Wiadomość o dopłacie do rezerwacji, link do „szybkiej płatności” i groźba, że nocleg przepadnie w ciągu 24 godzin. Tak wygląda jedna z najczęstszych pułapek, w którą latem wpadają osoby planujące urlop. CERT Polska, zespół reagowania na incydenty działający w państwowym instytucie badawczym NASK, w komunikacie z 8 czerwca 2026 roku ostrzega, że w sezonie urlopowym takich prób gwałtownie przybywa. Mechanizm jest zawsze ten sam: ktoś próbuje skłonić cię do podania danych karty albo do przelewu poza platformą rezerwacyjną, zanim zdążysz się zastanowić.
Iwona Prószyńska z NASK, która kieruje zespołem do spraw strategicznej komunikacji cyberbezpieczeństwa, zwraca uwagę, że przestępcy grają na pośpiechu i emocjach urlopowiczów. Jej rada sprowadza się do jednego: zatrzymać się na chwilę i sprawdzić, z kim i z jaką stroną mamy do czynienia. Kilka minut ostrożności bywa różnicą między udanym wyjazdem a utratą pieniędzy i danych.
Trzy warianty oszustwa na nocleg
CERT Polska opisuje trzy powtarzalne scenariusze. Pierwszy to klasyczny phishing, czyli wyłudzanie danych przez podszywanie się pod znaną markę. Ofiara dostaje link do strony łudząco podobnej do Booking.com: ta sama kolorystyka, układ, okno płatności. Różni się tylko adres. Czasem to literówka, czasem dodatkowy myślnik, czasem zupełnie inna końcówka domeny. Wpisane tam dane karty trafiają prosto do przestępców.
Drugi wariant jest trudniejszy do wychwycenia, bo wiadomość przychodzi z prawdziwego konta. Przestępcy przejmują profil gospodarza, który ma już ogłoszenie na platformie, a następnie piszą do osób z aktywną rezerwacją z prośbą o „dodatkową wpłatę”. Podają numer konta albo kierują do podrobionej bramki płatności. Wiadomość zawiera prawdziwe dane obiektu, termin pobytu, czasem podpis gospodarza, więc wygląda wiarygodnie.
Trzeci scenariusz nie wymaga żadnej fałszywej strony. Oferta wisi na prawdziwej platformie, ale wystawił ją nieuczciwy ogłoszeniodawca, który wprowadza w błąd co do warunków albo samego istnienia kwatery. Ten sam schemat przenosi się też poza serwisy rezerwacyjne, na media społecznościowe i portale z ogłoszeniami, gdzie pojawiają się tanie oferty najmu w popularnych kurortach. Tu przestępcy proszą o zaliczkę z góry, najczęściej kodem BLIK. Turysta płaci, dojeżdża na miejsce i okazuje się, że obiektu nie ma.
Jest prosty sygnał ostrzegawczy, który podpowiada sam Booking. Gospodarz dostaje dostęp do płatności online dopiero po weryfikacji swoich danych i numeru konta, więc nacisk na gotówkę na miejscu albo przelew poza systemem powinien wzbudzić czujność. Uczciwemu właścicielowi weryfikacja nie przeszkadza, oszust się przed nią wzbrania. CERT Polska zastrzega przy tym, że nawet płatność w systemie serwisu nie daje stuprocentowej pewności, bo zdarzały się weryfikacje na podstawione dane tzw. słupa.
Jedno kliknięcie potrafi oddać przestępcy cały telefon
Najgroźniejszy wariant tej kampanii wykracza poza zwykłe wyłudzenie hasła. W analizie z 3 kwietnia 2026 roku CERT Polska opisał atak na użytkowników Androida, w którym oszuści podszywali się pod Booking.com i firmową aplikację Booking Pulse. Wszystko zaczyna się od wiadomości z linkiem do strony udającej komunikat bezpieczeństwa. Strona namawia do pobrania „aktualizacji”, czyli pliku APK, instalatora aplikacji spoza oficjalnego sklepu.
