Oszustwo na odzyskanie pieniędzy po fałszywej inwestycji

TL;DR

Oszustwo inwestycyjne może nie kończyć się w chwili, gdy ofiara orientuje się, że straciła pieniądze. Osoba po dużej stracie często aktywnie szuka pomocy i może być szczególnie podatna na wiarygodnie brzmiącą obietnicę odzyskania środków. Właśnie ten moment wykorzystuje recovery scam — kolejne oszustwo zbudowane na skutkach poprzedniego.

W lipcu 2026 roku CSIRT KNF opisał reklamy kierowane do osób wcześniej poszkodowanych przez fałszywe inwestycje. W jednym z wariantów sprawcy podszywali się pod Komisję Nadzoru Finansowego i informowali o rzekomym programie wsparcia, który miał umożliwiać odzyskanie pieniędzy.

W tym samym przeglądzie CSIRT KNF podał, że w lipcu zgłoszono do blokady 1193 fałszywe profile publikujące reklamy fałszywych inwestycji. Ta liczba dotyczy całej kategorii takich profili. Nie oznacza 1193 ofiar i nie oznacza 1193 przypadków podszycia pod KNF.

Najbezpieczniejsza zasada jest prosta: kontakt obiecujący odzyskanie wcześniejszej straty trzeba zweryfikować poza kanałem, z którego przyszedł. Nazwa regulatora, kancelarii lub znanej firmy nie jest dowodem, że rozmówca rzeczywiście ją reprezentuje.

CSIRT KNF: oszuści wracają do wcześniejszych ofiar

Lipcowe ostrzeżenie CSIRT KNF jest istotne dlatego, że pokazuje zmianę kontekstu. W klasycznym oszustwie inwestycyjnym przynętą jest zysk. W recovery scam przynętą staje się nadzieja na odzyskanie tego, co już zostało utracone.

Ofiara może zobaczyć reklamę sugerującą pomoc osobom poszkodowanym przez fałszywe inwestycje. Komunikat może wyglądać urzędowo, odwoływać się do regulatora, postępowania, programu pomocy lub możliwości zwrotu środków. To szczególnie silna socjotechnika, bo nie próbuje przekonać odbiorcy do nowej inwestycji. Odwołuje się do problemu, który jest dla niego prawdziwy i bolesny.

CSIRT KNF opisał w lipcu 2026 wariant, w którym reklamy podszywały się pod KNF i obiecywały możliwość odzyskania utraconych wcześniej pieniędzy. Z kolei w Raporcie Rocznym za 2025 rok zespół zwrócił uwagę na wzrost reklam typu recovery scam, czyli ofert skierowanych do osób już poszkodowanych przez wcześniejsze oszustwa.

To oznacza, że temat nie jest jednorazową kampanią. Jest powtarzalnym modelem, w którym wcześniejsza strata staje się informacją wykorzystywaną do następnej manipulacji.

Recovery scam: drugie oszustwo po pierwszej stracie

Typowy przebieg może wyglądać następująco:

1. osoba wcześniej traci pieniądze na fałszywej inwestycji;
2. później dostaje telefon, wiadomość albo widzi reklamę dotyczącą odzyskania środków;
3. rozmówca przedstawia się jako regulator, prawnik, ekspert lub przedstawiciel firmy pomagającej ofiarom;
4. pojawia się informacja, że pieniądze zostały odnalezione, zabezpieczone albo można je odzyskać;
5. przed wypłatą trzeba rzekomo opłacić podatek, prowizję, koszty prawne, weryfikację lub inną opłatę;
6. po pierwszej płatności mogą pojawiać się kolejne warunki i kolejne żądania.

Nie każdy przypadek przebiega identycznie. Czasem pierwszym krokiem jest formularz kontaktowy z reklamy, czasem telefon, a czasem wiadomość od osoby podającej się za przedstawiciela instytucji. Wspólny element to wykorzystanie wcześniejszej straty jako podstawy do zbudowania wiarygodnej historii.

To odróżnia recovery scam od zwykłej reklamy fałszywej inwestycji. Sprawca nie musi już obiecywać przyszłego zysku. Może mówić o pieniądzach, które ofiara naprawdę straciła, i dlatego jego historia od początku pasuje do sytuacji odbiorcy.

Polski przypadek: 120 tys. zł w pierwszym oszustwie i ponad 88 tys. zł w drugim

Komenda Miejska Policji w Siedlcach opisała w marcu 2026 roku przypadek 37-letniego mieszkańca gminy Siedlce. Mężczyzna wcześniej stracił 120 tys. zł na fałszywej platformie inwestycyjnej.

Później natrafił w internecie na reklamę firmy, która miała pomagać w odzyskiwaniu pieniędzy po nieudanych inwestycjach. Zostawił swoje dane kontaktowe. Skontaktował się z nim rzekomy pracownik firmy, a dalsza rozmowa doprowadziła do kolejnych wpłat przedstawianych jako opłaty niezbędne do odzyskania środków.

