Przygotowanie strony nieistniejącego pensjonatu, z logo, opisami pokoi, regulaminem i zestawem entuzjastycznych opinii, zajmuje dziś tyle, co zaparzenie kawy. NASK opublikował 4 sierpnia kolejny materiał z cyklu „Wakacje z AI”, w którym pokazuje, jak generatywna sztuczna inteligencja obniżyła próg wejścia do oszustw wymierzonych w turystów.
Kluczowe fakty:
- NASK opublikował materiał opisujący, jak generatywna AI skróciła czas tworzenia fałszywej strony pensjonatu – z kilku dni do kilku minut, umożliwiając seryjne produkcję oszukańczych witryn dostosowanych do sezonu.
- Fałszywe strony obiektów noclegowych generowane przez AI zawierają automatycznie tworzone logo, opisy pokoi, realistyczne zdjęcia, regulaminy i gotowe odpowiedzi na pytania gości, co sprawia, że przestały wyglądać podejrzanie.
- Przestępcy stosują również drugi wariant oszustwa – kopiowanie istniejących, prawdziwych pensjonatów wraz z ich zdjęciami, opisami i profilami właścicieli, co uniemożliwia weryfikację na podstawie samych zdjęć i lokalizacji.
Nie jest to ostrzeżenie w stylu „uważajcie na podejrzane linki”. Instytut opisuje konkretną zmianę operacyjną po stronie przestępców. Jeszcze kilka lat temu zbudowanie wiarygodnej witryny obiektu noclegowego wymagało czasu, umiejętności graficznych i kilku narzędzi. Teraz wystarczy jedna sesja z modelem językowym i generatorem obrazu.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Kilka minut zamiast kilku dni
Anna Kwaśnik, ekspertka NASK do spraw edukacji cyfrowej, wylicza, co można wygenerować automatycznie: „AI potrafi stworzyć nazwę sklepu lub hotelu, przygotować logo, napisać opisy produktów”, mówi w materiale instytutu. Do tego dochodzą realistyczne zdjęcia obiektu, regulamin i gotowe odpowiedzi na najczęstsze pytania gości.
Efekt jest taki, że kampanie da się produkować seryjnie i dostosowywać do sezonu. Lipiec i sierpień to nocleg nad morzem. Grudzień to wyjazd w góry. Ta sama infrastruktura, podmieniony pakiet treści.
Sam widziałem kilka takich stron w tym roku i najbardziej niepokojące jest to, że przestały wyglądać podejrzanie. Zniknęły literówki, kalki językowe i zdjęcia w niskiej rozdzielczości, czyli wszystkie sygnały, których nauczyliśmy się szukać przez ostatnią dekadę.
Prawdziwy hotel, podrobiona strona
Drugi wariant jest trudniejszy do wykrycia, bo nie polega na wymyślaniu obiektu od zera. Przestępcy kopiują istniejący pensjonat: zdjęcia, opisy, historię miejsca, czasem nawet profile właścicieli w mediach społecznościowych.
Katarzyna Grabowska, specjalistka do spraw edukacyjno-informacyjnych w NASK, zwraca uwagę, że „oszustwa internetowe stają się coraz bardziej przekonujące”. W takim układzie sprawdzenie zdjęć i lokalizacji niczego nie rozstrzyga, bo obiekt naprawdę istnieje. Fałszywy jest wyłącznie kanał płatności.
Schemat kończy się zawsze tak samo. Kontakt przez komunikator, presja czasu („ostatni wolny pokój”, „promocja tylko dziś”), prośba o zaliczkę albo dane karty, a potem cisza.
Liczby, które to potwierdzają
Polskie dane są jednoznaczne. CERT Polska, działający w strukturach NASK, zarejestrował w 2025 roku ponad 260,7 tysiąca unikalnych incydentów, o 152 procent więcej niż rok wcześniej. Oszustwa komputerowe stanowiły 97 procent obsłużonych zdarzeń, a sam phishing odpowiadał za 78 391 przypadków, czyli 30 procent całości. Na Listę ostrzeżeń trafiło blisko 250 tysięcy adresów, około 670 dziennie.
Marcin Dudek, kierownik CERT Polska, podsumował ten trend krótko podczas konferencji Secure 2026: „Oszuści odchodzą od ataków mocno technicznych na rzecz socjotechnicznych”. To sedno problemu. Nikt nie łamie zabezpieczeń banku, jeśli ofiara sama wykona przelew.
Branża turystyczna zauważyła to zjawisko wcześniej niż regulatorzy. Marnie Wilking, szefowa bezpieczeństwa internetowego w Booking.com, mówiła już w 2024 roku na konferencji Collision w Toronto o wzroście oszustw rzędu 500 do 900 procent w ciągu osiemnastu miesięcy i wiązała go bezpośrednio z upowszechnieniem generatywnej AI: „Atakujący z całą pewnością wykorzystują AI do ataków, które podszywają się pod wiadomości znacznie lepiej niż dotąd” / „The attackers are definitely using AI to launch attacks that mimic emails far better”. Analitycy CERT Orange Polska odnotowali z kolei w 2025 roku wyraźną falę fałszywych sklepów z grafiką generowaną przez modele obrazu.
Mam mieszane uczucia wobec tego typu komunikatów i piszę to jako ktoś, kto czyta je zawodowo od lat. Z jednej strony NASK robi dokładnie to, co powinien: tłumaczy prostym językiem, jak zmieniła się ekonomia oszustwa. Koszt wyprodukowania wiarygodnej przynęty spadł niemal do zera, a to zmienia wszystko, bo przestępca może teraz testować sto wariantów zamiast jednego.
