Jak znaleźć oszusta internetowego? Co można ustalić z numeru, domeny, rachunku i profilu

W sieci codziennie dochodzi do tysięcy wyłudzeń, fałszywych inwestycji oraz fikcyjnych transakcji handlowych, a poszkodowani zadają sobie jedno kluczowe pytanie: jak znaleźć oszusta internetowego i skutecznie doprowadzić do odzyskania utraconych środków? Choć przestępcy cyfrowi skrywają się za zasłoną rzekomej anonimowości, korzystając z serwerów VPN, sfałszowanych tożsamości oraz zagranicznych kont, w rzeczywistości każda aktywność w cyberprzestrzeni pozostawia unikalny ślad cyfrowy. Zastosowanie odpowiednich metod analitycznych, białego wywiadu komputerowego oraz profesjonalne badanie powiązań pozwalają precyzyjnie powiązać numer telefonu, domenę, rachunek bankowy czy profil w mediach społecznościowych z konkretną osobą lub grupą przestępczą. W tym kompleksowym opracowaniu przeanalizujemy legalne techniki śledcze, wskażemy możliwość wykrycia sprawcy na podstawie posiadanych danych oraz wyjaśnimy, w jakich sytuacjach niezbędne jest wsparcie eksperckie.

Spis treści:

1. Jak cyfrowy ślad zdradza przestępcę – anatomia wykrywania oszusta
2. Co można ustalić z numeru telefonu oszusta?
3. Prześwietlamy domenę internetową, sklep i adres e-mail
4. Analiza numeru rachunku bankowego oraz transakcji kryptowalutowych
5. Cyfrowy ślad w mediach społecznościowych i na forach
6. Metodyka OSINT i porównanie śladów cyfrowych
7. Kiedy samodzielny OSINT to za mało? Ograniczenia i rola specjalistów
8. Często zadawane pytania (FAQ) – jak znaleźć oszusta internetowego?
9. Podsumowanie oraz wsparcie w analizie cyfrowej

Jak cyfrowy ślad zdradza przestępcę – anatomia wykrywania oszusta

Przekonanie oszustów o ich pełnej bezkarności i nieuchwytności wynika najczęściej z nieznajomości mechanizmów działania współczesnej informatyki śledczej. Każde połączenie z siecią Internet, każdy wysłany e-mail, utworzony profil czy przelew bankowy generuje metadane. Metadane to informacje o informacjach – znaczniki czasu, adresy IP, nagłówki wiadomości, unikalne identyfikatory urządzeń czy zapisy w księgach rozproszonych. Analiza tych danych tworzy cyfrowy odcisk palca, który przy użyciu odpowiednich narzędzi pozwala na deanonimizację nawet bardzo ostrożnego sprawcy.

Pytanie, jak znaleźć oszusta internetowego, sprowadza się w pierwszej kolejności do zebrania wszystkich dostępnych punktów styku poszkodowanego z przestępcą. Oszuści rzadko budują całą swoją infrastrukturę od zera dla jednej, drobnej transakcji. Używają powtarzalnych wzorców, tych samych szablonów stron, serwerów pośredniczących, a nawet tych samych kont w bankach lub na giełdach kryptowalutowych. Łącząc rozproszone elementy układanki, analityk jest w stanie odtworzyć schemat działania i dotrzeć do węzłowych punktów infrastruktury sprawcy. Dlatego współczesne bezpieczeństwo cyfrowe opiera się na ciągłym monitorowaniu zagrożeń i zaawansowanej analityce powiązań.

Kluczowym pojęciem w tym procesie jest OSINT, czyli wywiad jawnoźródłowy (ang. Open Source Intelligence). Polega on na legalnym pozyskiwaniu, selekcji i analizie informacji pochodzących z publicznie dostępnych źródeł. Wykorzystując OSINT, nie łamiemy prawa, nie włamujemy się na serwery ani nie naruszamy prywatności w sposób nielegalny. Łączymy jedynie jawne dane z rejestrów, baz danych, wyszukiwarek, archiwów internetowych i mediów społecznościowych. Często okazuje się, że sam oszust przez nieuwagę zostawia w sieci ślady prowadzące bezpośrednio do jego prawdziwego imienia, nazwiska czy lokalizacji.

