Dwadzieścia pięć tysięcy oszustw w jednym miesiącu — w czym tu udział kasyn
W grudniu 2025 roku CERT Polska zarejestrował 24 700 incydentów oszustw — 98% wszystkich incydentów zgłoszonych w tym miesiącu. Co czwarty z nich miał komponent związany z systemem BLIK. Po dziewięciu latach śledzenia rynku iGaming widzę, że kasyna online — często fałszywe, czasem podrobione strony prawdziwych operatorów — są dla phisherów wygodną fasadą. Łączą trzy cechy idealne dla oszusta: społeczne zaufanie do „rozrywki”, presję czasu (sesja musi być szybka, kod BLIK żyje dwie minuty), i emocjonalną gotowość gracza do „spróbowania”.
Jurand Drop, wiceminister finansów, w odpowiedzi na zapytanie parlamentarne w 2025 roku precyzyjnie wskazał źródło problemu: „Sformułowanie 'oszustwo na BLIKA’ jest uproszczeniem, które przerzuca odpowiedzialność z faktycznego źródła problemu, czyli podszywania się przez przestępców pod znajomych ofiar, na system płatności.” Ta uwaga ma znaczenie — sam BLIK nie jest źródłem oszustwa, jest narzędziem wykorzystywanym w ataku socjotechnicznym. W tym tekście rozkładam, jak konkretnie wygląda phishing pod fałszywe kasyno i czego szukać, żeby go rozpoznać przed kliknięciem.
Mechanika phishingu pod kasyno BLIK — anatomia ataku
Klasyczny atak phishingowy z wykorzystaniem kasyna jako fasady ma cztery etapy. Pierwszy — przynęta. Reklama na Facebooku, Telegramie, w komentarzach pod filmami YouTube, czasem płatna reklama Google Ads w wyszukiwarce. Komunikat zwykle obiecuje „bonus 500 zł bez depozytu” lub „ekskluzywną ofertę dla nowych graczy” w „polskim kasynie online”.
Drugi etap — fałszywa strona. Kliknięcie linku prowadzi do strony udającej znanego operatora lub do brandu generycznego („CasinoPolska”, „BLIKCasino”, „PolskieKasynoOnline”). Wygląd jest profesjonalny — logotypy, listy gier, opinie graczy, certyfikaty SSL. Większość tych elementów jest skopiowana z legalnych operatorów. Bez głębszego sprawdzenia trudno odróżnić tę stronę od prawdziwego kasyna.
Trzeci etap — bramka płatnicza. Po kliknięciu „wpłać BLIKiem” gracz trafia do okna płatności, które na pierwszy rzut oka wygląda jak standardowy interfejs polskiego systemu płatności. W rzeczywistości jest to formularz kontrolowany przez oszusta, do którego gracz wpisuje sześciocyfrowy kod BLIK. Czwarty etap — autoryzacja. Oszust w tym samym momencie wprowadza ten sam kod w prawdziwej bramce płatniczej, kierując pieniądze na własny rachunek lub na rachunek „mułów finansowych”.
Skala problemu jest mierzalna. Według raportu BIK Antyfraudowego 2025 około 40% polskich respondentów spotkało się z próbą wyłudzenia kodu BLIK — wzrost o 10 punktów procentowych rok do roku. To znaczy, że dwie z każdych pięciu osób dorosłych w Polsce miało przynajmniej jedno doświadczenie z aktywnym scenariuszem phishingowym. Większość tych prób się nie udała, ale sam fakt skali jest sygnałem rozwoju problemu.
Z perspektywy mechaniki technicznej phishing pod BLIK jest skuteczniejszy niż phishing pod karty, bo dwa elementy autoryzacji są rozdzielone. Wpisanie kodu BLIK na fałszywej stronie to jeden etap, ale zatwierdzenie autoryzacji w aplikacji banku — drugi. Gracz w sekwencji szybkiej i emocjonalnej rzadko czyta uważnie komunikat w aplikacji banku, który mógłby zdradzić, że kwota lub odbiorca są inne niż oczekiwane.
Fałszywy link do kasjera — gdzie kryje się różnica
Większość fałszywych linków do „kasjera kasyna” wykorzystuje jedną z trzech technik. Pierwsza — przekierowanie do strony pośredniej, na której okno płatności jest fałszywe, a reszta strony zachowuje wygląd prawdziwego operatora. Druga — typosquatting, czyli rejestracja domen bardzo podobnych do prawdziwych (np. polske-kasyno.com zamiast polskie-kasyno.com, totalcasino-pl.com zamiast totalcasino.pl). Trzecia — wykorzystanie subdomeny: rzeczywistakomyna.totalcasino-bonus.com prowadzi nie do Total Casino, tylko do domeny totalcasino-bonus.com, a fragment „totalcasino” w pełnej nazwie jest tylko subdomeną.
