# Dziesięć oszustw wymierzonych we właścicieli sklepów (a nie w klientów) i jak je rozpoznać
> Phishing z fałszywych e-maili Stripe, oszustwo z nadpłatą, oszustwa dostawców, listy o wygasającej domenie w skrzynce. Oszustwa wymierzone w ciebie, a nie w twoich kupujących, i jak podstawowe zabezpieczenia zatrzymują większość z nich.
Ryan Badger - 28 września 2025 - 8 min czytania
## Oszustwa wymierzone w sprzedawcę, a nie w kartę
Poprzedni wpis dotyczył [oszustw transakcyjnych: skradzionych kart, chargebacków, testowania kart](https://v3.shoprocket.io/pl/blog/oszustwa-w-e-commerce-osiem-rodzajow-i-jak-im-zapobiegac.md). Ten wpis jest o drugiej stronie: oszustwach, które uderzają bezpośrednio w ciebie, właściciela sklepu. Phishingowe e-maile udające Stripe. Fałszywi "klienci", którzy socjotechniką wyłudzają zwroty. Dostawcy, którzy biorą pieniądze i znikają. Listy z oszustwami na odnowienie domeny.
Większość z nich jest niskotechnologiczna. Działają, bo prowadzenie sklepu jest zajęciem, a oszukańczy e-mail przychodzi we wtorek po południu, kiedy jesteś zmęczony. Obrona polega głównie na wiedzy, czego się spodziewać.
## Główne kategorie
### 1. Phishing udający Stripe, PayPal, Shopify, twój bank
Dostajesz e-mail: "Twoje konto Stripe zostało oznaczone, kliknij tutaj, żeby je zweryfikować." Link prowadzi do strony logowania, która wygląda idealnie. Wpisujesz dane. Zostają przechwycone.
**Na co zwracać uwagę:**
- Domena nadawcy: prawdziwe e-maile Stripe przychodzą z `@stripe.com`, a nie z `@stripe-support.com` czy `@stripe.verify.co`
- Język pośpiechu: "konto zostanie zawieszone w ciągu 24 godzin" to wzorzec oszustwa
- Linki: najedź kursorem przed kliknięciem. Prawdziwe linki Stripe prowadzą do `dashboard.stripe.com`
**Obrona:**
- Włącz 2FA na każdej platformie płatności i sprzedaży, której używasz (Stripe, PayPal, bank, konto Shoprocket, poczta). Skradzione hasło jest bezużyteczne bez drugiego składnika
- Nigdy nie klikaj linków do logowania w e-mailach. Wchodź na stronę bezpośrednio przez zakładkę lub wpisany adres
- Używaj menedżera haseł. Wypełnia dane tylko na prawdziwej domenie, więc po cichu odmawia na stronach phishingowych, co jest świetnym sygnałem
### 2. Oszustwo z "nadpłatą"
"Klient" składa duże zamówienie, nadpłaca (o 500 $ czy tak), a potem pisze do ciebie z prośbą o zwrot nadpłaty na inną kartę albo inną metodą (PayPal, przelew bankowy, karty podarunkowe). Tydzień później pierwotna płatność zostaje cofnięta jako oszustwo, a ty zwróciłeś pieniądze, których tak naprawdę nigdy nie miałeś.
- Każda prośba o zwrot inną metodą niż pierwotna płatność
- Zamówienia o nietypowo wysokich kwotach od nowych klientów
- Presja na szybki zwrot
**Obrona:**
- **Zwracaj tylko na pierwotną metodę płatności.** Stripe wymusza to domyślnie, więc to oszustwo zdarza się głównie wtedy, gdy sprzedawcy robią zwroty ręcznie poza platformą
- Jeśli "klient" nalega na alternatywną metodę zwrotu, już samo to jest sygnałem
### 3. Oszustwo "zły adres, proszę wysłać ponownie"
Klient zamawia, odbiera towar, a potem twierdzi "adres był zły, proszę wysłać ponownie na X". Jeśli wyślesz ponownie, zatrzymuje i jedno, i drugie.
- Prośby o ponowną wysyłkę odwołujące się do zmiany adresu po tym, jak śledzenie pokazuje dostarczone
- Wielu klientów z wariacjami tej samej historii, czasem skoordynowanych
**Obrona:**
- Zawsze sprawdzaj śledzenie kuriera, zanim zareagujesz na problem z adresem
- Jeśli towar został dostarczony na adres z zamówienia, zamówienie jest zrealizowane. Kolejne przesyłki idą na koszt klienta
### 4. Szantaż SEO / opiniami
Ktoś pisze do ciebie: "Zostawiłem jednogwiazdkową opinię. Zapłać 200 $, a ją usunę." Albo: "Mogę usuwać negatywne opinie za opłatą." Albo: "Twój Profil Firmy w Google zostanie zgłoszony, chyba że zapłacisz."
Większość z tego to blef. Prawdziwe usuwanie opinii odbywa się przez procedurę platformy z opiniami, a nie przez prywatną płatność.