Co można ustalić z numeru telefonu oszusta?

Numer telefonu to jeden z najczęstszych punktów kontaktowych wykorzystywanych w oszustwach typu vishing (oszustwa głosowe) czy smishing (fałszywe wiadomości SMS). Wiele osób zastanawia się, czy na podstawie samego numeru telefonu można zidentyfikować przestępcę. Odpowiedź brzmi: to zależy od użytej przez niego technologii, ale zakres informacji możliwych do pozyskania jest ogromny.

Pierwszym krokiem jest techniczna weryfikacja typu numeru. Dzięki narzędziom badającym bazy HLR (Home Location Register) oraz sprawdzającym kierunkowe bazy operatorów, można ustalić:

• Czy numer należy do sieci stacjonarnej, komórkowej, czy jest to numer typu VoIP (Voice over IP).
• Macieryystego i obecnego operatora telekomunikacyjnego (czy numer był przenoszony).
• Czy numer jest aktywny i połączony z siecią w danym momencie.
• Czy numer jest wykorzystywany w usługach roamingu międzynarodowego.

Numery typu VoIP są szczególnie chętnie używane przez grupy przestępcze, ponieważ umożliwiają generowanie dowolnych numerów z całego świata z poziomu aplikacji komputerowej. Co więcej, oszuści powszechnie stosują tak zwany Caller ID Spoofing – podszywanie się pod numery banków, instytucji państwowych czy policji. W takim przypadku numer wyświetlany na ekranie Twojego telefonu nie jest numerem, z którego rzeczywiście wykonywane jest połączenie.

Mimo to, numer telefonu oszusta często służy jako identyfikator w komunikatorach internetowych, takich jak WhatsApp, Signal, Telegram czy Viber. Weryfikacja numeru w tych aplikacjach pozwala na pozyskanie:

• Zdjęcia profilowego (które można następnie poddać analizie wstecznej obrazem).
• Nazwy użytkownika, opisu profilu lub pseudonimu.
• Ostatniej aktywności lub statusu dostępności.
• Powiązanych kont e-mail (w przypadku aplikacji łączących kontakty z książką adresową).

W Polsce od 2016 roku obowiązuje obowiązek rejestracji kart prepaid (SIM). Choć przestępcy korzystają z kart zarejestrowanych na tzw. słupy (osoby bezdomne, nieświadome lub opłacone) albo z zagranicznych kart SIM kupowanych bez rejestracji, to w toku oficjalnego śledztwa organa ścigania mogą wystąpić do operatora o dane stacji BAZ (BTS), logi logowań urządzenia do sieci oraz numery IMEI aparatów telefonicznych. Gdy oszust przełoży kartę SIM słupa do swojego prywatnego smartfona, następuje nieodwracalne powiązanie jego prawdziwej tożsamości z numerem używanym do przestępstwa.

Prześwietlamy domenę internetową, sklep i adres e-mail

Tworzenie fałszywych sklepów internetowych, portali inwestycyjnych czy stron wyłudzających dane logowania (phishing) wymaga zarejestrowania domeny oraz utrzymywania serwera. To z kolei tworzy rozbudowany łańcuch danych, w którym oszuści popełniają najwięcej błędów.

Analiza domeny internetowej rozpoczyna się od sprawdzenia rekordów WHOIS oraz wpisów DNS. Z baz danych rejestratorów można wyciągnąć następujące informacje:

• Dokładną datę i godzinę zarejestrowania domeny (fałszywe sklepy mają zazwyczaj od kilku dni do kilku tygodni).
• Firmę rejestrującą (registrar) oraz dostawcę hostingu.
• Adresy serwerów DNS oraz adres IP serwera, na którym stoi strona.
• Dane abonenta (jeśli nie zostały ukryte przez usługi ochrony prywatności Privacy Shield).

