Sprzedaję na Wallapop lub Vinted, a „kupujący" prosi o moje dane albo wysyła link

Wystawiasz na Wallapop, Vinted lub Milanuncios (popularne w Hiszpanii serwisy z rzeczami używanymi; ten sam przekręt krąży na OLX, Facebook Marketplace i podobnych stronach na całym świecie) coś, czego już nie używasz, i po kilku minutach pojawia się entuzjastyczny kupujący. Nie targuje się, nie pyta o przedmiot i bardzo się spieszy. Prosi o twój WhatsApp albo e-mail „żeby było szybciej", a chwilę później przysyła link: „Już zapłaciłem, wejdź tutaj, żeby odebrać pieniądze" albo „Zamówiłem kuriera, potwierdź swoje dane, żeby mógł odebrać paczkę". Jeśli go otworzysz, zobaczysz stronę identyczną jak w serwisie, która prosi o numer karty, datę ważności i kod CVV. To nie jest wpłata dla ciebie: to kradzież. A zasada, która rozbraja cały mechanizm, jest prosta: aby otrzymać pieniądze, nigdy nie musisz podawać danych karty ani żadnego kodu.

Jak działa oszustwo „na fałszywego kupującego"?

Schemat ma różne warianty, ale prawie zawsze przebiega tak samo:

• Wyciąga cię z platformy. Pierwszy ruch to przeniesienie rozmowy na WhatsApp, SMS, Telegram lub e-mail. Poza oficjalnym czatem serwis nie może wykryć oszustwa ani cię chronić, a oszust może wysyłać linki bez żadnych filtrów.
• Przysyła fałszywy link. Strona kopiuje wygląd Wallapop, Vinted, Milanuncios, poczty albo firmy kurierskiej. Pisze, że płatność jest „wstrzymana" lub „oczekuje na potwierdzenie" i że aby ją odblokować, musisz wpisać kartę. Z tymi danymi robią zakupy lub obciążenia na twoje nazwisko.
• Prosi o kody. Po wpisaniu karty dostajesz SMS z banku z kodem do autoryzacji transakcji. Fałszywa strona prosi o niego „w celu weryfikacji, że jesteś posiadaczem karty". Ten kod to twój podpis: autoryzujesz nim płatność, a nie wpływ.
• Wariant Bizum. Zamiast wysłać ci pieniądze, przysyłają prośbę o płatność Bizum (Bizum to hiszpański system płatności między telefonami, podobny do BLIK) i każą ją zaakceptować, żeby otrzymać pieniądze. Jeśli zaakceptujesz, to ty płacisz.
• Wariant „nadpłaty". Twierdzą, że przez pomyłkę zapłacili za dużo (albo „dla przewoźnika") i proszą o zwrot różnicy. Pierwotna płatność nigdy nie istniała.

Łączy je presja: kupujący „wyjeżdża", „kurier przyjedzie dziś" albo „płatność wygaśnie za 30 minut". Pośpiech ma sprawić, żebyś nie zatrzymał się i nie pomyślał.

Jak poznać, że kupujący jest fałszywy?

Żaden pojedynczy sygnał nie jest dowodem, ale kilka naraz daje dość pewną diagnozę:

1. Chce przejść na WhatsApp, SMS lub e-mail od samego początku, bez jasnego powodu.
2. Nie pyta o przedmiot i nie negocjuje ceny. Jest mu obojętne, co kupuje.
3. Przysyła link do odebrania płatności. Serwisy obsługują płatność i wysyłkę we własnej aplikacji; pieniędzy nie „odbiera się" na zewnętrznej stronie.
4. Domena nie jest oficjalna. Adresy z myślnikami, dodatkowymi słowami („bezpieczna-platnosc", „potwierdz-wysylke") albo dziwnymi końcówkami. Przyjrzyj się spokojnie, nie jednym rzutem oka.
5. Prosi o kartę, CVV, PIN lub kody SMS. Aby otrzymać pieniądze, potrzebujesz co najwyżej numeru konta (IBAN), i to tylko gdy sprzedajesz poza platformą. Nigdy CVV ani kodu.
6. Nowy profil lub brak opinii, często z ogólnym imieniem i bez zdjęcia.
7. Pośpiech i wymówki logistyczne: paczkę odbierze krewny, „prywatny" kurier, wysyłka za granicę.

Co robię teraz?

1. Nie otwieraj linku i nie wpisuj żadnych danych. Jeśli już go otworzyłeś, ale nic nie wpisałeś, zamknij go; samo otwarcie zwykle nie szkodzi.
2. Wróć do oficjalnego czatu platformy. Jeśli kupujący jest prawdziwy, zgodzi się kupić przez wbudowany system płatności i wysyłki. Jeśli odmówi, masz odpowiedź.
3. Sprawdzaj płatności tylko w aplikacji lub w bankowości internetowej, logując się samodzielnie przez oficjalną aplikację, nigdy z przesłanego linku.
4. Zachowaj dowody: zrzuty ekranu czatu, numer lub profil, link (skopiuj go jako tekst, bez otwierania) i datę.
5. Zablokuj i zgłoś profil na platformie, a numer w WhatsAppie lub w telefonie. Dzięki temu serwis może usunąć konto, zanim spróbuje z innymi sprzedającymi.

