Nowe ataki na OLX. "Rzucają się nawet na rurę od odkurzacza"

Magdalena postanowiła wystawić na OLX dość sporych rozmiarów auto na akumulator dla dziecka. To nietrafiony prezent, którego nie ma gdzie przechowywać w mieszkaniu w Warszawie. Chciała pozbyć się zabawki jak najszybciej, więc ustaliła cenę na poziomie 250 zł. Podobne samochody używane są sprzedawane za co najmniej 300 zł.

W ciągu zaledwie kilku godzin napisało do niej sześciu użytkowników. Kontakt na czacie OLX zaczął się od klasycznego pytania, czy "ogłoszenie jest aktualne". Następnie użytkownik przekonywał, że próbuje zakończyć zakup przez funkcję "Kup teraz". Prosił o podanie adresu e-mail, bo jest to niezbędne do potwierdzenia. W rzeczywistości to boty, a nie prawdziwe osoby zainteresowane zakupem.

- To nie pierwsza taka historia. Boty rzuciły się nawet na rurę od odkurzacza za 90 zł. Mnóstwo się ich zlatuje, jak chcę oddać coś za darmo - przyznaje Magdalena.

Tym, co utrudnia rozpoznanie bota jest fakt, że niektóre z nich budują zdania pozornie niebudzące podejrzeń. Magdalena pokazuje nam inny przykład:

- Za każdym razem, gdy coś wystawiałem, pisało do mnie co najmniej pięć botów. Niektóre nie robiły żadnych błędów ortograficznych i były natarczywe. Regularnie korzystałem z platformy, więc było to bardzo męczące. Właśnie dlatego zrezygnowałem z OLX - przekonuje Tomasz.

Podobne opinie można znaleźć na forach internetowych. "20 minut temu wystawiłem telefon na sprzedaż. Od razu 6 wiadomości na czacie OLX i jeden SMS" - pisze jeden z internautów. "Sprzedawałem na OLX Play Station 5, wtedy to był towar deficytowy. Tyle scamu w życiu nie dostałem" - dodaje kolejny. "Sprzedaż na OLX to mordęga" - ocenia inna osoba.

To niejedyne przykłady.

- Złodzieje udają zainteresowanych kupnem i fałszują informacje o płatności za produkt, ale także wystawiają przedmioty, których nie posiadają i wysłać nie zamierzają. Bazując na liczbie zgłoszeń do naszego serwisu, więcej jest oszustw wymierzonych w sprzedających - przyznaje w komentarzu dla WP Finanse Piotr Konieczny z portalu Niebezpiecznik.pl.

W odpowiedzi na pytania WP Finanse Piotr Chochłow, Salesforce Product Owner w OLX, wskazuje, że w ubiegłym roku do platformy "wpłynęło o 50 proc. mniej zgłoszeń na działania botów od użytkowników". Skali tego zjawiska nie podaje.

- Nie tylko nam użytkownicy zgłaszają ten problem - również my zgłaszamy go odpowiednim instytucjom. I tak np. w 2024 zgłosiliśmy prawie 15 tys., a w 2025 r. ponad 6 tys. linków phishingowych do zamknięcia - podkreśla.

W związku z tym, że boty przekierowują kontakt poza systemy OLX platforma nie wie, co dzieje się dalej np. na mailu użytkownika. - Wiemy jednak, że zgłoszenia od osób, które straciły w wyniku działania botów pieniądze, to mniej niż 1 proc. wszystkich zgłoszeń - przyznaje Szabłowski.

Dopytywany o reakcje platformy wskazuje, że "kont (wszystkich, a nie tylko dotyczących botów) w 2024 i 2025 r. zamknęliśmy ponad 800 tys. każdego roku".

Problem z botami nie dotyczy tylko OLX. W 2025 r. ponad połowa ruchu internetowego była generowana przez boty, a 71 proc. z nich to bad bots, czyli zautomatyzowane programy wykonujące podejrzane lub niepożądane działania w internecie.

Konieczny podkreśla, że "celem oszustów na portalach aukcyjnych w pierwszej kolejności jest przeniesienie rozmowy na kanał komunikacji, który nie jest kontrolowany przez platformę".

