Crypto Scam: Jak oszuści wykorzystują wizerunek polityków i biznesmanów
W ciągu ostatnich miesięcy obserwujemy globalną kampanię polegającą na promowaniu fałszywych platform inwestycyjnych wykorzystując postaci biznesman’ów oraz kluczowych osób w Państwie. Tylko w przeciągu ostatnich 4 tygodni zidentyfikowaliśmy około 60 witryn internetowych fałszywych platform inwestycyjnych, w których wszystkie strony mają wspólne elementy szablonu, choć różnią się nazwą platformy, językiem i krajem docelowym.
Najwięcej stron kierowano do obywateli Niemiec, ale kampania działa też po francusku, angielsku, hiszpańsku, portugalsku, włosku, duńsku, turecku i po polsku. Część stron wykorzystuje wizerunki znanych osób z różnych krajów, w tym prezydenta Karola Nawrockiego, premiera Donalda Tuska oraz Rafała Brzoski. Ich zadaniem jest uwiarygodnienie obietnicy „pewnego zysku”.
Poniżej opisujemy, jak działa ten mechanizm, jakie warianty stron udało się wyróżnić i jak się chronić przed tego typu oszustwami. Celowo pomijamy szczegóły techniczne, które pozwoliłyby atakującym łatwo ominąć wykrywanie.
Na czym polega kampania
Strona internetowa to tylko jeden etap oszustwa. Jej jedynym zadaniem jest zdobycie numeru telefonu ofiary, a pieniądze wyłudzają później operatorzy w call center.
Reklama. Ofiara widzi w mediach społecznościowych reklamę albo fałszywy artykuł newsowy ze znanym politykiem lub biznesmenem, który rzekomo poleca nową platformę.
Strona docelowa. Po kliknięciu trafia na stronę obiecującą stały zysk, np. „min. 1100 zł za jedną sesję tradingową”. Strona nie ma regulaminu, licencji ani danych firmy, jest tylko formularz: imię, nazwisko, e-mail i telefon.
Telefon od „opiekuna”. Dane trafiają do call center. Doradca dzwoni, namawia na pierwszą wpłatę, zwykle ok. 250 € lub 1000 zł, i często prosi o instalację programu do zdalnego pulpitu (np. AnyDesk, TeamViewer).
Fałszywe zyski. Ofiara może widzieć w panelu rosnące saldo, więc istnieje zachęta żeby wpłaca więcej.
Blokada wypłaty. Przy próbie wypłaty mogą pojawić się dotatkowe „opłaty weryfikacyjne” lub kontakt się urywa.
Drugie oszustwo. Po czasie może zgłosić się fałszywa kancelaria lub firma odzyskująca środki, która za opłatą obiecuje odzyskać pieniądze. To kolejne wyłudzenie.
Oszuści rotują domenami bardzo szybko. Większość domen w czasie analizy została zarejestrowana kilkanaście dni wcześniej. W tym przypadku zablokowanie jednej strony niewiele daje, bo następnego dnia działa już kolejna. Zespół Vectors Hunt zidentyfikował łącznie ponad 1000 domen wykorzystanych na przestrzeni ostatniego roku.
Kilka wariantów stron
Witryny internetowe można podzielić na kilka grup według wyglądu i sposobu działania. Wszystkie korzystają z tych samych materiałów graficznych, więc pochodzą z jednego źródła szablonów. Nie przesądza to jednak, że stoi za nimi jeden operator: takie pakiety stron często można znaleźć w sieciach afiliacyjnych.
Nazwy platform inwestycyjnych są wymyślone i często wyglądają jak zlepek przypadkowych słów: RhyqelionInvest, KelthoryxSignal, Lurevix Tervora, Ziremun Zorunel. Tylko w jednym z wariantów w ciągu czterech tygodni pojawiło się co najmniej 11 takich nazw.