Nawet jeśli dane abonentów są ukryte, do dyspozycji analityków pozostają rejestry Crt.sh oraz logi Certificate Transparency. Weryfikacja wydanych certyfikatów SSL pozwala sprawdzić, jakie inne subdomeny lub domeny zostały zarejestrowane dla tego samego podmiotu lub na tym samym serwerze. Bardzo często przestępcy stawiają na jednym serwerze kilkanaście fałszywych serwisów. Odnalezienie jednego z nich pozwala namierzyć pozostałe i unieszkodliwić całą infrastrukturę.

Niezwykle cennym narzędziem jest również archiwum internetowe Wayback Machine oraz kopia podręczna wyszukiwarek. Pozwalają one sprawdzić, jak strona wyglądała w przeszłości, jakie modyfikacje były na niej wprowadzane oraz jakie numery kont czy dane kontaktowe znajdowały się na niej przed zmianą.

W przypadku korespondencji e-mail kluczem do sukcesu jest analiza pełnych nagłówków wiadomości (ang. raw email headers). Zwykły użytkownik widzi jedynie pole Od, Do oraz Temat, które można banalnie łatwo sfałszować. Jednak pełne nagłówki zawierają ścieżkę, jaką wiadomość przebyła od serwera nadawcy do odbiorcy:

Nagłówki typu Received, Message-ID czy analiza rekordów SPF, DKIM i DMARC pozwalają ustalić rzeczywisty adres IP serwera nadawczego, z którego wysłano e-mail, a niekiedy nawet lokalizację i klient pocztowy sprawcy.

Identyfikacja adresu IP serwera pozwala wskazać dostawcę usług internetowych (ISP) lub dostawcę serwera VPS. To z kolei otwiera drogę do zabezpieczenia logów serwera na potrzeby postępowania przygotowawczego.

Analiza numeru rachunku bankowego oraz transakcji kryptowalutowych

Pieniądze są głównym celem większości przestępców internetowych, a zarazem stanowią ich największy słaby punkt. Każdy przepływ finansowy pozostawia cyfrowy ślad w systemie bankowym lub na publicznym łańcuchu bloków (blockchain).

Polski numer rachunku bankowego w standardzie NRB składa się z 26 cyfr. Pierwsze dwie cyfry to sumy kontrolne, natomiast kolejne 8 cyfr (od pozycji 3 do 10) jednoznacznie identyfikuje bank oraz konkretny oddział, w którym konto zostało założone. Na podstawie samego numeru konta możemy ustalić:

• Nazwę banku komercyjnego lub spółdzielczego.
• Lokalizację oddziału banku, w którym prowadzony jest rachunek.
• Czy jest to konto osobiste, czy rachunek techniczny wirtualny stosowany przez bramki płatności (np. PayU, Przelewy24, Tpay).

Jeśli przelew został wykonany na rachunek wirtualny dostawcy płatności, środki trafiły do konkretnego sprzedawcy zarejestrowanego w danym systemie. Bramki płatności posiadają pełne dane identyfikacyjne odbiorcy (w tym zweryfikowany dowód osobisty oraz numer rachunku rozliczeniowego), które udostępniają na wniosek policji lub prokuratury.

Oszuści często korzystają z tzw. kont na słupa. Słupami stają się osoby w trudnej sytuacji życiowej, studenci szukający lekkiej pracy lub osoby, których tożsamość została skradziona. Zidentyfikowanie właściciela konta bankowego nie zawsze oznacza od razu ujęcie głównego organizatora procederu, ale stanowi kluczowy punkt wyjścia do odtworzenia dalszej drogi pieniędzy (np. wypłat w bankomatach kodami BLIK czy natychmiastowych transferów zagranicznych).

W przypadku wyłudzeń środków w walutach cyfrowych (Bitcoin, Ethereum, USDT) pokrzywdzonym często wydaje się, że kryptowaluty są całkowicie anonimowe. Jest to powszechny mit. Blockchain jest publiczną, niezmienną i w pełni przejrzystą księgą transakcyjną. Zachowanie odpowiedniego bezpieczeństwa transakcyjnego wymaga zrozumienia, że każda transakcja jest widoczna dla każdego uczestnika sieci.

