Fałszywy sklep pod Twoją marką: jak go wykryć i zgłosić

Przed Black Friday, który w tym roku wypada 27 listopada, w sieci przybywa sklepów z promocjami nie do odrzucenia. Część z nich nie wymyśla własnej nazwy, tylko bierze cudzą: logo, zdjęcia produktów, opisy i nazwę z jedną zmienioną literą. Klient płaci, paczka nie przychodzi, a pretensje i złe opinie trafiają do prawdziwej firmy, bo to jej markę widział w reklamie.

Skala jest duża. Według raportu rocznego CERT Polska za 2025 rok, opublikowanego 8 kwietnia 2026 r., oszustwa komputerowe stanowiły 97% obsłużonych incydentów, a na Listę Ostrzeżeń przed niebezpiecznymi stronami trafiło w ciągu roku prawie 245 tys. domen. Pokazuję, jak w kwadrans sprawdzić, czy ktoś podszywa się pod Twoją firmę, gdzie zgłosić fałszywy sklep i co napisać klientom. Opisuję stan na 6 listopada 2026 r.: platformy co jakiś czas zmieniają nazwy przycisków i formularzy.

Jak działa fałszywy sklep pod cudzą marką

Wiarygodnie wyglądający sklep powstaje dziś z gotowego szablonu i skopiowanych zdjęć. CERT Polska w poradniku o fałszywych sklepach zwraca uwagę, że oszust może podać dowolnie niską cenę, bo i tak nie zamierza niczego wysłać. Typowy schemat:

• podobna domena: nazwa z literówką, dodatkowym myślnikiem albo dopiskiem „outlet”, „sale”, „sklep”, często z końcówką .shop, .top czy .xyz,
• kopia strony: Twoje logo, zdjęcia i opisy, czasem nawet dane firmy przepisane ze stopki,
• reklamy na Facebooku i Instagramie: „likwidacja sklepu”, „-70% tylko dziś”, licznik odliczający czas do końca promocji,
• jedna metoda płatności albo nacisk na konkretną, a po zapłacie cisza albo tani zamiennik w paczce.

To się już zdarzało znanym markom. W listopadzie 2023 r. CSIRT NASK ostrzegał przed fałszywymi stronami udającymi sklepy marek Wojas, Cropp, Sinsay i Mohito i przypominał, że w okresie promocji Black Friday i Cyber Monday oszuści podszywają się pod sklepy internetowe. W lipcu 2025 r. UOKiK opisał sklepy udające polskie marki odzieżowe i obuwnicze, a wśród sygnałów ostrzegawczych wymienił znaną nazwę z literówką albo dodatkowym myślnikiem oraz nietypowe końcówki domen, takie jak .xyz, .lol czy .top.

Jak sprawdzić, czy ktoś podszywa się pod Twoją firmę

Ten przegląd zajmie około 15 minut i nie wymaga programisty. Powtarzaj go co tydzień do Cyber Monday, czyli do 30 listopada.

1. Wyszukaj nazwę firmy w Google z dopiskami „sklep”, „outlet”, „promocja”, „black friday”, „wyprzedaż” i „likwidacja”. Szukaj adresów, które nie są Twoje.
2. Sprawdź swoje zdjęcia. Wyszukiwanie obrazem w Google (Google Lens) pokaże, gdzie jeszcze pojawia się zdjęcie Twojego produktu. Zacznij od 3–5 najbardziej charakterystycznych.
3. Przejrzyj Bibliotekę reklam Meta. Ustaw kraj Polska, kategorię wszystkich reklam i wpisz nazwę marki. Biblioteka obejmuje reklamy wyświetlane obecnie na platformach Meta, a nowa reklama trafia do niej w ciągu 24 godzin od pierwszego wyświetlenia. Patrz na reklamodawcę: jeśli to nie Twoja strona, a reklama pokazuje Twoje logo albo zdjęcia, masz problem.
4. Zajrzyj do Centrum przejrzystości reklam Google. Wyszukasz w nim reklamodawców po nazwie albo adresie strony.
5. Wpisz w przeglądarce typowe przeróbki swojej domeny: z myślnikiem, bez polskiej litery, z podwójną literą, z końcówką .com, .eu albo .shop. Dla domen .pl datę rejestracji i rejestratora pokaże baza WHOIS NASK. Domena założona kilka dni temu i sklep „z tradycją” to zły znak.
6. Ustaw Alerty Google na nazwę firmy i nazwy Twoich produktów. Dostaniesz e-mail, gdy Google znajdzie nową stronę z tą frazą.

