Malvertising — fałszywa reklama banku w wynikach Google

Wpisujesz w Google nazwę swojego banku. Klikasz pierwszy wynik, bo pierwszy zwykle znaczy „ten właściwy”. Tyle że nad nim widnieje mała etykieta „Sponsorowane”, a strona, na którą trafiasz, tylko wygląda jak bankowa. To malvertising: oszuści kupują reklamę na nazwę instytucji, żeby ich podróbka wyświetliła się wyżej niż oryginał.

Jak działa to oszustwo

Mechanizm jest banalnie prosty i dlatego skuteczny. Przestępcy wykupują w wyszukiwarce link sponsorowany na frazę w rodzaju „logowanie [nazwa banku]”. Reklama pojawia się nad wynikami organicznymi, a użytkownik, który szuka strony logowania, klika pierwszy odruchowo. CSIRT KNF opisywał kampanie z długimi listami podrobionych domen — warianty w rodzaju bank-nazwa.com, nazwa-bank.live czy nazwa-logowanie.live. Strona pod takim adresem wygląda jak prawdziwa bankowość i prosi o login, hasło i kod z SMS-a, które oszuści przechwytują w czasie rzeczywistym.

Kluczowa pułapka: adres wyświetlany w reklamie może być prawdziwy, choć link prowadzi gdzie indziej. CERT Polska ostrzega, by nie kierować się tym, co pokazano w reklamie, tylko sprawdzać pasek adresu już po wejściu na stronę.

Drugi front to reklamy inwestycyjne i sensacyjne. CERT Polska opisuje reklamy budowane na emocjach (spreparowane zdjęcia celebrytów) i autorytetach (wizerunki lekarzy, dziennikarzy, przedsiębiorców), prowadzące do fałszywych platform inwestycyjnych. W 2023 r. CERT zablokował 80 tys. szkodliwych domen, z czego 32 tys. wiązało się właśnie z fałszywymi inwestycjami — średnio ponad 250 nowych oszukańczych stron dziennie. Wizerunek 139 osób publicznych został przy tym wykorzystany bez ich zgody.

Dlaczego platformy tego nie wyłapują? Oszuści stosują cloaking: rozpoznają, kto ogląda stronę (adres IP, przeglądarkę, źródło wejścia) i pokazują analitykom NASK, KNF czy samego Google zupełnie inną treść niż zwykłemu użytkownikowi. Efekt jest wymierny — w teście CERT Polska z 2024 r. na 122 zgłoszone reklamy usunięto zaledwie 10, czyli 8,2%. Średnia kampania phishingowa żyje przy tym około 21 godzin, więc zdąży zebrać ofiary, zanim ktokolwiek zareaguje.

Co zrobić, gdy to się dzieje

• Do banku wchodź z zakładki lub wpisując adres ręcznie. Nigdy z wyników wyszukiwania, a już zwłaszcza nie z linku sponsorowanego. To jeden nawyk, który wyłącza całą tę metodę.
• Sprawdź pasek adresu przed logowaniem. Nie kłódkę, nie wygląd strony — dokładny adres domeny. Podróbki różnią się jednym znakiem albo końcówką.
• Jeśli podałeś dane logowania — dzwoń do banku natychmiast, numer bierz z karty płatniczej lub oficjalnej strony. Poproś o zablokowanie dostępu do konta i zmień hasło z innego urządzenia. Kolejne kroki opisujemy w poradniku co zrobić po oszustwie.
• Przy reklamach inwestycyjnych sprawdź podmiot w rejestrach KNF, zanim wpłacisz choć złotówkę — jak to zrobić, tłumaczymy w poradniku jak sprawdzić platformę inwestycyjną.
• Rozważ blokowanie reklam w przeglądarce. To nie jest porada techniczna dla zaawansowanych, tylko realna warstwa ochrony przed malvertisingiem.

Gdzie zgłosić

Fałszywą stronę zgłoś do CERT Polska przez incydent.cert.pl — po weryfikacji trafia na Listę Ostrzeżeń i zostaje zablokowana u polskich operatorów. Samą reklamę zgłoś też w formularzu platformy (Google, Meta), choć na szybką reakcję nie licz. Podszywanie się pod bank zgłaszaj dodatkowo bezpośrednio w banku i do CSIRT KNF. Wszystkie kanały zebraliśmy w poradniku gdzie zgłosić oszustwo.

Pokrewne metody z naszej bazy: fałszywe strony logowania do banku, fałszywe platformy inwestycyjne oraz deepfake z celebrytami, który najczęściej trafia do ofiar właśnie przez reklamę. Malvertising rzadko działa sam — jak wpisuje się w szerszy zestaw technik z ostatniego roku, pokazujemy w przewodniku po oszustwach napędzanych nowymi technologiami.