Według Policji druga strata wyniosła ponad 88 tys. zł.

Ten przypadek dobrze pokazuje, dlaczego recovery scam jest tak skuteczny. Ofiara nie reaguje na przypadkową historię. Reaguje na ofertę rozwiązania realnego problemu. Dodatkowo wcześniejsza strata może zwiększać presję: człowiek chce odwrócić skutki pierwszej decyzji i może być skłonny zaakceptować kolejne opłaty, jeżeli są przedstawiane jako ostatnia przeszkoda przed zwrotem pieniędzy.

Jednocześnie z tego przypadku nie wynika, że pierwszy i drugi etap prowadzili ci sami sprawcy. Tego nie należy dopowiadać bez dowodu.

Skąd oszust może wiedzieć o wcześniejszej stracie

FCA i FSMA opisują kilka możliwych dróg. Pierwotni oszuści mogą wracać do wcześniejszych ofiar. Dane osób poszkodowanych mogą też trafić do innych grup. W praktyce istnieje jeszcze prostszy wariant: ofiara sama informuje o swojej sytuacji, gdy odpowiada na reklamę rzekomej firmy odzyskującej pieniądze i zostawia numer telefonu lub inne dane kontaktowe.

Dlatego zdanie „oni wiedzieli, że wcześniej straciłem pieniądze” nie potwierdza autentyczności rozmówcy. Ta wiedza może być właśnie elementem przewagi sprawcy.

To samo dotyczy szczegółów pierwszego oszustwa. Jeżeli ktoś zna nazwę fałszywej platformy, przybliżoną kwotę albo sposób płatności, nadal nie oznacza to, że reprezentuje organ ścigania, regulatora czy legalną kancelarię. Informacje o wcześniejszym zdarzeniu mogą pochodzić z wielu źródeł.

Podszycie pod regulatora, kancelarię lub firmę odzyskującą środki

Autorytet jest jednym z głównych elementów tej manipulacji. Rozmówca może twierdzić, że działa w imieniu instytucji publicznej, organu nadzoru, kancelarii prawnej albo firmy wyspecjalizowanej w odzyskiwaniu aktywów.

Wspólna publikacja EBA, EIOPA i ESMA ostrzega, że po pierwszym oszustwie sprawca może ponownie skontaktować się z ofiarą, podając się między innymi za policję, organ podatkowy lub organ nadzoru finansowego i oferując odzyskanie pieniędzy za opłatą.

W polskim kontekście CSIRT KNF potwierdził realne nadużywanie nazwy KNF w reklamach recovery scam. Dlatego logo, nazwa instytucji, zdjęcie rzekomego eksperta, numer sprawy czy formalny język nie mogą zastąpić niezależnej weryfikacji.

Warto zwrócić uwagę również na adres strony i dane firmy, ale sama profesjonalna strona nie rozstrzyga sprawy. Przestępcy mogą kopiować nazwy legalnych podmiotów, ich identyfikację wizualną i dane publicznie dostępne w rejestrach.

Czy każda oferta odzyskania pieniędzy jest oszustwem

Nie. Istnieją legalne kancelarie, pełnomocnicy i inne podmioty, które świadczą pomoc prawną lub wspierają dochodzenie roszczeń. Problemem nie jest sama nazwa usługi „odzyskanie pieniędzy”. Problemem jest brak niezależnie potwierdzonej tożsamości i wiarygodności podmiotu połączony z presją na kolejne działania finansowe.

Szczególną ostrożność powinien wywołać nieoczekiwany kontakt od osoby, której wcześniej nie prosiliśmy o pomoc, zwłaszcza gdy rozmówca:

• gwarantuje odzyskanie całości lub niemal całości środków;
• twierdzi, że pieniądze już czekają, ale trzeba najpierw zapłacić podatek, prowizję albo koszt odblokowania;
• naciska na natychmiastowy przelew;
• prosi o płatność na rachunek lub przez metodę wskazaną wyłącznie w rozmowie;
• nie pozwala spokojnie zweryfikować podmiotu poza własną stroną i własnymi numerami telefonu;
• powołuje się na regulatora lub organ publiczny, ale kontakt można potwierdzić tylko przez dane dostarczone przez niego samego.

Pojedynczy sygnał nie zawsze rozstrzyga, że mamy do czynienia z przestępstwem. Ich połączenie powinno jednak zatrzymać proces do czasu niezależnego potwierdzenia.

Jak niezależnie zweryfikować kontakt

Najważniejszy krok to wyjść z kanału podanego przez rozmówcę.