Specjalistyczna analiza blockchain pozwala na:

• Śledzenie przepływu środków z portfela na portfel w czasie rzeczywistym.
• Identyfikację portfeli należących do giełd kryptowalutowych (tzw. CEX – Centralized Exchanges).
• Wykrywanie próby przepuszczenia środków przez miksery kryptowalutowe (np. Tornado Cash) lub giełdy bez procedur KYC.
• Powiązanie portfeli przestępcy na podstawie tzw. analizy współtworzenia wejść (UTXO co-spending).

Gdy wyłudzone kryptowaluty trafią na giełdę kryptowalutową wymagającą weryfikacji tożsamości (KYC), organy ścigania oraz wyspecjalizowane podmioty mogą wystąpić o blokadę środków oraz wydanie danych konta, z którego dokonywana jest wypłata na waluty tradycyjne (fiat).

Cyfrowy ślad w mediach społecznościowych i na forach

Media społecznościowe, fora internetowe oraz serwisy ogłoszeniowe są dla oszustów poligonem doświadczalnym, ale także miejscem, gdzie popełniają mnóstwo błędów wynikających z rutyny i pośpiechu. Profil wykorzystywany do oszustwa (np. na Facebooku, Instagramie czy OLX) rzadko jest idealnie czysty.

Pierwszym krokiem w analizie profilu jest badanie wykorzystywanych multimediów. Zdjęcia profilowe oraz zdjęcia oferowanych przedmiotów są poddawane odwróconemu wyszukiwaniu obrazem (ang. Reverse Image Search). Wykorzystując zaawansowane algorytmy rozpoznawania twarzy oraz obiektów (Google Lens, Yandex Images, PimEyes), analityk może ustalić:

• Czy zdjęcie zostało ukradzione z profilu innej, prawdziwej osoby (kradzież tożsamości).
• Czy ta sama fotografia była wykorzystywana w innych oszustwach na odmiennych portalach.
• Czy obraz został wygenerowany przez sztuczną inteligencję (tzw. zdjęcia GAN / DeepFake).
• Pierwotne źródło pochodzenia pliku oraz jego metadane EXIF.

Metadane EXIF zaszyte w plikach graficznych (o ile nie zostały usunięte przez dany portal) mogą zawierać dokładne współrzędne geograficzne GPS miejsca wykonania zdjęcia, datę i godzinę, markę i model aparatu lub telefonu, a nawet numer seryjny urządzenia.

Kolejnym obszarem badania jest analiza nazwy użytkownika (nickname). Przestępcy tworząc pseudonimy, podświadomie używają tych samych kombinacji liter, cyfr czy ulubionych fraz na różnych platformach. Narzędzia typu Sherlock czy WhatsMyName pozwalają przeskanować kilkaset serwisów internetowych w poszukiwaniu kont o takiej samej nazwie. Niejednokrotnie fałszywe konto na portalu ogłoszeniowym ma swoją nazwą powiązanie z dawnym kontem oszusta na forum gamingowym, portalu randkowym czy blogu, gdzie lata temu podał swoje prawdziwe dane lub adres e-mail.

Warto również przeprowadzić analizę sieci kontaktów profilu (social network analysis). Badanie osób polubiających dany profil, komentujących posty czy znajdujących się w znajomych fałszywego konta pozwala wyselekcjonować wąską grupę powiązań osobowych, wśród których często znajdują się prawdziwi znajomi, partnerzy lub członkowie rodziny przestępcy.

Metodyka OSINT i porównanie śladów cyfrowych

Profesjonalne poszukiwanie oszusta internetowego wymaga systematycznego podejmowania kroków dowodowych. Zbieranie informacji bez planu może doprowadzić do przeoczenia kluczowych powiązań lub nieumyślnego spłoszenia przestępcy, który po zorientowaniu się, że jest tropiony, usunie swoje strony i skasuje konta.

Proces analityczny zawsze rozpoczyna się od zabezpieczenia materiału dowodowego w sposób uniemożliwiający jego podważenie. Mowa tu o sporządzeniu zrzutów ekranu, wygenerowaniu plików PDF ze stron, zabezpieczeniu nagłówków e-mail oraz obliczeniu sum kontrolnych HASH (np. SHA-256) dla pobranych plików. Dopiero tak przygotowany materiał stanowi stabilną podstawę do dalszych działań śledczych.

Poniższa tabela przedstawia porównanie poszczególnych rodzajów śladów cyfrowych pod kątem możliwości ich analitycznego wykorzystania, trudności w ustaleniu tożsamości oraz kluczowych metod stosowanych przy ich prześwietlaniu:

Jak wynika z powyższego zestawienia, brak możliwości natychmiastowego ustalenia imienia i nazwiska z jednego śladu nie oznacza porażki. Kluczem do sukcesu jest tak zwana korelacja wieloźródłowa. Jeśli numer telefonu prowadzi do nazwy profilu na komunikatorze, profil ten zawiera unikalne zdjęcie, a zdjęcie wskazuje na geolokalizację w konkretnym mieście, krąg poszukiwań drastycznie się zwęża.

Kiedy samodzielny OSINT to za mało? Ograniczenia i rola specjalistów

Osoby poszkodowane często próbują prowadzić śledztwo na własną rękę. Choć wstępna weryfikacja w wyszukiwarkach czy na forach jest jak najbardziej wskazana, samodzielne działania niosą ze sobą poważne ograniczenia prawne oraz techniczne.

Po pierwsze, osoba prywatna nie posiada uprawnień do żądania od operatorów telekomunikacyjnych, banków, dostawców hostingu czy portali społecznościowych wydania poufnych danych osobowych, numerów IP czy bilingów rozmów. Dostawcy usług są prawnie zobowiązani do ochrony prywatności swoich użytkowników i mogą przekazać takie dane wyłącznie na wniosek policji, prokuratury lub sądu w ramach oficjalnie prowadzonego postępowania.

Po drugie, granica między legalnym pozyskiwaniem informacji (OSINT) a naruszeniem prawa jest niezwykle cienka. Działania takie jak próby łamania haseł do kont oszusta, nieuprawniony dostęp do jego systemów komputerowych, instalowanie oprogramowania szpiegującego czy publiczne publikowanie niezweryfikowanych danych osobowych (tzw. doxxing) stanowią przestępstwa zagrożone karą pozbawienia wolności. Podejmując emocjonalne decyzje, pokrzywdzony może sam narazić się na odpowiedzialność karną.

Po trzecie, wysoce zorganizowane grupy przestępcze stosują wielowarstwowe mechanizmy osłonowe. Wykorzystują łańcuchy serwerów proxy, sieci cebulowe TOR, zaszyfrowane dyski oraz fałszywe tożsamości na każdym etapie procederu. Samodzielna próba namierzenia takiego podmiotu bez specjalistycznego oprogramowania śledczego i wiedzy z zakresu informatyki śledczej przypomina szukanie igły w stogu siana.

W takich sytuacjach niezbędne jest profesjonalne wsparcie. Doświadczeni eksperci zajmujący się audytami oraz analizą incydentów potrafią bezpiecznie zabezpieczyć materiał dowodowy, wykonać zaawansowane analizy powiązań cyfrowych oraz przygotować kompleksowy raport, który stanowi gotowy materiał dowodowy dla organów ścigania. Zrozumienie, jak ważne jest kompleksowe bezpieczeństwo cyfrowe, pozwala zapobiegać kolejnym atakom i skutecznie dochodzić swoich praw.

Często zadawane pytania (FAQ) – jak znaleźć oszusta internetowego?

1. Czy można ustalić dane oszusta tylko na podstawie numeru konta bankowego?
Osoba prywatna nie może uzyskać danych osobowych właściciela rachunku bezpośrednio z banku ze względu na tajemnicę bankową. Jednak numer rachunku pozwala ustalić bank oraz jego oddział. Zgłaszając sprawę na policję lub do prokuratury, organy te mają prawo wystąpić o zwolnienie banku z tajemnicy i uzyskanie pełnych danych osobowych, adresu zameldowania oraz historii transakcji na danym koncie.

2. Co zrobić, gdy przełamano moje zabezpieczenia i przelałem pieniądze oszustowi?
Należy natychmiast skontaktować się ze swoim bankiem i zgłosić próbę wstrzymania lub odwołania transakcji (tzw. procedura chargeback w przypadku kart lub procedura wstrzymania przelewu). Następnie należy zabezpieczyć pełną dokumentację transakcji (potwierdzenia przelewu, wiadomości, e-maile, zrzuty ekranu) i złożyć oficjalne zawiadomienie o możliwości popełnienia przestępstwa w najbliższej jednostce policji lub prokuraturze.

3. Czy przestępca korzystający z VPN lub sieci TOR jest całkowicie nieuchwytny?
Nie, żaden system nie gwarantuje stuprocentowej anonimowości. Serwery VPN i sieć TOR ukrywają jedynie adres IP podczas transmisji, ale oszuści popełniają błędy na poziomie warstwy aplikacji (np. logują się z tego samego urządzenia na prywatne konta, pozostawiają unikalne ślady w przeglądarce, używają tych samych schematów językowych lub popełniają błędy w zarządzaniu portfelami kryptowalutowymi). Analiza śledcza bardzo często pozwala ominąć zabezpieczenia sieciowe poprzez wykazanie błędów po stronie sprawcy.

4. Jak poprawnie zabezpieczyć materiał dowodowy z rozmowy z oszustem?
Zabezpieczając dowody, należy unikać robienia jedynie wycinkowych zrzutów ekranu. Należy zapisać całe wątki rozmów wraz z pełnymi nagłówkami wiadomości e-mail, adresami URL stron internetowych oraz danymi profilu sprawcy. Dla kluczowych plików warto wygenerować sumy kontrolne HASH oraz zachować oryginalne pliki w formie cyfrowej. Nie należy modyfikować pobranych plików ani usuwać historii korespondencji z komunikatorów.

5. Czy oszustwo internetowe można zgłosić anonimowo?
Zgłoszenie przestępstwa ściślanego na wniosek lub z urzędu (jak wyłudzenie z art. 286 Kodeksu Karnego) wymaga podania danych osoby pokrzywdzonej lub zgłaszającej w celu złożenia zeznań. Można natomiast przekazać anonimowy sygnał lub zgłoszenie incydentu do zespołów reagowania na incydenty komputerowe (np. CERT Polska), co pomoże w zablokowaniu niebezpiecznych stron phishingowych i zabezpieczeniu innych użytkowników przed stratami.

Podsumowanie oraz wsparcie w analizie cyfrowej

Proces wykrywania oszusta internetowego to złożona dyscyplina łącząca technologię, wiedzę prawniczą oraz umiejętności śledcze. Choć przestępcy stosują coraz bardziej wyrafinowane metody ukrywania tożsamości, ich działania w sieci nieuchronnie pozostawiają ślady w logach serwerów, rejestrach domen, sieciach telekomunikacyjnych, mediach społecznościowych oraz łańcuchach bloków. Skuteczne połączenie tych danych i wyciągnięcie z nich właściwych wniosków stanowi klucz do zidentyfikowania sprawcy i pociągnięcia go do odpowiedzialności.

Jeśli padłeś ofiarą przestępstwa cyfrowego, potrzebujesz profesjonalnej analizy OSINT, zabezpieczenia materiału dowodowego lub chcesz skonsultować bezpieczeństwo swoich systemów i transakcji, odwiedź naszą stronę internetową Nexus Group lub skontaktuj się bezpośrednio z naszym zespołem eksperckim pod numerem telefonu: +48 88 12 13 206.