoby, które zaczęły korzystać z sieci po czterdziestce. To daje nadzieję, iż w długim terminie sytuacja może się poprawić.

Co robimy źle jako społeczeństwo

Problem polskich oszustw internetowych ma swoje korzenie w czymś głębszym niż tylko brak edukacji technicznej. Dr Anna Kowalczyk, socjolog z Uniwersytetu Warszawskiego, która bada zjawisko cyberoszustw, uważa, iż to odzwierciedlenie szerszych problemów społecznych.

„W Polsce mamy bardzo wysokie zaufanie do autorytetów i bardzo niskie zaufanie do instytucji” – wyjaśnia. „Gdy widzimy polityka polecającego inwestycję, wierzymy, bo to osoba znana. Jednocześnie nie sprawdzamy tego w oficjalnych źródłach, bo nie ufamy instytucjom. To idealna kombinacja dla oszustów”.

Dodatkowo, Polacy są bardziej skłonni do podejmowania ryzyka finansowego niż mieszkańcy państw zachodnich. To efekt dekad, gdy oficjalne sposoby inwestowania były niedostępne lub nieopłacalne. Ludzie przyzwyczaili się szukać alternatywnych sposobów pomnażania pieniędzy, co czyni ich podatnymi na oferty „niezwykłych okazji”.

Niewygodna prawda o przyszłości

Rzeczywistość jest taka, iż walka z cyberoszustwami to walka przegrana z góry. Oszuści zawsze będą o krok przed systemami ochrony, bo oni nie muszą przestrzegać żadnych zasad. Mogą używać najnowszych technologii, łamać prawo, działać z krajów, gdzie nie ma ekstradycji.

CSIRT KNF może wykryć i zgłosić 51 tysięcy oszukańczych stron, ale ile jest takich, których nie wykryli? Ile powstaje każdego dnia na nowo? Ile działa tak sprawnie, iż choćby ich ofiary nie zdają sobie sprawy, iż zostały oszukane?

Jedyną realną ochroną nie są programy antywirusowe czy blocklists stron internetowych. Jedyną ochroną jest zmiana mentalności. Zamiast ufać i sprawdzać, musimy nauczyć się nie ufać i dwa razy sprawdzać. Zamiast myśleć „to wygląda wiarygodnie”, musimy myśleć „dlaczego mam to wierzyć”.

To brzmi cyniczne, ale w świecie, gdzie każdy może być deepfakiem, a każda strona internetowa może być pułapką, cynizm może być formą samoobrony.

Paweł z Lublina odzyskał część pieniędzy – jego bank zdołał anulować niektóre przelewy. Ale przede wszystkim odzyskał coś ważniejszego: zdrową nieufność wobec „okazji” w internecie. Teraz gdy widzi reklamę z politykiem polecającym inwestycję, pierwszą rzeczą jaką robi, to sprawdzenie czy ta osoba rzeczywiście to powiedziała. jeżeli nie ma o tym informacji w normalnych mediach, to znaczy, iż to oszustwo.

To może brzmi jak paranoją, ale w dzisiejszym internecie paranoja jest często jedyną racjonalną postawą.