Z drugiej strony cała lista zaleceń opiera się na założeniu, że ciężar weryfikacji spoczywa na turyście. Sprawdź domenę, sprawdź rejestr, zadzwoń do obiektu. Rozumiem, dlaczego tak jest, ale to jest przerzucanie odpowiedzialności na najsłabsze ogniwo. Człowiek, który o dwudziestej trzeciej rezerwuje nocleg na weekend, nie będzie przeglądał Centralnego Wykazu Obiektów Hotelarskich.
Pytanie, które zadaję sobie od kilku miesięcy, brzmi inaczej: dlaczego domena zarejestrowana wczoraj, przyjmująca płatności za nocleg, w ogóle dożywa do pierwszej transakcji? Odpowiedź leży po stronie rejestratorów, operatorów płatności i platform rezerwacyjnych, a nie po stronie użytkownika. Edukacja jest potrzebna, ale sama nie wygra wyścigu z narzędziem, które generuje kolejną stronę w trzy minuty.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Oszustwo działa też w drugą stronę
NASK opisuje wariant, o którym mówi się rzadziej, a który dotyka sprzedających na platformach ogłoszeniowych. Kupujący odbiera przesyłkę, zgłasza uszkodzenie towaru i dołącza zdjęcia wygenerowane albo przerobione narzędziami AI. Ponieważ na wielu serwisach pieniądze trafiają do sprzedawcy dopiero po potwierdzeniu transakcji, takie zgłoszenie blokuje wypłatę i uruchamia postępowanie reklamacyjne.
Przy elektronice dochodzi ryzyko podmiany urządzenia albo podważenia jego autentyczności. Instytut podpowiada, żeby przed wysyłką sfotografować sprzęt ze wszystkich stron, zapisać numer seryjny i IMEI, nagrać krótki film potwierdzający działanie oraz udokumentować pakowanie. Brzmi to jak nadmiar ostrożności do momentu, w którym trzeba udowodnić, że telefon wyjechał sprawny.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polski urlopowicz zaufał algorytmowi szybciej, niż nauczył się go sprawdzać
Tu robi się ciekawie, bo dwa trendy nałożyły się na siebie w tym samym sezonie. Z badania Visa Travel & Payment Intentions Study, przeprowadzonego w kwietniu 2026 roku w krajach Europy Środkowo-Wschodniej, wynika, że liczba Polaków korzystających z AI przy organizacji podróży wzrosła w ciągu roku ponad sześciokrotnie. Prawie co piąty turysta sięga po nią regularnie. Ponad połowa badanych deklaruje gotowość powierzenia agentowi AI części zadań związanych z wyjazdem, a wśród zamożniejszych respondentów odsetek ten sięga 65 procent.
Sondaże krajowe pokazują obraz mniej entuzjastyczny, bo według badania cytowanego przez branżę hotelarską blisko połowa Polaków nadal nie używa AI przy planowaniu urlopu. Rozbieżność bierze się z metodologii i doboru próby, ale kierunek jest ten sam: rezerwacja przenosi się z wyszukiwarki do rozmowy z asystentem.
I właśnie to jest miejsce, w którym rośnie ryzyko. Asystent podaje jedną odpowiedź zamiast dziesięciu wyników, więc znika naturalny moment porównywania ofert. Jeśli model podpowie link do spreparowanej strony, użytkownik nie ma odruchu sprawdzenia trzeciej i czwartej pozycji.
Warstwa regulacyjna niewiele tu zmienia. Od 2 sierpnia 2026 roku obowiązują przepisy unijnego AI Act o oznaczaniu treści generowanych przez sztuczną inteligencję i informowaniu o kontakcie z chatbotem. Rzecz w tym, że obowiązki spoczywają na uczciwych podmiotach. Oszust nie oznaczy wygenerowanego zdjęcia pensjonatu.
Zanim zapłacisz zaliczkę, sprawdź kilka rzeczy, które zajmują łącznie dwie minuty:
- adres strony, czy domena nie zawiera literówek ani nietypowych końcówek i czy odpowiada oficjalnej witrynie obiektu
- lokalizację na mapach, czy budynek faktycznie istnieje pod wskazanym adresem
- opinie poza stroną obiektu, w niezależnych serwisach i mediach społecznościowych
- wpis w oficjalnych rejestrach, w Polsce w Centralnym Wykazie Obiektów Hotelarskich
- kontakt telefoniczny, czy ktoś rzeczywiście odbiera i potwierdza rezerwację
- rytm publikacji opinii, seria bardzo podobnych wpisów z jednego tygodnia to sygnał ostrzegawczy
Podejrzane wiadomości i strony można zgłaszać do CERT Polska przez incydent.cert.pl, w aplikacji mObywatel albo przesyłając SMS na numer 8080. Ta ostatnia droga działa najszybciej i, sądząc po tempie rozrostu Listy ostrzeżeń, ma realny wpływ na to, ile osób trafi na tę samą stronę po nas.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiału NASK z dnia 04.08.2026, opublikowanego w cyklu „Wakacje z AI”, a także danych z raportu rocznego CERT Polska za 2025 rok, raportu CERT Orange Polska 2025, badania Visa Travel & Payment Intentions Study CEE 2026 oraz publikacji WeLiveSecurity i KnowBe4 dotyczących skali oszustw w branży rezerwacyjnej. Wypowiedzi Anny Kwaśnik i Katarzyny Grabowskiej z NASK oraz Marcina Dudka z CERT Polska podano w oryginalnym polskim brzmieniu. Cytat Marnie Wilking, szefowej bezpieczeństwa internetowego Booking.com, został zweryfikowany z anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o oszustwach turystycznych wykorzystujących generatywną AI.
