Anomalie zamiast dokumentów. Jak Trans.eu wykrywa współczesnych oszustów

Michał Pakulniewicz: Dwa lata temu rozmawialiśmy o oszustwach w transporcie i wówczas wspominał Pan o swoistej „sinusoidzie”. Raz dominowali fałszywi spedytorzy, innym razem przestępcy podszywający się pod przewoźników. W tamtym czasie największym problemem było przejmowanie istniejących firm transportowych. Co zmieniło się od tego czasu?

Piotr Sobala, International Security Team Leader Grupa Trans.eu:  Rzeczywiście używałem wtedy określenia „sinusoida”, bo charakter przestępczości w transporcie od lat się zmienia. Raz obserwujemy więcej oszustw po stronie fałszywych przewoźników, innym razem większym problemem są nieuczciwi spedytorzy. 

Dwa lata temu byliśmy w szczytowym momencie bardzo zaawansowanych oszustw. Przestępcy w legalny sposób przejmowali istniejące firmy transportowe, wykorzystywali ich historię działalności i zaufanie, jakie wypracowały przez lata. Taki podmiot wyglądał wiarygodnie zarówno dla spedytorów, jak i przewoźników. Dzięki temu w krótkim czasie można było przejąć nawet kilkanaście bardzo wartościowych ładunków.

Naturalne było więc przypuszczenie, że właśnie ten model będzie dalej rozwijany. Tymczasem przestępcy wybrali inną drogę. Coraz częściej nie przejmują już całych firm. Zdecydowanie łatwiej jest przejąć ich cyfrową tożsamość.

Co ma Pan na myśli? 

Największym zagrożeniem stał się phishing, czyli wyłudzanie danych logowania. To metoda znacznie prostsza, tańsza i przede wszystkim szybsza niż kupienie całej spółki. Schemat jest zazwyczaj podobny. Użytkownik otrzymuje wiadomość, która wygląda na przykład jak korespondencja od platformy. 

Pojawia się informacja o konieczności ponownego zalogowania, aktualizacji danych albo problemie z kontem. Link prowadzi jednak nie do prawdziwej strony Trans.eu, lecz do jej bardzo wiernej kopii. Jeżeli użytkownik wpisze tam login i hasło, przestępca uzyskuje dostęp do jego konta. To wystarczy, by przez pewien czas podszywać się pod prawdziwą firmę.

Wielu przedsiębiorców uważa, że rozpoznałoby taki fałszywy e-mail bez większego problemu. Rzeczywiście jest to aż tak przekonujące?

Niestety coraz bardziej. Pierwsze kampanie phishingowe były stosunkowo łatwe do wykrycia. Dziś fałszywe strony logowania potrafią niemal idealnie odwzorowywać oryginał. Często różnią się wyłącznie adresem internetowym – czasem jedną literą albo inną końcówką domeny. Jeżeli ktoś pracuje pod presją czasu i codziennie odbiera dziesiątki wiadomości, bardzo łatwo przeoczyć taki szczegół. Właśnie na to liczą przestępcy.

Co dzieje się później? Czy skradzione dane są wykorzystywane od razu?

Niekoniecznie. I to jest element, który wiele osób zaskakuje. Przestępca wcale nie musi logować się tego samego dnia. Może poczekać tydzień, miesiąc, a nawet dłużej. Szczególne nasilenie się kampanii phishingowych widzieliśmy na przełomie 2024 i 2025 r. A próby kradzieży i oszustw w oparciu o tę metodę pojawiły się wiele miesięcy później. 

Oszust obserwuje aktywność firmy i wybiera moment, w którym będzie miał największą szansę powodzenia. Dopiero wtedy wykorzystuje przejęte konto. To oznacza, że właściciel firmy często nawet nie kojarzy późniejszego incydentu z wiadomością, którą kliknął kilka tygodni wcześniej. 

