FBI i CERT Polska alarmują: internetowi oszuści kradną coraz więcej

Z tego artykułu dowiesz się:

• Jakie są najnowsze statystyki dotyczące strat finansowych spowodowanych cyberprzestępczością w Stanach Zjednoczonych.
• Które kategorie przestępstw cybernetycznych generują największe straty finansowe w USA.
• W jaki sposób oszuści wykorzystują sztuczną inteligencję i jakie straty to powoduje.
• Jakie grupy wiekowe są szczególnie narażone na cyberoszustwa w Stanach Zjednoczonych.
• Jak kształtuje się dynamika cyberzagrożeń w Polsce oraz które oszustwa są najbardziej dotkliwe.
• Jakie są typowe metody działania oszustów internetowych w obszarze inwestycji i wyłudzania danych.

Trwa sezon publikacji o wynikach walki państw i firm z cyberprzestępczością. Ciekawych danych na ten temat dostarcza doroczny raport Federalnego Biura Śledczego (FBI) w Stanach Zjednoczonych. Zgodnie z publikacją FBI, w 2025 r. przestępstwa cybernetyczne przyniosły Amerykanom straty na kwotę prawie 21 mld dol., podczas gdy rok wcześniej 16,6 mld dol. To skala skarg zgłoszonych przez obywateli Stanów Zjednoczonych. Najkosztowniejsze dotyczyły kryptowalut i sztucznej inteligencji – podają śledczy.

FBI: Ponad milion skarg na cyberoszustów. Kuszą kryptowalutami, używają AI  

W ramach FBI jednostką zbierającą zgłoszenia o atakach jest Centrum Zgłoszeń Przestępstw Internetowych (IC3). W ub.r. otrzymało ono łącznie ponad 1 mln skarg, podczas gdy rok wcześniej 0,86 mln (wzrost o 16 proc.). Najczęściej zgłaszanymi skargami były próby wyłudzenia danych (ang. smishing lub spoofing), a także wymuszenia i oszustwa inwestycyjne.

Około 453 tys. skarg dotyczyło oszustw, a straty zgłoszone przez obywateli przekroczyły 17,7 mld dol., podaje FBI. W tej puli oszustwa inwestycyjne pozostają głównym czynnikiem generującym prawie 49 proc. wszystkich strat.

181,6 tys. skarg dotyczyło kryptowalut. Za sprawą cyberoszustów Amerykanie mieli stracić 11 mld dol. – podano.

Jak opisują amerykańscy śledczy, oszuści zazwyczaj inicjują kontakt za pośrednictwem wiadomości tekstowych, portali społecznościowych, reklam lub aplikacji randkowych, a następnie szybko przenoszą rozmowę na platformę komunikatora.

Często ofiary są przedstawiane grupom inwestycyjnym podającym się za doświadczonych ekspertów branżowych, oferujących porady dotyczące handlu lub inwestowania w kryptowaluty lub złoto. Ofiary są nakłaniane do wysyłania kryptowalut na fałszywe platformy lub aplikacje inwestycyjne, gdzie prezentowane są im fałszywe zyski i oferowane pożyczki, mające na celu zachęcenie do większych inwestycji.  Ostatecznie, gdy ofiary próbują wypłacić swoje pieniądze, przestępcy obciążają ich fałszywymi podatkami i opłatami, co stanowi ostatnią próbę wyłudzenia pieniędzy od ofiar, zanim oszuści znikną ze wszystkimi ich funduszami.

FBI chwali się, że za sprawą akcji Level Up, inicjatywy mającej na celu identyfikację i powiadamianie osób, które padły ofiarą oszustw związanych z inwestycjami w kryptowaluty, ograniczono straty o ponad 500 mln dol.

Po raz pierwszy w prawie 25-letniej historii raport IC3 zawiera sekcję poświęconą sztucznej inteligencji. Amerykanie złożyli 22,36 tys. skarg dotyczących wykorzystania AI, zgłaszając jednocześnie straty na prawie 893 mln dol.

„Oszuści stosują techniki nacisku, aby oszukać Amerykanów, wykorzystując fałszywe profile społecznościowe, klony głosu, dokumenty tożsamości i wiarygodne filmy przedstawiające osoby publiczne lub bliskich” – wylicza FBI.

Jak wskazuje FBI, Amerykanie powyżej 60. roku życia zgłosili straty w wysokości około 7,7 mld dol., co stanowi wzrost o 37 proc. w porównaniu z 2024 rokiem.

CERT Polska: Masowa rejestracja oszukańczych stron 

W Polsce nie publikuje się zbiorczych danych o stratach finansowych zgłoszonych przez ofiary cyberprzestępców. Działające od 2022 r. Centralne Biuro Zwalczania Cyberprzestępczości podaje nam swoje dane za 2025 r.:  w sprawach, którymi się zajmowało suma strat została określona na 537 mln zł, a odzyskano mienie o wartości niecałych 25 mln zł. W 2024 r. zgłoszone straty wyniosły niecałe 115 mln zł, a w 2023 r. - prawie 411 mln zł. 

