Cyberprzestępcy podszywają się pod Polskie Linie Lotnicze LOT i reklamują w mediach społecznościowych rzekomą kartę premium z pakietem 5000 mil. Oferta prowadzi do rozbudowanej fałszywej strony, która zbiera dane osobowe, adres e-mail, hasło, a na końcu informacje z karty płatniczej. CERT Orange Polska ostrzega, że użytkownik nie otrzyma obiecywanej karty, natomiast przekazane dane mogą zostać wykorzystane do kradzieży pieniędzy oraz przejęcia innych kont internetowych.
Kampania została wykryta przez CERT Orange Polska. Oszuści wykorzystywali reklamę na Facebooku, która sprawiała wrażenie oficjalnej promocji Polskich Linii Lotniczych LOT. Materiał posługiwał się identyfikacją kojarzoną z przewoźnikiem, obietnicą karty premium oraz możliwością uzyskania 5000 bonusowych mil.
Do działania miała skłaniać również presja czasu. Z reklamy wynikało, że możliwość skorzystania z promocji pozostanie dostępna jedynie przez trzy dni. Jest to jedna z typowych metod socjotechnicznych stosowanych w phishingu: użytkownik ma podjąć decyzję szybko, zanim zacznie dokładniej sprawdzać ofertę.
Eksperci CERT Orange Polska wskazali przy tym na wyraźny błąd autorów kampanii. Reklama rozpowszechniana w sierpniu 2026 r. zawierała drobnym drukiem informację, że promocja obowiązuje do 31 maja 2025 r., a więc zakończyła się ponad rok wcześniej.
Po kliknięciu reklamy internauta trafiał do serwisu działającego w domenie airlinespl.com. Jak ustalił CERT Orange Polska, domenę zarejestrowano 4 sierpnia 2026 r. w St. Kitts i Nevis. Sama nazwa miała zwiększać wiarygodność strony i wywoływać skojarzenie z polskim przewoźnikiem, mimo że nie była oficjalną domeną LOT.
Dane osobowe i hasło przed żądaniem pieniędzy
Atak nie sprowadzał się do jednego formularza płatniczego. Przestępcy przygotowali wieloetapowy proces, dzięki któremu witryna miała przypominać rzeczywisty system składania wniosku o usługę.
Najpierw użytkownik proszony był m.in. o podanie danych osobowych i daty urodzenia. Następnie pojawiały się pytania dotyczące częstotliwości podróży lotniczych oraz najczęściej wybieranych regionów świata. Dopiero na kolejnych ekranach formularz żądał adresu poczty elektronicznej i utworzenia hasła.
Ten etap oznacza dodatkowe zagrożenie niezależne od późniejszej próby wyłudzenia pieniędzy. Osoba, która użyje na fałszywej stronie hasła stosowanego również w poczcie elektronicznej, sklepie internetowym, portalu społecznościowym lub innej usłudze, przekazuje przestępcom zestaw danych umożliwiający próby logowania się na kolejnych kontach.
CERT Orange Polska zwraca uwagę właśnie na ryzyko wykorzystania przejętej pary adres e-mail–hasło do tzw. credential stuffing. Przestępcy automatycznie sprawdzają w takim przypadku, czy te same dane działają również w innych popularnych serwisach. Dlatego jedno powtarzane hasło może prowadzić do utraty dostępu do więcej niż jednego konta.
5000 mil, dokument PDF i „umowa” podpisywana palcem
Po przejściu kolejnych etapów użytkownik otrzymywał komunikat o przyznaniu rzekomej karty premium oraz 5000 mil. Oszuści zadbali również o elementy, które miały nadać całej operacji formalny charakter.
Fałszywy serwis generował dokument PDF przedstawiany jako umowa z PLL LOT. Dokument można było otworzyć na telefonie, pobrać, a nawet „podpisać” palcem na ekranie smartfona. CERT Orange Polska ustalił jednak, że plik nie zawierał podstawowych informacji, które pozwalałyby określić strony umowy czy rzeczywisty przedmiot zobowiązania.
Tak rozbudowana scenografia ma znaczenie psychologiczne. Użytkownik, który przeszedł przez kilka ekranów, podał dane, odpowiedział na pytania, otrzymał potwierdzenie przyznania karty i podpisał dokument, może być bardziej skłonny zaakceptować ostatni etap transakcji.
Karta za 29 lub 99 zł. Właśnie wtedy pojawia się właściwy cel ataku
Na końcu procesu użytkownik miał wybrać jeden z wariantów rzekomej karty. Cena wynosiła 29 albo 99 zł. Aby dokończyć operację, należało wpisać dane prawdziwej karty płatniczej.
To właśnie zdobycie tych informacji było jednym z podstawowych celów przestępców. CERT Orange Polska podkreśla, że użytkownik nie otrzyma obiecywanej karty LOT. Dane płatnicze przekazane na podstawionej stronie mogą natomiast zostać wykorzystane do nieautoryzowanych transakcji.
Dodatkowym sygnałem ostrzegawczym powinien być sam fakt żądania opłaty za udział w programie lojalnościowym przedstawianym jako Miles & More. CERT Orange Polska przypomina, że do programu Miles & More można przystąpić bezpłatnie. Oferta wymagająca zapłaty 29 lub 99 zł za rzekomą aktywację powinna więc wzbudzić podejrzenia.