Jak ofiary trafiają na fałszywe platformy
Ofiary najprawdopodobniej trafiają na fałszywe platformy inwestycyjne z płatnych reklam, przede wszystkim na Facebooku i Instagramie. Wskazują na to trzy obserwacje:
Bezpośrednie wejście z Facebooka. Analiza zidentyfikowanych adresów URL wykazała, że odwiedzenie witryny zaczęło się od kliknięcia w link wychodzący z Facebooka, a adresy zawierały typowe dla reklam Meta oznaczenia kampanii i zestawu reklam.
Śledzenie reklam Meta. Strony z jednego z wariantów mają wbudowane narzędzia, którymi reklamodawca mierzy skuteczność kampanii na Facebooku.
Szablony adresów z systemów reklamowych. W kolejnym wariancie adresy stron zawierają niewypełnione pola znane z systemów reklamowych. To ślad, że te same strony są podpinane pod różne sieci reklamowe, nie tylko pod Facebooka.
W jednym z analizowanych przypadków w Bibliotece reklam Meta, znaleźliśmy pięć reklam jednego reklamodawcy, które prowadzą do tej samej hiszpańskojęzycznej strony oszustów. Profil opisywanego reklamodawcy dotyczył mody i stylizacji, co nie ma żadnego związku z treścią reklam. To typowy znak przejętego lub kupionego konta na Facebooku.
Pięć reklam jednego reklamodawcy z Biblioteki reklam Meta. Każda prowadzi do tej samej strony oszustów. Grafiki zostały prawdopodobnie wygenerowane przez AI.
Przedstawione reklamy pokazują, dlaczego moderacja tak słabo radzi sobie z tą kampanią:
Żadna nie obiecuje zysku. Nie ma w nich mowy o kryptowalutach czy inwestycjach, mają one natomiast wzbudzić ciekawość: skandal, afera, wywiad, przesłuchanie.
Żadna nie pokazuje rozpoznawalnej twarzy. Postaci są wygenerowane przez AI albo rozmazane, choć sceneria sugeruje świat polityki i mediów. Prawdziwe wizerunki polityków i biznesmenów pojawiają się dopiero na stronie docelowej.
Trzy z pięciu udają edukację finansową. Reklamy sugerują jak rozpoznać podejrzaną ofertę, praradoksalnie prowadząc prosto do oszustwa.
Każda ma dopisek na wypadek kontroli. Wykorzystane hiszpańskie słowa „fikcja”, „inscenizacja” czy „poradnik” pozwalają bronić reklamy przed zarzutem podszywania się.
Tylko jedna z pięciu została oznaczona jako usunięta.
Twarze polityków, biznesmenów i dziennikarzy jako „gwarancja” zysku
Na zidentyfikowanych docelowych witrynach z tej kampanii odnotowaliśmy około 20 znanych osób z sześciu krajów (Polski, Niemiec, Szwajcarii, Czech, Australii i Francji). Na każdej wersji językowej pojawiają się różne postaci np. polityków, najbogatszych przedsiębiorców i dziennikarzy, których odbiorcy w danym kraju rozpoznają i którym prawdopodobnie ufają. Żadna z tych osób nie ma nic wspólnego z promowanymi platformami, a wszystkie cytaty są zmyślone.
Boris Pistorius, Minister Obrony Niemiec.
Annalena Baerbock, była Minister Spraw Zagranicznych Niemiec.
Hasso Plattner, współzałożyciel firmy SAP.
Klaas Heufer-Umlauf, prezenter telewizyjny w Niemczech.
Thierry Burkart, szwajcarski polityk, członek Zgromadzenia Narodowego.
Sandro Brotz, szwajcarski dziennikarz i prowadzący program telewizyjny.
David Koch, australijski dziennikarz i prezenter telewizyjny.
Georgina (Gina) Rinehart, prezes koncernu Hancock Prospecting, jedna z najbogatszych osób w Australii.
Bernard Arnault, szef koncernu LVMH (Francja).
Cyril Hanouna, francuski prezenter i producent telewizyjny.
Na obrazku po lewej stronie niemiecka wersja oszustwa i zmyślony cytat ministra obrony Borisa Pistoriusa (wrzesień 2026).