Jest jedna istotna różnica względem sytuacji sprzed dwóch lat. Wtedy przygotowanie ataku trwało miesiącami. Dzisiaj liczy się przede wszystkim czas. Jeżeli przestępca już aktywnie przejmuje konto istniejącej firmy, wie, że właściciel prędzej czy później zauważy nieautoryzowane logowanie albo nowego użytkownika na koncie. Dlatego nie próbuje już przez kilka dni budować wiarygodności. Ma kilka godzin.

Czy wpływa to na skalę kradzieży? Mając własną przejętą firmę można bardziej skrupulatnie zaplanować skok na drogi towar, a w przypadku skradzionej tożsamości jest to chyba trudniejsze?

Tak. Jeszcze kilka lat temu przestępcy inwestowali bardzo dużo czasu w przygotowanie jednej dużej operacji. Przestępca przejmował wiarygodną firmę, budował odpowiednie zaplecze, przygotowywał się przez tygodnie, a później w krótkim czasie potrafił oszukać kilkunastu spedytorów i ukraść kilkanaście bardzo wartościowych ładunków. Przejęcie firmy miało sens tylko wtedy, gdy planowali ukraść wiele wartościowych ładunków. Dziś wygląda to inaczej.

Osoba korzystająca z przejętego konta doskonale wie, że ma bardzo ograniczony czas. Właściciel może zauważyć nietypowe logowanie, nasi analitycy mogą wykryć podejrzaną aktywność, a konto zostanie zablokowane. 

Dlatego liczy się przede wszystkim szybkość. Zamiast długo planować spektakularną kradzież kilkunastu transportów, przestępca najczęściej próbuje przejąć jeden lub dwa ładunki i zniknąć. To właśnie dlatego obserwujemy ciekawy paradoks. Liczba prób oszustw rośnie, ale średnia wartość pojedynczych kradzieży maleje.

Mimo wszystko ubiegły rok był rekordowy pod względem liczby kradzieży ładunków w Europie.

Tak i to pokazuje, że problem nie znika. W skali całego rynku europejskiego mówimy o rekordowej liczbie incydentów. W zależności od źródeł mówi się o wzroście nawet dwu- lub trzykrotnym w porównaniu z poprzednim rokiem. To pokazuje skalę problemu w całej branży.

Natomiast dane z naszej platformy pokazują coś bardzo interesującego. Choć wykrywamy więcej prób oszustwa, łączna wartość skradzionych ładunków spada. Jak wspomniałem, jeżeli ktoś przejmuje konto przez phishing, wie, że ma bardzo mało czasu. Właściciel konta szybko zauważy nieprawidłowości albo zrobi to nasz zespół bezpieczeństwa.

Dlatego nie ma już komfortu przygotowania dużej akcji. Musi działać natychmiast. To oznacza więcej prób oszustwa, ale zdecydowanie mniejszą skalę pojedynczego ataku.

Co ciekawe, w pierwszej połowie bieżącego roku obserwujemy również mniej poszkodowanych firm. To oznacza, że z jednej strony przestępcy stale szukają nowych metod działania, ale z drugiej nasze mechanizmy bezpieczeństwa pozwalają ograniczać skalę strat. 

To dla nas znacznie ważniejszy wskaźnik niż sama liczba incydentów. Niewątpliwie także kontrahenci stali się bardziej świadomi i wyczuleni na oszustwa, co także przyczynia się do spadku liczby kradzieży ładunków.

Z tego co Pan mówi wyłania się taki obraz, że rok 2025 był skutkiem dużej fali kampanii phishingu z przełomu 2024 i 2025 roku, a później, czyli w I połowie br., sytuacja zaczęła się stabilizować dzięki nowym zabezpieczeniom.

Bardzo chciałbym powiedzieć, że właśnie tak jest. Niestety byłoby to zbyt duże uproszczenie. Nie mam wrażenia, żeby cyberprzestępcy odpuścili. Wręcz przeciwnie – cały czas pojawiają się nowe scenariusze. 

