OLX Verify SMS oszustwo: fałszywa weryfikacja konta
SMS od „Verify” podszywa się pod OLX i prowadzi do fałszywej weryfikacji przez bank. Sprawdź, jak rozpoznać oszustwo i co zrobić po kliknięciu.
CERT Orange Polska, zespół bezpieczeństwa w Orange Polska, opisał kampanię SMS wymierzoną w osoby wystawiające ogłoszenia na OLX. Wiadomość przychodzi najczęściej od nadawcy „Verify” i informuje o rzekomej konieczności weryfikacji konta. Link prowadzi do strony, która potrafi pokazać kopię prawdziwego ogłoszenia sprzedawcy, a następnie kieruje do fałszywego logowania bankowego. Jeśli dostaniesz taki SMS, nie otwieraj linku: sprawdź konto po samodzielnym wejściu do aplikacji OLX lub na olx.pl i prześlij podejrzany SMS do CERT Polska na 8080, zachowując jego oryginalną treść.
Jak wygląda SMS od „Verify”
CERT Orange Polska podaje, że wiadomości przychodzą przede wszystkim z nadpisu „Verify”, choć trafiają się też zwykłe numery. Źródło nie publikuje pełnego tekstu SMS-a, dlatego to tylko przykład pretekstu, a nie cytat: „Wymagana jest weryfikacja konta OLX. Zweryfikuj konto: [link]”.
Po fragmencie „/olx/” w adresie znajduje się dziewięć cyfr. Każdy taki ciąg prowadził w obserwowanej kampanii do strony będącej kopią rzeczywistego ogłoszenia, z informacjami o przedmiocie i danymi sprzedawcy. Dalej pojawia się spokojnie napisana „weryfikacja”: najpierw formularz danych osobowych, potem wybór metody, a ostatecznie tylko jedna możliwość — konto bankowe. Wybranie banku otwiera kopię jego strony logowania.
Co zdradza tę kampanię
Najmocniejszym sygnałem jest połączenie nadawcy „Verify” z żądaniem weryfikacji OLX przez link z SMS-a. Kolejny to adres poza domeną OLX; CERT Orange widział stronę kończącą się na eu.cc, mimo że jej treść wyglądała jak część serwisu.
Wiarygodność zwiększa kopia faktycznego ogłoszenia, ale nie potwierdza ona pochodzenia strony. Gdy po „weryfikacji OLX” pojawia się wybór banku, login, hasło, kod SMS albo prośba o akceptację w aplikacji bankowej, użytkownik jest już w fałszywym procesie.
To różni ten wariant od wcześniej opisanej przez PHISHLY kampanii SMS o punktach Allegro: tutaj wabikiem nie jest nagroda, lecz rzekoma kontrola konta sprzedawcy.
Co zrobić po SMS-ie, kliknięciu lub podaniu kodu
Tylko dostałem SMS: nie klikaj i nie odpowiadaj. Wejdź do OLX samodzielnie przez aplikację lub wpisując olx.pl. SMS od „Verify” prześlij do CERT Polska na 8080 dokładnie tak, jak go otrzymałeś.
Otworzyłem link lub wpisałem dane: przerwij tę „weryfikację” na etapie, na którym jesteś. Zgłoś adres fałszywej strony przez incydent.cert.pl, ale nie otwieraj jej ponownie. Jeśli wpisałeś login lub hasło do banku, natychmiast skontaktuj się z bankiem przez jego aplikację albo numer zapisany na karcie i poproś o zabezpieczenie rachunku.
Podałem kod albo zaakceptowałem monit w banku: skontaktuj się z bankiem natychmiast, powiedz, że dane trafiły na fałszywą stronę OLX, i poproś o sprawdzenie oraz zatrzymanie nieautoryzowanych operacji. Nie zatwierdzaj kolejnych monitów pojawiających się po kontakcie z fałszywą stroną.
Czego nie robić
Nie traktuj kopii własnego ogłoszenia jako dowodu, że strona należy do OLX. Nie wpisuj danych bankowych w procesie uruchomionym z SMS-a o „weryfikacji konta” i nie zatwierdzaj kodu ani monitu, którego nie wywołałeś samodzielnym logowaniem do banku.
Jak działa ten schemat
To smishing: phishing przez SMS, w którym marka OLX i spersonalizowana kopia ogłoszenia prowadzą użytkownika do fałszywego logowania bankowego.
Najczęstsze pytania
Czy SMS od „Verify” o weryfikacji konta OLX jest prawdziwy?
CERT Orange Polska opisał kampanię, w której SMS-y przede wszystkim od nadawcy „Verify” informowały o rzekomej konieczności weryfikacji konta i prowadziły do fałszywego procesu.
Dlaczego fałszywa strona pokazuje moje prawdziwe ogłoszenie OLX?
W obserwowanej kampanii dziewięciocyfrowy ciąg w linku prowadził do kopii rzeczywistego ogłoszenia zawierającej informacje o przedmiocie i dane sprzedawcy, co zwiększało wiarygodność strony.
Co zrobić, jeśli wpisałem login i hasło do banku na stronie z SMS-a?
Natychmiast skontaktuj się z bankiem przez aplikację bankową albo numer zapisany na karcie i powiedz, że dane logowania zostały wpisane na fałszywej stronie podszywającej się pod OLX.
Co zrobić, jeśli podałem kod SMS albo zaakceptowałem logowanie w aplikacji banku?
Skontaktuj się z bankiem natychmiast, poproś o zabezpieczenie rachunku i sprawdzenie nieautoryzowanych operacji; nie zatwierdzaj kolejnych monitów.
Źródła
- CERT Orange Polska - Oszuści podszywają się pod OLX - znaleźli nowy sposób — Alert z 9 września 2026 opisujący SMS-y od „Verify”, kopię rzeczywistego ogłoszenia, fałszywą weryfikację przez bank oraz próbę przejęcia dodatkowego składnika logowania.
- CERT Polska - Kontakt i zgłaszanie incydentów — Oficjalne kanały zgłoszenia: podejrzany SMS można przekazać na numer 8080, a podejrzaną stronę lub incydent zgłosić przez incydent.cert.pl.
Jak działa ta technika?
Wyjaśniamy krok po kroku, jak działa atak i jak go zatrzymać: Phishing – co to jest? Definicja, przykłady i jak się chronić.