Informatyk może dodatkowo śledzić nowe certyfikaty SSL dla domen z nazwą Twojej firmy (rejestry Certificate Transparency). Najszybszym sygnałem bywają jednak klienci: każde pytanie „czy to wasz sklep?” od nieznanej osoby powinno od razu trafiać do Ciebie.

Gdzie zgłosić fałszywy sklep

Zanim cokolwiek zgłosisz, zbierz dowody: zrzuty ekranu strony i reklam z widocznym adresem i datą, link do reklamy, numer konta lub link do płatności (jeśli sklep je pokazuje) i wiadomości od poszkodowanych klientów. Fałszywa strona potrafi zniknąć w ciągu kilku godzin, a zgłoszenie z dowodami łatwiej rozpatrzyć.

CERT Polska

Najważniejsze jest zgłoszenie na incydent.cert.pl. Wybierz „Osoba fizyczna / inne podmioty” (jeśli Twoja firma nie jest podmiotem kluczowym ani ważnym według ustawy o krajowym systemie cyberbezpieczeństwa), a potem kategorię „Oszustwo”, opisaną jako fałszywe sklepy internetowe i inne próby podszywania się. Formularz prosi o link do sklepu, informację, skąd wiadomo o sklepie, korespondencję, numer konta do wpłat i numer sprawy na policji, jeśli taka jest.

Domeny uznane za niebezpieczne trafiają na Listę Ostrzeżeń. CERT Polska prowadzi ją na podstawie ustawy z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Operatorzy, którzy przystąpili do porozumienia, a wśród nich Orange, Plus, Play i T-Mobile, blokują wpisane domeny na 6 miesięcy. Klient, który korzysta z internetu u takiego operatora, zobaczy wtedy zamiast sklepu planszę z ostrzeżeniem. Podejrzany SMS przekaż bezpłatnie na numer 8080.

Facebook i Instagram

• Reklama: kliknij trzy kropki przy reklamie i wybierz zgłoszenie reklamy.
• Strona lub profil udający Twoją firmę: według pomocy Facebooka kliknij „Opcje” pod zdjęciem w tle i wybierz „Zgłoś stronę”. Zgłoszenie można wysłać także bez konta, przez formularz kontaktowy.
• Skopiowane zdjęcia, teksty i logo: Meta ma formularze zgłaszania naruszeń własności intelektualnej z wyborem: prawa autorskie, znak towarowy albo podróbka. Zgłoszenie znaku towarowego wymaga zarejestrowanego znaku: podajesz kraj i numer rejestracji, jeden znak na zgłoszenie, do 30 linków.

Google

• Reklama w Google: w Centrum przejrzystości reklam znajdź reklamę i kliknij „Zgłoś tę reklamę”.
• Strona wyłudzająca pieniądze lub dane: zgłoś ją do Bezpiecznego przeglądania Google. Gdy Google uzna stronę za niebezpieczną, Chrome pokazuje przed wejściem na nią ostrzeżenie.

Policja

Klientom, którzy stracili pieniądze, CERT Polska radzi zawiadomić policję albo Centralne Biuro Zwalczania Cyberprzestępczości. Zawiadomienie możesz złożyć także jako firma, której markę wykorzystano. Czy i jakie dalsze kroki prawne mają sens, oceni prawnik: ta porada nie jest poradą prawną.

Co napisać klientom: gotowe teksty

Nie czekaj, aż fałszywy sklep zniknie. Napisz do klientów tego samego dnia: na stronie (pasek u góry albo wpis), w przypiętym poście na Facebooku i Instagramie, w newsletterze. Spokojnie i konkretnie, bez straszenia.

Komunikat na stronę i do social mediów:

Uwaga na fałszywy sklep. W internecie działa strona [fałszywy adres], która podszywa się pod [nazwa firmy] i używa naszych zdjęć w reklamach. To nie jest nasz sklep. Nasz jedyny sklep internetowy działa pod adresem [twoja-domena.pl], a oficjalne profile są podlinkowane w stopce strony. Nie prosimy o wpłaty na konta inne niż podane na naszej stronie. W razie wątpliwości prosimy o telefon: [numer]. Sprawę zgłosiliśmy do CERT Polska.

Odpowiedź dla klienta, który zapłacił w fałszywym sklepie:

Dzień dobry, bardzo nam przykro. Sklep [fałszywy adres] nie należy do nas: podszywa się pod naszą firmę i zgłosiliśmy go do CERT Polska. Prosimy jak najszybciej skontaktować się ze swoim bankiem. Przy płatności kartą bank może pomóc odzyskać pieniądze w procedurze chargeback. Warto też zgłosić oszustwo na policji i na stronie incydent.cert.pl. Nasz sklep działa wyłącznie pod adresem [twoja-domena.pl].