CyberTarcza Orange objęła stronę wykorzystywaną w kampanii blokadą.
Phishing na Amazon Prime. Przynętą rzekomo aktywowana subskrypcja
Niemal równolegle CERT Polska ostrzegł przed innym sposobem kradzieży danych kart płatniczych. 18 sierpnia 2026 r. zespół poinformował o kampanii wykorzystującej markę Amazon Prime.
W tym przypadku przestępcy nie obiecywali korzyści. Stosowali odwrotny mechanizm: próbowali wywołać niepokój. Odbiorca otrzymywał e-mail informujący, że jego subskrypcja Amazon Prime została właśnie aktywowana. Ponieważ wiele osób nigdy takiej usługi nie zamawiało, wiadomość oferowała możliwość jej szybkiego anulowania.
Kliknięcie odnośnika prowadziło jednak na przygotowaną przez cyberprzestępców stronę przypominającą serwis Amazon. Formularz służący rzekomo do anulowania subskrypcji żądał danych karty płatniczej.
CERT Polska zaleca, aby w podobnych sytuacjach nie korzystać z linku otrzymanego w wiadomości. Status subskrypcji należy sprawdzić przez samodzielne wejście na oficjalną stronę usługodawcy i zalogowanie się na własne konto.
Fałszywa opłata za parking i wykorzystanie wakacyjnych wyjazdów
Kolejna kampania opisywana przez CERT Polska dotyczy zaległych opłat parkingowych. W połowie sierpnia 2026 r. do użytkowników trafiały wiadomości sugerujące, że nie uregulowali niewielkiej należności za pozostawienie samochodu na parkingu.
Ten wariant oszustwa jest szczególnie dostosowany do okresu wakacyjnego. Podczas urlopu kierowcy korzystają z parkingów w wielu miastach, przy hotelach, dworcach, lotniskach, atrakcjach turystycznych czy centrach handlowych. Po kilku dniach mogą rzeczywiście nie pamiętać nazwy każdego operatora.
Cyberprzestępcy próbują wykorzystać właśnie tę niepewność. Niewielka zaległość może wydawać się wiarygodniejsza niż żądanie wysokiej kwoty, a groźba dalszych konsekwencji zwiększa presję na szybkie wykonanie płatności. Link ponownie prowadzi do formularza, którego rzeczywistym zadaniem jest zebranie danych karty.
Podobny schemat CERT Polska obserwował również na początku sierpnia w kampanii dotyczącej rzekomo nieuregulowanych opłat za przejazd autostradą. Wiadomości sugerowały możliwość negatywnych konsekwencji, w tym nawet pogorszenia zdolności kredytowej. Link prowadził na stronę podszywającą się pod serwis operatora drogi, gdzie przestępcy żądali danych karty.
Jak rozpoznać fałszywą reklamę i stronę phishingową
CERT Orange Polska zaleca przede wszystkim dokładne sprawdzanie reklam pojawiających się w mediach społecznościowych. Sama obecność logo znanej firmy nie potwierdza autentyczności oferty. Oszuści mogą bez większych trudności skopiować identyfikację wizualną przedsiębiorstwa, zdjęcia, elementy strony internetowej czy materiały promocyjne.
Przed podaniem danych trzeba sprawdzić nazwę profilu publikującego reklamę, historię jego działalności, liczbę obserwujących oraz adres witryny, na którą prowadzi ogłoszenie. Szczególnie istotna jest domena. Adres jedynie podobny do oficjalnego może być podstawową oznaką phishingu.
Nie należy również wpisywać danych karty na stronie, której wiarygodności nie udało się potwierdzić. Jeżeli reklama dotyczy znanej linii lotniczej, banku, sklepu czy platformy internetowej, bezpieczniej samodzielnie wejść na oficjalną witrynę firmy i sprawdzić, czy dana oferta rzeczywiście istnieje.
Podejrzane wiadomości i strony można zgłaszać CERT Polska przez formularz incydent.cert.pl oraz usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Usługa pozwala przekazywać informacje m.in. o fałszywych stronach internetowych, podejrzanych e-mailach, SMS-ach oraz innych próbach oszustwa. Podejrzane SMS-y można również przekazywać CERT Polska pod numer 8080.
Źródła:
- CERT Orange Polska – ostrzeżenie „To nie elitarna karta PLL LOT – oszuści chcą dane Twojej karty płatniczej”, publikacja z 19 sierpnia 2026 r., aktualizacja z 20 sierpnia 2026 r.
- CERT Polska – komunikat z 18 sierpnia 2026 r. dotyczący kampanii phishingowej podszywającej się pod Amazon Prime.
- CERT Polska – komunikaty dotyczące kampanii phishingowych wymierzonych w użytkowników usług parkingowych.
- CERT Polska – ostrzeżenie z 3 sierpnia 2026 r. dotyczące fałszywych SMS-ów o zaległych opłatach za autostradę.
- mObywatel – informacje o usłudze „Bezpiecznie w sieci” i możliwościach zgłaszania incydentów.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.
Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu