Marek miał pecha w najbardziej irytujący sposób: wygrał, a potem stracił dostęp do konta i dokumentów. Wszystko zaczęło się od SMS-a z linkiem do “dokończenia weryfikacji”, który wyglądał identycznie jak panel Goldbet. Poniżej rozbieram ten przypadek na części, bo schemat powtarza się przy każdej fali fałszywych stron KYC i warto wiedzieć, gdzie dokładnie pęka łańcuch zaufania.
Jak wyglądał atak krok po kroku
Marek grał w kasynach online od kilku lat, głównie na telefonie. Po rejestracji w Goldbet wypłacił pierwszą mniejszą kwotę bez problemu, więc przy drugiej, większej, spodziewał się standardowego procesu. Zamiast tego dostał wiadomość, że “weryfikacja konta została wstrzymana” i musi ją dokończyć w ciągu 24 godzin, inaczej środki zostaną zamrożone. Link prowadził do strony łudząco podobnej do logowania kasyna: ten sam układ, te same kolory, logo, nawet stopka z informacją o licencji.
Fałszywa strona nie prosiła o login i hasło. To był sprytny wybór ze strony oszustów, bo właśnie na tym etapie czujność graczy jest najwyższa. Zamiast tego wyświetliła formularz KYC: imię, nazwisko, numer dokumentu, adres, a na końcu pola na zdjęcie dowodu osobistego z obu stron oraz selfie z dokumentem przy twarzy. Marek wgrał skany, bo “przecież kasyno i tak musi to sprawdzić”. Po pięciu minutach strona pokazała komunikat o błędzie i poprosiła o ponowne przesłanie, tym razem “wyraźniejszego zdjęcia”. Wysłał drugi raz. Trzeci już nie, bo zaczął coś podejrzewać i wszedł do prawdziwej aplikacji.
W panelu Goldbet nie było żadnego alertu o wstrzymanej weryfikacji. Konto działało normalnie, wypłata czekała na standardowe potwierdzenie, a żaden monit o dokumenty nie pojawił się ani w skrzynce, ani w historii powiadomień. To był moment, w którym Marek zrozumiał, że cała ta strona była podstawiona. Dane z dowodu, w tym numer PESEL i zdjęcie twarzy, trafiły do osób, które mogły je wykorzystać do wyłudzenia kredytu albo założenia konta na jego nazwisko. Zgłoszenie na policję i do CERT Polska zajęło mu resztę wieczoru. Zamrożenie numeru PESEL w aplikacji mObywatel okazało się jedynym realnym zabezpieczeniem na przyszłość.
Dlaczego fałszywka wyglądała wiarygodnie
Oszuści nie budują już własnych “kasyn”. Kopiują panel weryfikacji prawdziwego operatora, bo wiedzą, że gracze przyzwyczaili się do wysyłania dokumentów przez przeglądarkę. Wystarczy domena łudząco podobna do oryginału, certyfikat SSL i poprawnie skopiowany układ strony. Marek nie sprawdził paska adresu, bo kliknął link z SMS-a i na ekranie telefonu adres był ucięty. To klasyczny mechanizm: mobilna przeglądarka pokazuje tylko początek domeny, a resztę chowa pod przyciskiem. Fałszywy adres miał poprawny prefiks i końcówkę, różnił się jednym znakiem w środku.
Prawdziwa weryfikacja zawsze dzieje się w zalogowanym panelu
Tu dochodzimy do sedna, które powinno być wyryte w pamięci każdego gracza. Legalny operator nigdy nie prosi o dokumenty przez link z SMS-a, maila czy komunikatora. https://goldbet-play.pl/aplikacja/ offers additional context worth reviewing. Weryfikacja tożsamości odbywa się wyłącznie w zalogowanym panelu gracza, na tej samej domenie, na której się logujesz, i po podaniu hasła oraz ewentualnego kodu 2FA. Jeśli strona prosi o skan dowodu bez wcześniejszego logowania, to nie jest panel kasyna. Kropka.
Goldbet działa na podstawie licencji offshore wydanej przez Anjouan, jurysdykcję na Związku Komorów, i nie ma polskiej licencji. To ma bezpośrednie przełożenie na sposób weryfikacji: operator udostępnia aplikację PWA, którą uruchamiasz w przeglądarce, a nie pobierasz ze sklepu. Aplikacja Goldbet nie jest dostępna w Google Play i App Store, więc każdy plik APK krążący po forach jako “Goldbet APK” jest z definicji podejrzany. PWA jest bezpieczniejsza od zewnętrznych plików APK, bo działa w piaskownicy przeglądarki i nie ma dostępu do systemu plików telefonu. Użytkownik dodaje skrót do kasyna przez przeglądarkę internetową, a interfejs mobilny dostosowuje się do wymiarów ekranu, więc na Androidzie i iPhonie wygląda jak natywna apka.
W praktyce wygląda to tak: logujesz się w aplikacji lub na stronie Goldbet, wchodzisz w ustawienia konta i tam, w sekcji weryfikacji, pojawia się formularz KYC. Dopiero w tym momencie system prosi o dokument. Adres w pasku przeglądarki przez cały czas pozostaje ten sam, na którym się logowałeś. Jeśli pojawia się przekierowanie na inną domenę, to sygnał alarmowy. Warto też sprawdzić, czy w stopce nadal widnieje informacja o licencji Anjouan i czy działają linki do regulaminu. Fałszywki często kopiują wygląd, ale nie podlinkowują prawdziwych dokumentów.
Dla porównania: Total Casino jest jedynym legalnym kasynem internetowym z polską licencją, przyznaną przez Totalizator Sportowy w ramach monopolu. Weryfikacja w Total Casino też odbywa się w zalogowanym panelu i też nigdy przez link z zewnątrz. Ten wzorzec jest uniwersalny, niezależnie od tego, czy grasz u operatora z licencją offshore, czy w kasynie objętym monopolem Totalizatora Sportowego. Zasada jest jedna: dokumenty wysyłasz tylko tam, gdzie właśnie się zalogowałeś, i tylko wtedy, gdy sam wywołałeś formularz weryfikacji.
Wracając do Marka: jego historia skończyła się lepiej, niż mogła. Zgłosił sprawę, zastrzegł dokument, a Goldbet potwierdził, że żadna weryfikacja nie była w toku i że nie wysyłał żadnych SMS-ów z linkami. Kod WELCOME2026, który dostał przy rejestracji, służy do odbioru bonusu na telefonie i nigdy nie wymaga podawania danych dokumentu. Wpłaty i wypłaty w kasynie przechodzą przez panel po zalogowaniu, a waluty w kasynie są widoczne w ustawieniach konta. Żaden z tych elementów nie potrzebuje zewnętrznej strony. Jeśli następnym razem dostaniesz link do “dokończenia weryfikacji”, zamknij wiadomość, wejdź do aplikacji ręcznie, przez skrót na pulpicie, i sprawdź, czy panel faktycznie czegoś od ciebie chce. Najprawdopodobniej nie będzie chciał niczego, a ty właśnie uniknąłeś najczęstszego oszustwa w branży.