Jeżeli ktoś powołuje się na KNF, bank, Policję, kancelarię lub inną instytucję, nie należy oddzwaniać wyłącznie na numer z wiadomości ani używać linku przesłanego przez rozmówcę. Adres strony, numer telefonu i dane kontaktowe trzeba znaleźć samodzielnie w oficjalnym źródle.

Przy prywatnej firmie warto sprawdzić jej rzeczywistą nazwę, dane rejestrowe, osoby uprawnione do reprezentacji i to, czy kontaktująca się osoba rzeczywiście działa w jej imieniu. Jeżeli rozmówca powołuje się na konkretną sprawę lub dokument, należy poprosić o możliwość potwierdzenia tych informacji innym, niezależnym kanałem.

Nie należy też instalować oprogramowania do zdalnego dostępu ani przekazywać kodów autoryzacyjnych tylko dlatego, że rozmówca przedstawia takie działanie jako część procedury odzyskania pieniędzy.

Jeśli po spokojnej weryfikacji podmiot okazuje się legalny i sprawa ma podstawę, dopiero wtedy można analizować warunki pomocy. Jeżeli ktoś próbuje uniemożliwić taką weryfikację lub przyspiesza płatność, jest to powód do przerwania kontaktu.

Co zrobić po kolejnej wpłacie lub ujawnieniu danych

Po podejrzeniu recovery scam nie warto prowadzić dalszych negocjacji z rozmówcą. Każda kolejna „ostatnia opłata” może tylko zwiększyć stratę.

Dalsze działania zależą od tego, co zostało przekazane:

• pieniądze — należy jak najszybciej skontaktować się z bankiem lub dostawcą usługi płatniczej przez oficjalny kanał i opisać transakcję jako podejrzaną;
• hasło lub dane logowania — trzeba zmienić ujawnione hasło, a jeżeli było używane również gdzie indziej, zmienić je także w tych usługach;
• dane osobowe lub dokumenty — trzeba zanotować dokładnie, jakie informacje zostały przekazane i zachować całą korespondencję;
• dostęp do urządzenia — jeżeli zainstalowano narzędzie zdalnego dostępu, należy przerwać sesję, odłączyć narzędzie i potraktować urządzenie jako wymagające kontroli bezpieczeństwa;
• dowody kontaktu — warto zachować wiadomości, numery telefonów, potwierdzenia przelewów, adresy stron i inne materiały potrzebne do zgłoszenia.

Sprawę należy zgłosić Policji. Jeżeli kontakt dotyczył banku, regulatora lub innej instytucji, warto również sprawdzić jej oficjalne kanały ostrzeżeń i zgłaszania prób podszycia.

Co ten mechanizm oznacza dla security awareness

Recovery scam pokazuje ograniczenie szkoleń opartych wyłącznie na pytaniu „czy link wygląda podejrzanie?”. W tym modelu skuteczność ataku może wynikać przede wszystkim z kontekstu. Odbiorca naprawdę stracił pieniądze, naprawdę chce je odzyskać i może otrzymać komunikat dokładnie w chwili, gdy aktywnie szuka pomocy.

Dlatego w programach awareness warto ćwiczyć nie tylko rozpoznawanie phishingu, ale też decyzje podejmowane pod presją autorytetu i pieniędzy. Dobrym punktem odniesienia jest także materiał o scamach inwestycyjnych i decyzjach płatniczych.

Scenariusz szkoleniowy może sprawdzać, czy pracownik potrafi przerwać rozmowę, wyjść z kanału wskazanego przez nadawcę, samodzielnie znaleźć dane kontaktowe instytucji i potwierdzić sprawę przed płatnością albo przekazaniem informacji. To ten sam nawyk, który jest potrzebny przy fałszywej zmianie rachunku dostawcy, podszyciu pod przełożonego czy telefonie od rzekomego banku.

Warto przy tym mierzyć zachowanie szerzej niż sam klik. Osobny materiał PHISHLY pokazuje, jak mierzyć odporność pracowników w testach phishingowych: liczą się między innymi zgłoszenia, podane dane, czas reakcji i trend po kolejnych kampaniach.

W testach phishingowych dla firm można ćwiczyć również moment zatrzymania procesu, zgłoszenie podejrzanego kontaktu i użycie niezależnego kanału weryfikacji.

Wniosek

Pierwsza strata nie zamyka ryzyka. Może stać się punktem wejścia do następnego oszustwa.

Lipcowy przykład CSIRT KNF pokazuje, że przestępcy wykorzystują nie tylko obietnicę zysku, ale również obietnicę naprawienia szkody po wcześniejszej fałszywej inwestycji. W takim scenariuszu najlepszą ochroną nie jest rozpoznanie jednego logo czy domeny, lecz konsekwentna zasada: nie płacić i nie przekazywać kolejnych danych, dopóki tożsamość rozmówcy i sama sprawa nie zostaną potwierdzone poza kanałem, który on kontroluje.