A jeśli już podałem dane lub kod?

Nie obwiniaj się: te strony są bardzo dobrze zrobione. Liczy się szybkość:

1. Natychmiast zadzwoń do banku na numer z tyłu karty lub z oficjalnej aplikacji. Poproś o zablokowanie karty i sprawdzenie ostatnich transakcji.
2. Zgłoś obciążenia, których nie rozpoznajesz, jako nieautoryzowane transakcje i poproś o ich zwrot. Im szybciej, tym większe szanse. Wyjaśniamy to w artykule jak odzyskać pieniądze po oszustwie telefonicznym.
3. Jeśli zaakceptowałeś prośbę Bizum (lub prośbę w podobnej aplikacji płatniczej), powiadom też bank: Bizum działa za jego pośrednictwem. Więcej w artykule oszustwo Bizum.
4. Zmień hasła do konta na platformie i do poczty oraz włącz weryfikację dwuetapową.
5. Jeśli udostępniłeś kod z WhatsAppa, ktoś może próbować przejąć twoje konto: wejdź do WhatsAppa, włącz weryfikację dwuetapową i ostrzeż kontakty, by ignorowały prośby o pieniądze.
6. Obserwuj swoje konta przez kolejne tygodnie. Twoje dane mogą zostać użyte w telefonach od osób podszywających się pod bank; najpierw dowiedz się, jak sprawdzić, czy połączenie lub SMS z banku jest prawdziwe.

Gdzie to zgłosić?

• W Hiszpanii na Policía Nacional (091) lub w Guardia Civil (062): złóż zawiadomienie ze wszystkimi zrzutami ekranu, linkiem i potwierdzeniami z banku. Bank może o nie poprosić przy rozpatrywaniu reklamacji. W innych krajach na policję.
• W Hiszpanii INCIBE pod numerem 017: bezpłatna i poufna linia pomocy w zakresie cyberbezpieczeństwa. Doradzą, co zrobić, a na stronie ich Biura Bezpieczeństwa Internauty (OSI) znajdziesz ostrzeżenia o aktywnych kampaniach. W innych krajach krajowa agencja ds. cyberbezpieczeństwa lub oficjalny punkt zgłaszania oszustw.
• Sama platforma: zgłoś profil i rozmowę z poziomu aplikacji.
• 112 (europejski numer alarmowy) tylko w prawdziwym nagłym wypadku, np. przy groźbach albo gdy ktoś zjawia się pod twoimi drzwiami.

A jeśli kontakt przyszedł z numeru telefonu, dodaj go do katalogu numerów spamowych, by inni sprzedający mogli go rozpoznać.

Najczęstsze pytania

Czy mogą mnie okraść, mając tylko numer karty? Z numerem, datą ważności i CVV można robić zakupy w internecie, zwłaszcza jeśli zdobędą też kod potwierdzający od banku. Dlatego te strony proszą o wszystko naraz. Nigdy nie udostępniaj tych danych, by otrzymać zapłatę.

Kupujący twierdzi, że platforma „wymaga" weryfikacji mojej karty. To prawda? Nie. Gdyby platforma czegoś od ciebie potrzebowała, poprosiłaby w swojej oficjalnej aplikacji, a nie przez link od nieznajomego na WhatsAppie.

Czy sprzedaż z ręki do ręki jest bezpieczna? Spotkanie w miejscu publicznym i zapłata gotówką albo przez system platformy to rozsądne rozwiązanie. Nie ufaj żadnym „potwierdzeniom przelewu" w formie zrzutu ekranu czy e-maila: liczą się pieniądze, które widzisz na koncie lub w aplikacji.

Link dostałem SMS-em, a nie na czacie. Czy to coś zmienia? Nie. Zmienia się kanał, pułapka jest ta sama. To ta sama logika co w przypadku fałszywego SMS-a o paczce.

Podsumowanie

Kiedy sprzedajesz, pieniądze płyną do ciebie: nigdy nie musisz płacić, wpisywać karty ani podawać kodów, żeby je otrzymać. Trzymaj rozmowę i płatność w obrębie platformy, nie ufaj pośpiechowi i linkom, a jeśli już podałeś dane, najpierw zadzwoń do banku, a potem złóż zawiadomienie. Jeśli chcesz dodatkowego ostrzeżenia przed podejrzanymi numerami i SMS-ami, NoCall pomoże ci sprawdzić, kto jest po drugiej stronie, zanim odpowiesz.