- Dzięki temu nie zadziałają mechanizmy antyfraudowe, które mogłyby wykryć próbę wyłudzenia - wskazuje.

Mogą to zrobić, wyciągając od użytkownika adres e-mail, który bardzo często jest identyfikatorem w serwisach i sklepach internetowych (w tym także na platformie OLX).

Zdobycie tej informacji pozwala powiązać konkretną osobę np. z danymi z wcześniejszych wycieków/kradzieży danych, co z kolei daje szansę na łatwe pozyskanie hasła do konta. Dlatego tak ważne jest, aby w różnych serwisach używać unikalnych haseł, bo wtedy ten wektor ataku będzie bezużyteczny. Identyfikacja osoby fizycznej i pozyskanie adresu e-mail mogą być także przydatne w kolejnych etapach ataku, np. do wysłania maila phishingowego - wyjaśnia nam Kamil Wiśniewski, ekspert ds. cyberbezpieczeństwa i wykładowca oraz kierownik studiów podyplomowych "Cyberbezpieczeństwo w praktyce" w Polsko-Japońskiej Akademii Technik Komputerowych (PJATK).

Zasięg działania botów jest różny i trudno wskazać jeden klucz. Niektórzy dostają kilka wiadomości od botów w ciągu kilkunastu godzin od wystawienia oferty, a inni np. dwie w ciągu dwóch czy trzech lat.

- Podobnie jak w przypadku każdego programu, działanie botów jest determinowane przez warunki zapisane w kodzie przez ich twórcę - jedna aukcja może te warunki spełniać, podczas gdy inna już nie. Na podstawie obserwacji zachowania konkretnego bota można próbować odtworzyć, jakie kryteria decydują o jego aktywacji - tłumaczy ekspert.

Jednak jak dodaje, bez względu na sposób działania ostateczny cel jest identyczny. - "Cyber-zbóje" są motywowani materialnie, więc ich działania, w tym działania przez nich przygotowanych botów, będą ukierunkowane na maksymalizację przychodu z takiej działalności - zaznacza Wiśniewski.

Co OLX robi, aby chronić użytkowników? Platforma wdrożyła np. Link Checker w Centrum Pomocy, banery ostrzegające przed phishingiem na stronie głównej.

- Gdy użytkownik chce podać swoje dane (np. nr telefonu) w wiadomości, pokazuje mu się żółte okienko z pytaniem, czy na pewno chce udostępnić dane - wyjaśnia nam Chochłow.

W reakcji na rozszerzenie katalogu działań oszustów wprowadzono też mechanizm BIMI (Brand Indicators for Message Identification). - Gdy użytkownik otrzymuje e-mail od OLX, widzi nasze logo przy tytule maila. To pozwala odróżnić prawdziwe maile od tych podszywających się pod OLX. Natomiast cały czas testujemy możliwości współpracy z różnymi zewnętrznymi firmami pod kątem zwalczania botów. Zgłaszanie podejrzanych incydentów na policję to nasza codzienna praktyka, do której przykładamy ogromną wagę - zaznacza Chochłow.

Eksperci nie dziwią się, że użytkowników nie przekonują dodatkowe zabezpieczenia i rezygnują z korzystania z podobnych serwisów. Ich zdaniem splot niekorzystnych czynników może doprowadzić platformę do poważnych problemów.

- Odpływ części użytkowników z powodu utraty reputacji i wiarygodności platformy w wyniku działania botów jest wysoce prawdopodobny, jednak sam w sobie nie wydaje się być czynnikiem, który mógłby doprowadzić do problemów dobrze funkcjonującą i zyskowną platformę. Aczkolwiek, jeśli problem z botami nałoży się na inne wyzwania (np. działania konkurencji, zmiany trendów rynkowych, problemy techniczne platformy, czy niekorzystne dla użytkowników zmiany regulaminów i modeli opłat), to może stać się on przysłowiowym języczkiem u wagi, który może doprowadzić do upadku nawet dobrze funkcjonujący serwis - kwituje Wiśniewski.

Maria Glinka, dziennikarka WP Finanse i money.pl