Mieliśmy przypadki, kiedy przejęte konto nie służyło od razu do kradzieży ładunku. Zamiast tego oszust rozsyłał przez komunikator pliki PDF zawierające złośliwe oprogramowanie. Jeżeli ktoś taki plik otworzył, jego komputer również mógł zostać przejęty. To pokazuje, że przestępcy nieustannie szukają nowych metod zdobywania dostępu do kolejnych kont.

Wspomniał Pan o nowych metodach działania. Czy phishing jest dziś największym zagrożeniem, czy pojawiły się już kolejne scenariusze?

To jeden z dwóch głównych scenariuszy. Ale zanim przejdę do drugiego jakim jest zakładanie firm-słupów na platformie, to trzeba wspomnieć, iż w ramach kradzieży tożsamości nadal występuje klasyczne podszywanie się pod firmy poza platformą.

Oszuści zakładają adresy e-mail bardzo podobne do prawdziwych. Różnica często sprowadza się do jednej litery albo innej końcówki domeny.

Później kontaktują się z przewoźnikami lub spedytorami, próbując przenieść rozmowę poza platformę. To metoda znana od lat i nadal bardzo skuteczna. Według danych, które do nas trafiają, zdecydowana większość oszustw odbywających się poza platformami transportowymi opiera się właśnie na takim scenariuszu.

A mimo wszystko ludzie nadal się na to nabierają?

Niestety tak. Czasami wydaje nam się, że pewne metody są już tak dobrze znane, że nikt nie powinien dać się oszukać. Rzeczywistość wygląda inaczej. Wystarczy pośpiech, chwila nieuwagi albo sytuacja, która wydaje się pilna. To dokładnie ten sam mechanizm, który wykorzystują wszystkie kampanie phishingowe – nie dać człowiekowi czasu na spokojne zastanowienie się.

Dlatego zawsze powtarzamy użytkownikom, żeby sprawdzali nadawcę wiadomości, adres strony internetowej i nie wychodzili z komunikacją poza platformę bez wyraźnej potrzeby.

Wspomniał Pan o drugiej obok phishingu popularnej metodzie wykorzystywanej przez oszustów, a mianowicie o firmach słupach. 

Phishing zdecydowanie pozostaje jednym z najważniejszych problemów, ale nie jedynym. Coraz większym wyzwaniem stają się przedsiębiorstwa zakładane wyłącznie po to, by po kilku miesiącach wykorzystać zbudowaną wiarygodność do oszustwa. I właśnie to jest dziś drugi, bardzo wyraźny trend, który obserwujemy.

Jeszcze kilka lat temu wielu oszustów próbowało przejmować istniejące firmy z historią. Dzisiaj często bardziej opłaca się stworzyć własny podmiot, przejść proces weryfikacji, przez kilka miesięcy budować wiarygodność, a dopiero później przeprowadzić oszustwo. To wymaga cierpliwości, ale jednocześnie daje przestępcom znacznie większą kontrolę nad całym procesem.

Mówimy o fikcyjnych przedsiębiorstwach czy o legalnie i realnie działających firmach?

To właśnie jest najtrudniejsze. Bardzo często są to firmy całkowicie legalnie zarejestrowane. Mają licencję, ubezpieczenie, staż na rynku, właściciela, przechodzą proces autoryzacji. Z punktu widzenia formalnego wszystko się zgadza.

Nie mamy więc do czynienia z podmiotem, który od razu można odrzucić jako podejrzany. Przeciwnie. Taka firma może przez wiele miesięcy wyglądać zupełnie normalnie.

Ale czy rzeczywiście prowadzi działalność transportową na giełdzie?

Często tak. To kolejna zmiana, którą obserwujemy. Dawniej oszuści chcieli działać jak najszybciej. Dziś potrafią bardzo cierpliwie budować wiarygodność. Wykonują pojedyncze zlecenia, zdobywają pozytywne opinie, pojawiają się kolejne referencje. Wszystko wygląda naturalnie.

Dopiero po pewnym czasie następuje moment, dla którego firma została założona. Jedna kradzież, czasem dwie.I koniec działalności.

Czy to oznacza, że dziś sama weryfikacja dokumentów przestaje wystarczać?

Dokładnie tak. Oczywiście nadal jest ona bardzo ważna. Musimy wiedzieć, kto rejestruje firmę i czy przedstawione dokumenty są prawdziwe. Ale to już nie daje dziś pełnego bezpieczeństwa.

Jeżeli ktoś od początku planuje oszustwo, może przygotować się do całego procesu znacznie lepiej niż kilka lat temu. Dlatego dziś równie ważne staje się obserwowanie tego, co dzieje się z firmą już po zakończeniu procesu autoryzacji.

Czy tu obowiązek większej uważności i przyglądania się potencjalnym partnerom biznesowym spoczywa nie tylko na operatorzy platformy ale także na jej użytkownikach? Czy użytkownicy również zaczęli zwracać większą uwagę na podejrzane działalności?

Zdecydowanie. Jeszcze kilka lat temu wiele osób sprawdzało właściwie tylko dwie rzeczy – czy firma jest zweryfikowana i od kiedy działa. Dzisiaj przedsiębiorcy analizują znacznie więcej informacji.

Patrzą na historię współpracy, liczbę zrealizowanych zleceń, referencje, aktywność na platformie. Jeżeli widzą firmę, która istnieje od kilku miesięcy, ale praktycznie nie ma historii działalności, coraz częściej zadają dodatkowe pytania. I bardzo dobrze. Świadomość użytkowników wyraźnie wzrosła.

Mimo to jednak przestępcy, bo tak trzeba ich nazwać, nadal potrafią skutecznie oszukiwać?

Niestety tak. Musimy pamiętać, że przestępcy również uczą się rynku. Jeżeli wiedzą, że nowe firmy są traktowane ostrożniej, nie próbują już działać po tygodniu od rejestracji. Potrafią poczekać kilka miesięcy. Czasami jeszcze dłużej. Ich celem jest zbudowanie zaufania. Im bardziej wiarygodnie wyglądają, tym większa szansa, że ktoś zrezygnuje z dodatkowej weryfikacji.

Czy można wskazać kraje, z których takie firmy pochodzą najczęściej?

Patrząc na nasze obserwacje, zdecydowanie częściej są to podmioty zagraniczne. Najwięcej przypadków dotyczy obecnie firm z Wielkiej Brytanii, Włoch, Rumunii czy Litwy. Nie oznacza to oczywiście, że firmy z tych krajów są bardziej nieuczciwe. Mówimy wyłącznie o kierunkach, które najczęściej pojawiają się w analizowanych przez nas przypadkach.

A jeśli chodzi o wspomniane wcześniej kampanie phishingowe – gdzie szukać ich źródeł?

Analizując dane techniczne zauważyliśmy, że wiele prób logowania czy infrastruktury wykorzystywanej przez przestępców prowadziło do adresów IP z Armenii. To jednak bardzo ważne rozróżnienie. Adres IP nie mówi nam, kim jest sprawca. Może wskazywać miejsce działania grupy przestępczej, wynajęte serwery albo infrastrukturę wykorzystywaną do prowadzenia ataków. Nie można więc wyciągać prostego wniosku, że sprawcami są osoby z tego kraju.

Mam wrażenie, że mówimy już nie o pojedynczych oszustach, ale o dobrze zorganizowanych grupach.

To również nasza obserwacja. Coraz częściej widać wyraźny podział ról. Jedni odpowiadają za zdobywanie dostępu do kont. Inni wyszukują najbardziej atrakcyjne ładunki. Jeszcze inni zajmują się samą realizacją kradzieży albo dalszą sprzedażą towaru.

To pokazuje, że przestępczość w branży transportowej staje się coraz bardziej profesjonalna. I właśnie dlatego klasyczne metody weryfikacji przestają wystarczać. Musimy analizować nie tylko dokumenty, ale również zachowanie użytkowników. Bo bardzo często to właśnie ono jako pierwsze zdradza, że coś zaczyna się dziać.