Na obrazku po prawej stronie szwajcarska wersja z nieprawdziwą wypowiedzią i wizerunkiem Hasso Plattner (wrzesień 2026).
Polskie wersje: od prezydenta po prezesa InPostu
Na polskojęzycznych stronach wykorzystano wizerunki co najmniej ośmiu osób z Polski. Obiecywane zyski są jeszcze bardziej absurdalne niż w wersji niemieckiej: od 3150 do 20 500 zł dziennie. Zidentyfikowano wykorzystanie wizerunków m.in. następujących osób:
Karol Nawrocki, prezydent RP. Na fałszywej stronie jako: Polish President.
Donald Tusk, premier RP. Na fałszywej stronie jako: działacz państwowy i społeczny.
Rafał Brzoska, założyciel i prezes InPostu. Na fałszywej stronie jako: CEO i współzałożyciel InPost.
Michał Sołowow, inwestor, jeden z najbogatszych Polaków. Na fałszywej stronie jako: polski przedsiębiorca.
Piotr Wilam, współzałożyciel Onetu, inwestor. Na fałszywej stronie jako: współzałożyciel CD Projekt.
Marcin Prokop, dziennikarz i prezenter telewizyjny. Na fałszywej stronie jako: dziennikarz i prezenter TVN, gospodarz Mam Talent.
Krzysztof Ibisz, prezenter telewizyjny Polsatu. Na fałszywej stronie jako: znany prezenter.
Tomasz Biernacki, założyciel sieci Dino, jeden z najbogatszych Polaków. Na fałszywej stronie jako: dyrektor Dino Polska.
Poniżej znajdują się zrzuty ekranu kilku fałszywych witryn. Wszystkie widoczne na nich wypowiedzi są nieprawdziwe, a przedstawione osoby nie mają związku z tymi platformami.
Wybór postaci nie jest przypadkowy. Celem wykorzystania wizerunków Prezydenta RP oraz Premiera RP jest chęć pokazania poczucie oficjalnej aprobaty. Wykorzystanie wizerunków biznesmenów natomiast ma na celu potwierdzenie, że taki sposób inwestowania jest skuteczny. Wizerunki prezenterów telewizyjnych mają ostatecznie uwiarygodnić całą narrację.
To nie pierwszy raz, gdy wizerunki polskich osób publicznych wykorzystywane są w taki sposób. W 2024 r. UODO zakazał Mecie wyświetlania reklam z wizerunkiem żony Rafała Brzoski po fali fałszywych reklam inwestycyjnych z jego udziałem. Wcześniej oszuści używali m.in. nagrania z udziałem prezydenta Andrzeja Dudy, a w 2025 r. deepfake'ów ekonomistów Przemysława Kwietnia i Piotra Kuczyńskiego.
W maju 2026 roku Sąd Apelacyjny w Warszawie uznał, że Meta odpowiada za fałszywe reklamy z wizerunkiem Rafała Brzoski i jego żony Omeny Mensah. Sąd odrzucił argument, że platforma jest tylko biernym pośrednikiem. Wskazał, że Meta sama decyduje o publikacji reklam, weryfikuje je przed emisją i kieruje je algorytmami. Mimo wyroku, w sierpniu 2026 roku na Facebooku i Instagramie pojawiły się reklamy z deepfake'iem, na którym Rafał Brzoska jest wyprowadzany przez policję w kajdankach. Meta usunęła reklamy i podała, że w ciągu roku wykryła 159 mln fałszywych reklam.
Po kolejnej skardze Pana Rafała Brzoski UODO wszczął postępowanie wobec Facebook Poland i zwrócił się do Komisji Europejskiej o systemowe działania przeciw oszustwom z użyciem deepfake'ów. We wrześniu 2026 roku powstał projekt ScamWatch, wspierany przez fundację Rafała Brzoski, przeanalizował ponad 1,76 mln reklam z biblioteki reklam Meta. Za podejrzane uznał 290 829 z nich, czyli 16,5%, a 28 215 dostało ocenę bardzo wysokiego ryzyka. Rafał Brzoska twierdzi, że Meta zarobiła w Polsce na fałszywych reklamach ok. 760 mln zł.