Pod postami i w opiniach odpowiadaj krótko, np. „To nie jest nasz sklep. Nasz adres to [twoja-domena.pl], sprawę zgłosiliśmy do CERT Polska”. Komentarzy o oszustwie nie usuwaj, bo kolejni klienci widzą w nich, że firma wie o problemie i reaguje. Osoby poszkodowane możesz też skierować do miejskich i powiatowych rzeczników konsumentów albo na infolinię konsumencką, którą wskazuje UOKiK: 801 440 220 lub 22 266 76 76.

Oficjalne kanały i podobne domeny

Oszustowi najłatwiej tam, gdzie klient nie wie, jak wygląda prawdziwa firma. Dlatego:

• Wypisz oficjalne kanały na stronie: adres sklepu, profile w social mediach, telefon, e-mail i metody płatności. Najlepiej w stopce i na stronie kontaktu, z jednym zdaniem: „Działamy wyłącznie pod tymi adresami”.
• Linkuj w obie strony: ze strony do profili i z profili do strony. Klient, który trafi na profil, od razu sprawdzi adres sklepu.
• Załóż profile tam, gdzie Cię jeszcze nie ma. Niezajęta nazwa na Instagramie albo Facebooku to wolne miejsce dla oszusta. Wystarczy profil z logo, opisem i linkiem do strony. Takie profile zakładam i konfiguruję w ramach usługi Grupy i kanały w social mediach (od 290 zł netto za kanał).
• Zabezpiecz konta firmowe weryfikacją dwuetapową. Przejęty prawdziwy profil jest groźniejszy niż fałszywy, bo ma Twoich obserwujących. Jak to zrobić, opisuję w poradzie o przejętym koncie firmowym na Facebooku.
• Pilnuj poczty i numeru konta. Oszuści podszywają się też w mailach i na fakturach. O DMARC i weryfikacji numeru konta piszę w poradzie Podmieniony numer konta na fakturze.

Podobne domeny kupuj z głową. Wszystkich wariantów nie wykupisz, bo końcówek domen są setki. Zarejestruj te, które klient może wpisać sam:

Dodatkowe domeny ustaw jako przekierowanie na główną, włącz automatyczne odnawianie i pilnuj, żeby były zarejestrowane na Twoją firmę, a nie na wykonawcę. Jeśli marka jest dla Ciebie ważna, rozważ rejestrację znaku towarowego w Urzędzie Patentowym RP. Formularz Meta do zgłaszania naruszeń znaku przyjmuje tylko znaki zarejestrowane, a spory o domeny .pl rozpatruje m.in. Sąd Polubowny ds. Domen Internetowych przy PIIT. Zakres ochrony i koszty omów z rzecznikiem patentowym.

Plan do Black Friday: lista kontrolna

• Dziś: przegląd z sekcji „Jak sprawdzić” i Alerty Google na nazwę firmy.
• Do 13 listopada: oficjalne kanały wypisane w stopce, weryfikacja dwuetapowa na wszystkich kontach firmowych, brakujące profile założone.
• Do 20 listopada: gotowe komunikaty zapisane w notatkach zespołu; ustalone, kto zgłasza fałszywe sklepy, a kto odpowiada klientom.
• Co tydzień do 30 listopada: Biblioteka reklam Meta, Centrum przejrzystości reklam Google i wyszukiwanie nazwy firmy.
• Gdy coś znajdziesz: dowody, zgłoszenia do CERT Polska, Meta i Google, komunikat do klientów tego samego dnia.

Podsumowanie

Fałszywego sklepu pod swoją marką nie da się całkiem wykluczyć, ale da się go szybko znaleźć i ograniczyć szkody. Raz w tygodniu sprawdzaj Google i biblioteki reklam, zgłaszaj fałszywe strony do CERT Polska, Meta i Google, a klientom mów jasno, gdzie działa Twój prawdziwy sklep.

Jeśli chcesz przygotować firmę przed 27 listopada, napisz do mnie. W audycie bezpieczeństwa (od 990 zł netto) sprawdzam m.in. ochronę strony przed scrapowaniem i botami, a w usłudze Cyberbezpieczeństwo projektu (od 690 zł netto) zabezpieczam serwer i konfiguruję kopie zapasowe oraz monitoring. Odpowiadam w 24 godziny.