**Obrona:**
- Nigdy nie płać. Zapłata oznacza cię jako ofiarę i dostajesz kolejne żądania
- Oznacz e-mail jako spam, zablokuj nadawcę i idź dalej
- Jeśli jest prawdziwa negatywna opinia, odpowiedz publicznie rozsądnie. To zrobi dla ciebie więcej niż jej usunięcie
### 5. Fałszywy dostawca / oszustwo z dropshippingiem
Szukasz nowego dostawcy, zwykle przez Alibabę albo zimny e-mail. Oferuje ceny zbyt dobre, żeby były prawdziwe. Wysyłasz zaliczkę (często przelewem, bo "PayPal nie jest dostępny"). Towar nie dociera, dociera jako podróbka albo w niepełnej ilości.
- Metody płatności bez ochrony kupującego (przelew, kryptowaluty, Western Union)
- Ceny 30%+ poniżej rynkowych
- Brak zweryfikowanej obecności firmy (brak audytu fabryki, brak Alibaba Trade Assurance, brak numeru rejestracyjnego, który możesz sprawdzić)
- Komunikacja wyłącznie przez Gmaila lub WhatsApp zamiast firmowego e-maila
**Obrona:**
- Używaj Alibaba Trade Assurance przy pierwszych zamówieniach. Wstrzymuje płatność do potwierdzenia dostawy
- Najpierw próbka. Zamów małą ilość, zanim zdecydujesz się na pełną partię
- Zweryfikuj firmę: numer rejestracyjny, wyszukaj w Google, sprawdź LinkedIn pod kątem pracowników, zrób odwrotne wyszukiwanie zdjęć produktów (skradzione zdjęcia są powszechne)
### 6. Fałszywe Google / Meta / "twój wpis jest niezweryfikowany"
"Twój Profil Firmy w Google zostanie wkrótce usunięty. Zweryfikuj teraz." Albo: "Twoje konto Meta Business ma nietypową aktywność." Link prowadzi do fałszywej strony logowania, która kradnie dane do konta reklamowego.
Przejęcie konta reklamowego Meta jest szczególnie bolesne: atakujący puszczają własne reklamy z twojej karty, zanim Meta to zauważy, a rachunek dostajesz ty.
**Obrona:**
- Loguj się do Google Business i Meta Business Manager bezpośrednio (nie przez linki z e-maili), żeby sprawdzić status
- 2FA na obu
- Ustaw limity wydatków na kontach reklamowych. Jeśli ktoś je przejmie, szkoda jest ograniczona do twojego limitu
### 7. Oszustwo "twoja domena wygasa"
Przychodzi list (papierowy) albo e-mail od "Domain Registry of America" lub podobnej firmy. To nie jest twój rejestrator. List jest prośbą o transfer przebraną za fakturę za odnowienie. Jeśli zapłacisz, przenosisz domenę do wolnego, drogiego rejestratora, który pobiera trzy razy więcej niż obecnie i utrudnia transfer w drugą stronę.
**Obrona:**
- Wiedz, gdzie jest zarejestrowana twoja domena. Jeśli list nie pochodzi od twojego prawdziwego rejestratora, zignoruj go
- Włącz blokadę rejestratora na swojej domenie (większość rejestratorów oferuje to za darmo)
- Ustaw automatyczne odnawianie domeny u prawdziwego rejestratora, żebyś nigdy nie miał "paniki odnowieniowej"
### 8. Fałszywe oszustwa afiliacyjne / partnerskie / "ambasadorów marki"
"Uwielbiamy twoją markę! Chcielibyśmy cię pokazać w naszej kampanii marketingowej za 500 tys. $. Zapłać 2000 $ za miejsce." Albo: "Zostań naszym ambasadorem marki, wyślij nam 50 sztuk swojego produktu do unboxingu przez influencera." (To nie influencer, tylko odsprzedają towar.)
- Prośby o darmowy produkt od kont, których nie możesz zweryfikować
- Oferty marketingowe, w których to ty płacisz im (a nie odwrotnie)
- Mgliste, ogólne wiadomości, które mogłyby trafić do dowolnej marki
**Obrona:**
- Każda prawdziwa propozycja współpracy zawiera konkrety: liczby odbiorców, poprzednie kampanie, prezentację
- Jeśli chcą darmowego produktu, wyślij jedną sztukę i zobacz, co z nią zrobią, zanim wyślesz pięćdziesiąt
- Jeśli chcą pieniędzy z góry za "wyróżnienie" albo "miejsce", zakładaj, że to nieprawda
### 9. Oszustwo z fałszywą groźbą prawną
Dostajesz wezwanie DMCA do usunięcia treści albo pismo o naruszeniu znaku towarowego od "kancelarii", o której nigdy nie słyszałeś. Żądają natychmiastowego działania lub zapłaty. Kancelaria nie istnieje, roszczenie jest zmyślone.