Ten plik to dopiero początek. Po instalacji dokłada kolejny pakiet udający Usługi Google Play, a na końcu łańcucha na telefonie ląduje trojan zdalnego dostępu (RAT), czyli program dający przestępcy zdalną kontrolę nad urządzeniem. Według CERT Polska potrafi on strumieniować obraz z ekranu, zapisywać wpisywane znaki, odczytywać kody jednorazowe z SMS-ów, sięgać do kamery i podstawiać fałszywe okna nad prawdziwym ekranem logowania. W praktyce odczytanie kodu z SMS-a sprawia, że samo uwierzytelnianie dwuskładnikowe (2FA), czyli druga warstwa logowania poza hasłem, przestaje wystarczać. To inny poziom ryzyka niż jednorazowa kradzież hasła.
Tani bilet na koncert? Najpierw sprawdź, gdzie płacisz
Noclegi to nie jedyny wakacyjny wabik. W cyklu „Cyberparawan” CERT Polska opisuje też oszustwa biletowe: wejściówki na festiwale i bilety lotnicze w cenach, które powinny zapalić czerwoną lampkę. Najczęstszym kanałem są grupy na Facebooku, gdzie po wystawieniu ogłoszenia „kupię bilet” w kilka chwil pojawiają się sympatyczne oferty od rzekomych osób prywatnych. Zdjęcie profilowe nic nie znaczy, bo można je ukraść albo wygenerować narzędziem AI.
Bardziej dopracowany wariant prowadzi do strony udającej znany serwis z biletami, z fałszywą bramką płatności i e-mailem z „biletem”, który okazuje się bezwartościowy dopiero przy wejściu na wydarzenie. CERT Polska zwraca uwagę na powtarzalny szczegół: na takich stronach jedyną formą płatności bywa kod BLIK. I tu kryje się pułapka, o której łatwo zapomnieć. Płatności BLIK-iem nie da się cofnąć tak jak transakcji kartą, więc po przelaniu pieniędzy oszustowi odzyskanie ich graniczy z cudem.
Jak nie dać się złapać
Najlepiej działa połączenie spokoju i ograniczonego zaufania. Komunikaty typu „natychmiast”, „ostatnia szansa”, „anulujemy rezerwację” traktuj jak ostrzeżenie, a nie powód do pośpiechu. Nie podawaj danych karty ani loginu na stronie otwartej z linku w wiadomości. Jeśli masz wątpliwości, samodzielnie wpisz adres platformy w przeglądarce albo wyszukaj ją i dopiero wtedy się zaloguj. Płać i rozmawiaj wyłącznie w obrębie platformy, unikaj przelewów na „prywatne konto” i zewnętrznych bramek. Włącz 2FA, bo utrudnia przejęcie konta nawet po wycieku hasła.
Przy ofertach z ogłoszeń pomaga prosty test. Sprawdź w wyszukiwarce, czy kwatera faktycznie stoi pod podanym adresem, a zdjęcia wrzuć do wyszukiwania obrazem, żeby zobaczyć, czy nie zostały „pożyczone” z innego ogłoszenia. Aplikacji nie instaluj z linków w wiadomościach, tylko z oficjalnego sklepu, a żądanie dostępu do SMS-ów czy nakładek na ekran przez rzekomą aktualizację noclegu potraktuj jako sygnał alarmowy.
Próby phishingu zgłosisz CERT Polska przez formularz na stronie incydent.cert.pl albo w aplikacji mObywatel, w usłudze „Bezpiecznie w sieci”. Każde zgłoszenie pomaga szybciej blokować fałszywe domeny i chroni kolejne osoby. Jeśli trafiłeś na fałszywą ofertę na prawdziwej platformie, zgłoś ją administracji serwisu, a gdy doszło już do oszustwa, także policji. Liczba wakacyjnych oszustw rośnie wraz z rozkręcającym się sezonem urlopowym, więc te kilka sekund na sprawdzenie adresu strony to dziś najtańsza polisa na spokojny wyjazd.