Ale i u nas – jak wskazywali przedstawiciele CSIRT Komisji Nadzoru Finansowego i CERT Orange Polska – oszustwa inwestycyjne należą do jednych z najpopularniejszych kategorii cyberataków, choć nie tak powszechnych jak próby wyłudzania newralgicznych danych.

Także w opublikowanym dziś raporcie podsumowującym działalność CERT Polska (inaczej CSIRT NASK) w 2025 r. jest to zauważalny problem. CERT Polska to największy z trzech państwowych CSIRT-ów obok prowadzonego przez resort obronny CSIRT MON i CSIRT GOV prowadzonego przez Agencję Bezpieczeństwa Wewnętrznego (ABW).

„Oszustwa inwestycyjne należą do najbardziej dotkliwych finansowo zagrożeń w polskiej cyberprzestrzeni” – ocenia CERT Polska, nie podając kwot.

„Sprawcy masowo rejestrują witryny oferujące fikcyjne programy inwestycyjne i platformy transakcyjne, często przy tym posługują się wizerunkiem osób publicznych jako fałszywymi rekomendacjami. Mechanizm oszustwa opiera się na manipulacji psychologicznej. Po dokonaniu wpłaty ofierze prezentowane są sfałszowane wykresy wykazujące pozorny wzrost wartości zainwestowanych środków. Symulacja zysków ma na celu budowanie zaufania i skłonienie użytkownika do dokonania kolejnych wpłat” – podaje CERT Polska i informuje, że w 2025 r. na liście ostrzeżeń przed phishingiem wpisano prawie 99 tys. domen o charakterze oszustw inwestycyjnych. To o ponad 100 proc. więcej niż rok wcześniej.

Skokowy przyrost incydentów w sieci. Klienci Allegro i OLX na celowniku 

Jak czytamy w raporcie, w minionym roku CERT Polska otrzymał on 658,32 tys. zgłoszeń cyberprzestępstw (wzrost o 10 proc. w porównaniu z 2024 r.). Zostały one przeanalizowane i na ich podstawie zarejestrowano 260,78 unikalnych incydentów bezpieczeństwa (wzrost o 152 proc. rok do roku). Są to przy tym zdarzenia, które miały lub mogły mieć negatywny wpływ na poziom cyberbezpieczeństwa.

Najliczniejszą kategorią incydentów zarejestrowanych w 2025 r. były oszustwa komputerowe. Odnotowano ich 253,24 tys. (97 proc. obsłużonych zdarzeń), o 158 proc. więcej niż w 2024 r.

Podobnie jak w Stanach Zjednoczonych, najczęściej występującym rodzajem oszustw komputerowych były próby wyłudzania poufnych danych (phishing), takich jak loginy i hasła do poczty elektronicznej, serwisów bankowych, portali społecznościowych czy innych usług online. W ub.r. odnotowano 78,38 tys. tego typu incydentów.

Na liście oszustw komputerowych znalazły się m.in. fałszywe sklepy internetowe oraz wspomniane oszustwa inwestycyjne, w których przestępcy podszywali się pod koncerny paliwowo-energetyczne, instytucje czy wykorzystywali wizerunki znanych osób.

Wśród najczęściej wykorzystywanych kampanii phishingowych znalazły się przypadki nieuprawnionego użycia wizerunku serwisów sprzedażowych OLX – 28,46 tys. zdarzeń, Allegro – 22,51 tys. zdarzeń oraz próby pozyskania poświadczeń do skrzynek elektronicznych – 2,52 tys. zdarzeń.

Dużo rzadziej zgłaszane są przypadki szkodliwego oprogramowania. W 2025 r. zarejestrowano 3438 incydentów tego typu, które obejmowały m.in. infekcje systemów informatycznych oraz próby nieuprawnionego dostępu z wykorzystaniem szkodliwego kodu.

Ile groźnych ataków na krytyczną infrastrukturę dla państwa

Znowelizowana niedawno ustawa o krajowym systemie cyberbezpieczeństwa definiuje zagrożenia naprawdę groźne dla państwa. Jak czytamy w raporcie CERT Polska, w 2025 r. CSIRT NASK w ramach ustawy o KSC obsłużył 27 incydentów zaklasyfikowanych jako poważne. Były to zdarzenia, które spowodowały lub mogły spowodować istotne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej. 14 dotyczyło sektora bankowości i infrastruktury rynków finansowych, 8 miało miejsce w sektorze ochrony zdrowia, natomiast 5 było związanych z sektorem transportu.

W porównaniu z rokiem 2024 liczba incydentów poważnych w 2025 r. zmniejszyła się o 53 proc., zaś liczba incydentów poważnych z sektora bankowości i infrastruktury rynków finansowych o 68 proc.

Spadek ten jest związany z wdrożeniem rozporządzenia DORA, które nakłada na podmioty finansowe obowiązek raportowania incydentów poważnych do CSIRT KNF – podano.

W 2025 r. nie odnotowano żadnego incydentu istotnego. W 2025 r. CSIRT NASK obsłużył również 5111 incydentów w podmiotach publicznych, co oznacza wzrost o 48 proc. w porównaniu z rokiem poprzednim – czytamy.