Lažne darilne kartice: spletne prevare in naročniške pasti

Več kot 1.000 zaznanih primerov zavajajočih nagradnih ponudb

Raziskovalci CTM360 so zaznali več kot 1.000 primerov lažnih ponudb za darilne kartice z zlorabo znanih blagovnih znamk. Spletni oglasi uporabnike vodijo na strani, kjer jih namesto nagrade čakajo vprašalniki in naročniške pasti.

Raziskovalno podjetje CTM360 je 4. novembra 2026 objavilo poročilo o kampanji, ki obljublja brezplačne darilne kartice in nagrade. Širše javno poročanje o ugotovitvah je sledilo 7. novembra. Med zlorabljenimi imeni so PlayStation, Google Play, Sephora, SHEIN in Walmart, vendar to ne pomeni, da so bili sistemi teh podjetij napadeni ali da sama organizirajo opisane ponudbe. Goljufi izkoriščajo prepoznavnost znamk in navade uporabnikov, ki so vajeni pravih popustov, kuponov ter spletnih nagradnih iger.

Gre za konkretno raziskano različico že znanih lažnih nagradnih iger. Nova ugotovitev CTM360 je predvsem razčlenitev poti od oglasa do navideznega preverjanja in preusmeritve v komercialne ponudbe. Napadalcem ni nujno treba prevzeti računa ali neposredno ukrasti denarja z bančnega računa, da bi z uporabnikom ustvarili prihodek. Dovolj je lahko, da ga prepričajo v izpolnitev obrazca, namestitev aplikacije ali aktivacijo plačljive storitve.

Kako poteka prevara z darilno kartico?

Prevara se pogosto začne s sponzoriranim oglasom ali objavo na družbenem omrežju, ki obljublja darilno kartico znane trgovine oziroma digitalne platforme. Oglas lahko uporablja kopiran logotip, podobo znane osebe ali izmišljeno priporočilo vplivneža. Po kliku se odpre spletni portal, oblikovan tako, da spominja na uradno promocijsko stran. Uporabnik dobi občutek, da ga od prejema nagrade loči le še nekaj preprostih korakov.

Po ugotovitvah CTM360 lahko goljufiva stran prikazuje število domnevnih udeležencev, odštevalnik časa in izmišljene odzive prejemnikov nagrad. Ko uporabnik izbere vrednost kartice, se prikaže animacija njenega »ustvarjanja«, nato pa delno zakrita koda, ki naj bi dokazovala, da je nagrada pripravljena. Zadnji korak je navidezno varnostno preverjanje oziroma potrditev, da je uporabnik človek. Prav na tej točki se obljuba nagrade spremeni v zaporedje novih zahtev, ki niso povezane z dejanskim izplačilom ali izdajo darilne kartice.

Kaj se skriva za lažnim preverjanjem uporabnika?

Navidezno preverjanje ni običajen varnostni postopek, temveč ključni del opisane prevare. Uporabnik je preusmerjen na ankete, promocijske ponudbe, strani za namestitev aplikacij ali obrazce za naročanje mobilnih storitev. Tudi po opravljenem koraku lahko stran sporoči, da preverjanje ni zaključeno, in zahteva novo opravilo. CTM360 navaja, da v preverjenih potekih obljubljenih darilnih kartic ni bilo.

Pomemben je tudi način zaslužka: povezave lahko vsebujejo identifikatorje partnerskih oziroma posredniških programov, prek katerih je mogoče pripisati opravljeno registracijo ali naročnino določenemu posredniku. Goljuf lahko tako pridobi provizijo, medtem ko uporabniku nastanejo stroški ali razkrije osebne podatke. Posebej tvegana je zahteva po mobilni številki in enkratnem potrditvenem geslu (OTP), kadar se z njima dejansko potrjuje plačljiva naročnina. V drugih primerih lahko ponudba zahteva podatke plačilne kartice ali namestitev nepotrebne aplikacije, vendar vsaka taka aplikacija še ni nujno dokazano zlonamerna programska oprema.

Prav zato je koristno razumeti tudi prevare s skrito naročnino. Njihova skupna značilnost je, da uporabnik pričakuje nagrado, popust ali simbolično plačilo, v resnici pa lahko potrdi ponavljajoč strošek. Pri opisanih primerih CTM360 je v ospredju predvsem preusmerjanje na ponudbe in provizijski zaslužek, ne pa potrjen vdor v infrastrukturo zlorabljenih blagovnih znamk.

Kako ločiti resnično promocijo od spletne goljufije?

Resnične promocije obstajajo, zato samo dejstvo, da nagradna igra zahteva prijavo, še ni dokaz prevare. Ključno je, kdo akcijo organizira, kje so objavljena pravila in kaj mora uporabnik dejansko potrditi. Zavajajoč oglas lahko uporablja povsem pristne grafične elemente podjetja, hkrati pa vodi na spletno domeno, ki z uradnim ponudnikom nima povezave. Tudi oznaka »sponzorirano« na družbenem omrežju ne zagotavlja, da je oglaševalec verodostojen.