**Obrona:**
- Sprawdź, czy kancelaria istnieje (Google, rejestr adwokatów lub radców)
- Prześlij e-mail swojemu prawdziwemu prawnikowi lub do porady prawnej; nie wchodź w bezpośrednią korespondencję
- Prawdziwe pisma prawne przychodzą na papierze albo przez twojego pełnomocnika, a nie jako PDF w załączniku z adresu Gmail
### 10. E-mail z groźbą chargebacku
"Chcę zwrotu pieniędzy. Jeśli nie zwrócisz w 24 godziny, zrobię chargeback w banku ORAZ zostawię jednogwiazdkową opinię na każdej stronie." Czasem to prawdziwy zły klient. Czasem to oszustwo, żeby wyłudzić zwroty za towar, który odebrali i zatrzymali.
**Obrona:**
- Oceniaj każdy przypadek na jego własnych zasadach: jeśli mają prawdziwy powód (zły towar, uszkodzenie), zwróć pieniądze. Jeśli śledzenie pokazuje dostarczone, a problem jest mglisty, poproś o szczegóły przed zwrotem
- Jeśli mimo to zrobią chargeback, odpowiedz na spór dowodem wysyłki i korespondencją z klientem. W ten sposób wygrasz większość sporów typu "nie otrzymano towaru"
- Pamiętaj, że próg chargebacków w Stripe wynosi 1%; jeśli ustąpisz przy każdej groźbie, twój wskaźnik rośnie, a konto zostanie oznaczone
## Podstawowe zabezpieczenia, które powinien mieć każdy sklep
Niezależnie od konkretnych oszustw kilka ustawień domyślnych utrudnia atakującemu prawie wszystko z powyższego:
- **2FA na każdym koncie** (poczta, Stripe, PayPal, Shoprocket, rejestrator domen, konta reklamowe). Najlepiej przez aplikację uwierzytelniającą, nie SMS
- **Menedżer haseł** z unikalnymi hasłami do każdej usługi
- **Osobny e-mail administracyjny** (nie twój prywatny Gmail) do kont sprzedażowych
- **Dedykowana karta firmowa** do reklam z niskimi limitami
- **Śledzenie + dostawa za podpisem** powyżej ustalonej kwoty
- **Czytelny opis na wyciągu** w Stripe (mocno zmniejsza chargebacki z przyjaznych oszustw)
- **Regularny przegląd logów** w platformach sprzedażowych. Nieznane logowania należy badać od razu
```
```
## Co załatwia Shoprocket
- **Monitorowanie logowań.** Logowania z nowych urządzeń wywołują e-mail do właściciela konta
- **2FA dostępne dla kont sprzedawców** (włącz je w Moje konto → Ustawienia konta → Bezpieczeństwo, z aplikacją uwierzytelniającą)
- **Dziennik aktywności administratora.** Każde istotne działanie (edycje produktów, zwroty, zmiany uprawnień) jest zapisywane i możliwe do przejrzenia
- **Uprawnienia oparte na rolach.** Pracownicy dostają tylko potrzebne uprawnienia; konsultant wsparcia nie może zmienić danych bankowych
- **Ochrona zwrotów.** Zwroty domyślnie idą pierwotną metodą płatności. Żadnych niespodziewanych procesów "zwrot na inną kartę"
Czego Shoprocket nie rozwiązuje: oszustw wymierzonych w twoją pocztę, konta reklamowe, domenę i dostawców. To poza naszym zakresem, ale podstawa w postaci 2FA i menedżera haseł załatwia większość z nich.
> **Wskazówka:** Jeśli dostaniesz podejrzany e-mail podający się za Shoprocket, nie klikaj linku. Zaloguj się do panelu bezpośrednio. Każde prawdziwe powiadomienie będzie widoczne także w alertach w aplikacji, nie tylko w e-mailu.
## W skrócie
- **Większość oszustw wymierzonych w sprzedawców to socjotechnika, a nie technika.** Obrona polega na świadomości, a nie na oprogramowaniu
- **Phishing i przejęcie konta reklamowego** są finansowo najbardziej szkodliwe. 2FA na każdej platformie blokuje większość z nich
- **Zwracaj tylko na pierwotną metodę płatności.** Prośba "zwróć mi inaczej" to prawie zawsze oszustwo
- **Dostawcy to główny wektor ataku.** Używaj Trade Assurance, najpierw próbka, sprawdź, czy firma istnieje
- **Prawdziwe pisma prawne i platformowe nie przychodzą w załącznikach z Gmaila.** Ignoruj groźby w PDF, chyba że przyszły na papierze lub zweryfikowanym kanałem
- **Podstawa bezpieczeństwa:** 2FA wszędzie, menedżer haseł, e-mail administracyjny oddzielony od prywatnego, śledzenie/podpis przy przesyłkach o wysokiej wartości
[Zacznij darmowy okres próbny](https://app-v3.shoprocket.io/signup), a 2FA, uprawnienia oparte na rolach i dzienniki aktywności administratora są domyślnie włączone. 14 dni, bez karty.
---
- HTML version: https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac
- Language: Polski (pl)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)