Jak rozpoznać oszustwo i co zrobić
Wystarczy jeden z poniższych sygnałów, żeby zrezygnować z rejestracji:
obietnica stałego, wysokiego zysku (np. „950 € dziennie”, „1100 zł za sesję”),
znany polityk, prezes lub dziennikarz polecający platformę w reklamie lub artykule,
strona bez nazwy firmy, adresu, regulaminu i informacji o licencji,
formularz, który prosi tylko o imię, nazwisko, e-mail i telefon,
liczniki wolnych miejsc i niemożliwe do sprawdzenia oceny użytkowników,
telefon od „opiekuna konta”, który namawia na wpłatę lub instalację programu do zdalnego pulpitu.
Przed jakąkolwiek inwestycją sprawdź firmę na liście ostrzeżeń publicznych KNF i w rejestrach nadzoru finansowego.
Jeśli zostawiłeś już swoje dane:
Nie odbieraj połączeń z nieznanych numerów zagranicznych i nie instaluj żadnych programów na prośbę rozmówcy.
Zgłoś stronę do CERT Polska przez incydent.cert.pl. Podejrzane SMS-y przekaż bezpłatnie na numer 8080.
Zgłoś reklamę na Facebooku lub Instagramie przez opcję „Zgłoś reklamę”.
Jeśli wpłaciłeś pieniądze:
Natychmiast zadzwoń do swojego banku i poproś o zablokowanie lub cofnięcie przelewów.
Złóż zawiadomienie na policji lub w prokuraturze. Zabierz potwierdzenia przelewów, numery telefonów i adresy stron.
Uważaj na podejrzane kancelarie i firmy odzyskujące środki, które same się do Ciebie zgłoszą. To niemal zawsze kolejne oszustwo.
Wskaźniki kompromitacji (IoC)
Lista zawiera 58 domen. Dotyczy okresu 4.09 - 1.10.2026.
rhyqelioninvest-de[.]com
kelthoryxsignal-de[.]com
de-kelthoryxsignal[.]com
rhevoniscapital-de[.]com
kelmon-vexfin[.]info
navanopareri[.]info
rivora-taluno[.]info
zurevi-lurem[.]info
hureli-vexem[.]info
jorela-kivex[.]info
gavren-kovel[.]info
velixo-ranu[.]de
melsiro-zurelan[.]de
zanexarolu[.]com
zuremi-kaxel[.]info
kredovianfx[.]com
megaadder[.]autos
spiritedduck[.]autos
diamondpig[.]autos
canilyojio[.]autos
haxomeanue[.]autos
qijumoyloe[.]autos
lijujouqie[.]autos
fehosuyfai[.]autos
zosugyycao[.]autos
tywaxuokeo[.]autos
suguquotimy[.]autos
vukyniocei[.]autos
budetuopixi[.]autos
zoveqyowyvo[.]autos
serikiofoze[.]autos
pinyloykero[.]autos
bynoruycydy[.]autos
xynydeedare[.]autos
dolores-quaerat-occaecati[.]com
delicatewolverine[.]autos
investpathline[.]com
truthfulbrokers[.]com
capitalpathline[.]com
bestbrokerhub[.]com
assetpathzone[.]com
axiscapitalhub[.]com
lirymant-pl[.]cfd
reclaim-alliance[.]sbs
immediate-edge-de[.]com
hoj-formugard[.]cfd
flandenzo-it[.]net
paydevletal[.]online
galp-edge[.]cfd
argentum-fondelio[.]online
swap-adipex-ai-ar[.]sbs
nera-capital[.]click
iskvarix[.]com
zenturikova[.]pro
carnovelisqa[.]pro
themoneydetectives[.]com
worldbrief[.]world
myfolios[.]pro