Każdą z tych technik można rozpoznać przed kliknięciem, pod warunkiem że wie się, czego szukać. Pierwsza zasada — adres URL czyta się od prawej do lewej. Domena to ostatnie dwa segmenty przed ukośnikiem. W adresie „kasyno.bonus.totalcasino-promo.com” prawdziwa domena to „totalcasino-promo.com”, a nie „totalcasino”. Druga zasada — certyfikat SSL jest tylko sygnałem zaszyfrowania transmisji, nie autentyczności strony. Każda strona, łącznie z fałszywymi, może mieć certyfikat (są darmowe). Zielona kłódka w przeglądarce nic nie mówi o legalności operatora.
Trzecia zasada — porównanie z oryginałem. Jeśli kliknąłeś link, który prowadzi do strony znanego operatora, otwórz osobno nową kartę w przeglądarce, wpisz adres ręcznie (nie z linku) i porównaj. Różnice w wyglądzie, brak konkretnych elementów (na przykład numeru koncesji w stopce), inny adres email kontaktowy — wszystko to są sygnały, że ktoś próbuje cię oszukać.
Czwarta zasada — sprawdzenie domeny w narzędziach typu WHOIS. Domena zarejestrowana dwa tygodnie temu, na osobę z innego kraju, bez identyfikowalnego administratora — to obraz typowej domeny phishingowej. Domena prawdziwego operatora jest zwykle zarejestrowana na lata, ma jasną identyfikację właściciela, jest powiązana z fizycznym adresem firmy.
Czerwone flagi na stronie udającej kasyno
Pierwsza flaga — „ekskluzywny bonus tylko teraz”. Każda oferta z presją czasu jest podejrzana, bo legalne kasyna nie potrzebują presji. Drugaflaga — wymóg wpłaty przed weryfikacją tożsamości. Legalne kasyna mogą poprosić o KYC dopiero przy wypłacie, ale rzadko wprowadzają agresywne mechanizmy presji na wpłatę. Trzecia flaga — żądanie kodu BLIK w polu, które nie wygląda jak standardowy interfejs polskiej bramki płatniczej. Standardowe bramki w Polsce (PayU, Przelewy24, eService) mają charakterystyczne layouty, które rzadko są w 100% odtwarzane przez fałszywe strony.
Czwarta flaga — brak danych kontaktowych operatora. Adres siedziby, numer telefonu, dział reklamacji, adres email. Brak tych elementów to silny sygnał alarmowy. Piąta flaga — błędy językowe. Strony tłumaczone automatycznie z innego języka zachowują charakterystyczne błędy — niezgodności gramatyczne, dosłowne tłumaczenia idiomów, niespotykane formy odmiany. Szósta — brak referencji do polskich regulacji. Legalny operator polski cytuje numer koncesji Ministerstwa Finansów i informuje o regulacjach AML. Fałszywe kasyno tego nie robi, bo nie ma takiej koncesji.
Co zrobić, gdy już kliknąłeś
Pierwszy krok — natychmiast skontaktować się z bankiem, jeśli kod BLIK został wpisany na fałszywej stronie. Bank ma narzędzia do wstrzymania transakcji w trakcie autoryzacji, ale tylko w bardzo krótkim oknie czasowym. Drugi krok — zmienić hasła do aplikacji bankowej i email. Trzeci krok — zgłosić incydent. CERT Polska prowadzi formularz zgłoszeniowy dostępny anonimowo — to nie jest tylko statystyka, każde zgłoszenie pomaga w blokowaniu kolejnych ofiar. Szczegółową rolę CERT Polska w monitoringu oszustw BLIK rozkładam w tekście o raportach CERT Polska.
Czwarty krok, często pomijany — sprawdzenie, czy fałszywa strona nie pobrała innych danych. Jeśli na fałszywej stronie wpisywałeś login, hasło, dane karty kredytowej lub inne wrażliwe informacje, każdy z tych elementów wymaga osobnej procedury naprawczej. Login i hasło do banku to zmiana hasła i włączenie dodatkowych mechanizmów uwierzytelniania. Dane karty kredytowej — zablokowanie karty i wydanie nowej. Dane osobowe (PESEL, numer dowodu) — zgłoszenie do Systemu Zastrzeżenia Dowodów Osobistych, żeby zablokować możliwość użycia tych danych do zaciągnięcia zobowiązania na twoje nazwisko. Każda z tych procedur trwa od kilku godzin do kilku dni, ale wszystkie są bezpłatne i powinny być podjęte natychmiast po incydencie. Im dłuższe okno czasowe między phishingiem a reakcją, tym więcej szkód oszust może wyrządzić.