Pred sodelovanjem je smiselno preveriti štiri opozorilne znake:

Neuradna spletna povezava: ponudba ni objavljena na uradni strani oziroma preverjenem kanalu organizatorja, spletni naslov pa je nenavaden ali posnema znano znamko.
Zahteva po potrditveni kodi: domnevni prevzem nagrade zahteva SMS-kodo, PIN ali drugo potrditev, ne da bi jasno pojasnil, kaj se s tem aktivira.
Plačilo za »brezplačno« nagrado: stran zahteva podatke kartice, strošek preverjanja ali privolitev v naročnino, ki z obljubljeno nagrado nima razumne povezave.
Umeten časovni pritisk: odštevalniki, navidezni dobitniki in vedno nove naloge nadomestijo pregledna pravila, podatke o organizatorju in jasne pogoje sodelovanja.

Dodatne korake za pregled domene, pogojev in verodostojnosti strani vsebuje vodič kako preveriti spletno stran. Najvarnejše preverjanje je, da uporabnik sam odpre uradno spletno stran znamke, namesto da sledi povezavi iz oglasa. Če tam promocija ni navedena, je treba ponudbo obravnavati s posebno previdnostjo.

Ali so takšne prevare prisotne tudi v Sloveniji?

Podobne lažne nagradne igre in naročniške pasti so v Sloveniji že znane, vendar raziskava CTM360 ne potrjuje konkretnih slovenskih žrtev obravnavane kampanje. Slovenski nacionalni odzivni center SI-CERT je v okviru programa Varni na internetu že opozarjal na lažne nagradne igre, ki vodijo v plačljive SMS-storitve. Opisal je tudi zlorabe imen trgovcev, javnih oseb in privlačnih nagrad za pridobivanje osebnih podatkov. Zato ugotovitev CTM360 ni treba predstavljati kot novo potrjen napad na slovenske uporabnike, temveč kot aktualen primer širše prepoznavne goljufive metode.

Na iVarnost.si je bil že opisan primer lažne nagradne igre Lidl, ki prav tako izkorišča zaupanje v uveljavljeno blagovno znamko. Drugačen primer so direktorske prevare, pri katerih se storilci izdajajo za nadrejene in zaposlene prepričujejo v nakup bonov. V tokratni kampanji goljufi predvsem obljubljajo, da bodo darilno kartico podarili uporabniku. Razlika je pomembna, saj se razlikujeta tako vaba kot pričakovana uporabnikova dejanja.

Kaj storiti, če ste že vnesli podatke ali potrdili naročnino?

Ukrepi so odvisni od tega, kaj je uporabnik na sumljivi strani dejansko storil. Sam obisk strani še ne pomeni, da je nastala finančna škoda ali da je naprava okužena, nadaljnje izpolnjevanje obrazcev pa lahko poveča tveganje. Če je uporabnik posredoval telefonsko številko, podatke kartice, potrditveno kodo ali namestil aplikacijo, mora ukrepati glede na vrsto razkritja. Pomembno je tudi, da shrani naslov spletne strani, posnetke zaslona in morebitna sporočila, saj lahko pomagajo pri prijavi in reklamaciji.

Mobilna naročnina: pri operaterju preverite aktivne plačljive storitve, zahtevajte odjavo in se pozanimajte o blokadi premijskih oziroma komercialnih storitev; preverite tudi račun.
Plačilna kartica: če ste vnesli kartične podatke ali opazili bremenitev, takoj obvestite banko, preverite možnost blokade kartice in finančne reklamacije.
Aplikacije in računi: odstranite sumljive namestitve ali razširitve, preglejte dovoljenja in opravite varnostni pregled naprave; če ste razkrili geslo, ga spremenite na uradni strani storitve.
Prijava goljufije: sumljiv oglas prijavite platformi, phishing povezavo lahko posredujete SI-CERT, ob finančnem oškodovanju pa podajte prijavo policiji.

Na iVarnost.si je predstavljen tudi postopek za prijavo phishinga, s katerim lahko uporabniki prispevajo k hitrejšemu opozarjanju pred lažnimi povezavami. Če je uporabnik aktiviral naročnino, naj ne predpostavlja, da zaprtje spletne strani ali izbris aplikacije samodejno ustavi zaračunavanje. Preveriti mora dejanski status storitve pri ponudniku oziroma operaterju.

Kaj je raziskava potrdila in kaj ostaja neznano?

Število več kot 1.000 pomeni primere oziroma incidente, ki jih je po svojih ugotovitvah zaznal CTM360, in ne preverjenega števila oškodovanih ljudi. Iz javno dostopnih podatkov ni mogoče zanesljivo določiti začetka kampanje, skupne denarne škode ali števila uspešnih goljufij. Prav tako ni potrjene povezave s konkretnimi žrtvami v Sloveniji. Poročilo je zato treba brati kot raziskavo goljufivih spletnih postopkov in njihovega poslovnega modela, ne kot statistiko dokončanih tatvin.

Glavno opozorilo je preprosto: videz uradne promocije, poznan logotip in delno prikazana koda še niso dokaz, da darilna kartica res obstaja. Ko »brezplačna nagrada« zahteva osebne podatke, namestitve ali potrjevanje plačljivih storitev, se lahko vabljiva ponudba spremeni v strošek. Previdno preverjanje organizatorja in pogojev pred vsakim potrjevanjem ostaja najboljša obramba.