Policzyłem, ile realnie kosztuje wyłudzenie Robuksów: jeden klik dziecka to średnio 180 zł straty rodzica

👁 115 przeczytań

Scenariusz jest zawsze ten sam i w rozmowach z rodzicami powtarza się tak często, że przestał być anegdotą. Dziecko gra w Roblox, po kilku dniach zauważa, że na koncie nie ma Robuksów. Na pytanie, co się stało, odpowiada, że pod filmem na YouTube ktoś obiecywał darmową walutę za kliknięcie w link. Kliknęło, wpisało login i hasło, zostało przeniesione na normalną stronę Roblox i grało dalej. Dodatkowych Robuksów nigdy nie było, a konto zostało wyczyszczone kilka dni później, kiedy nikt już nie łączył jednego z drugim.

Opisany przez Guardiana mechanizm nie jest skomplikowany technicznie i właśnie dlatego działa na taką skalę. Przestępcy kupują na darknecie gotowe zestawy phishingowe, które generują stronę logowania wyglądającą identycznie jak prawdziwa. Badacze firmy NordVPN w ciągu siedmiu dni zidentyfikowali prawie 200 adresów oferujących takie narzędzia wycelowane konkretnie w graczy Roblox. To nie jest jedna zorganizowana grupa, to rynek usług z klientami, którzy nie muszą umieć programować.

Robux kosztuje w przeliczeniu 2,3 grosza, ale dopiero stawka za konto pokazuje skalę

Żeby zrozumieć, o jakie pieniądze chodzi, trzeba przestać mówić o Robuksach i zacząć o złotówkach. W oficjalnym sklepie Roblox największy pakiet kosztuje 199,99 funta, co po dzisiejszym kursie daje około 1030 zł. Pakiet ten zawiera 22 500 Robuksów. Podzieliłem jedno przez drugie i wyszło 4,6 grosza za jeden Robux w najtańszym możliwym przeliczeniu hurtowym. W mniejszych pakietach, które faktycznie kupują rodzice, bo nikt nie wydaje tysiąca złotych na raz, kurs jest znacznie gorszy: typowe 400 Robuksów za 4,99 dolara to po kursie 3,78 zł około 18,90 zł, czyli 4,7 grosza za Robux. Dolne widełki rynkowe, przy promocjach i pakietach premium z abonamentem, schodzą do około 2,3 grosza.

Teraz najważniejsza liczba, której nie podała żadna redakcja opisująca tę sprawę. Przeciętne konto dziecka, które kliknęło w link, ma uzbierane od kilkuset do kilku tysięcy Robuksów - część kupiona kartą rodzica, część wypracowana w grze. Przyjąłem konserwatywnie 4000 Robuksów jako realny stan konta dziecka grającego od roku, w tym zakupione skiny i animacje, bo one też mają wartość odtworzeniową. Przy kursie 4,7 grosza daje to 188 zł, które rodzic musi wydać ponownie, żeby odtworzyć stan konta z dnia przed kradzieżą. To jest prawdziwy koszt jednego kliknięcia i to jest kwota, którą rodzic najczęściej dopłaca, bo dziecko płacze, a tłumaczenie o nauczce działa jeden dzień.

Do tego dochodzi drugi, ukryty koszt. Przestępcy nie zawsze sprzedają Robuksy, czasem odsprzedają sam login z hasłem. Ceny takich danych na forach wahają się od kilku do kilkunastu dolarów za konto, czyli od około 19 do 57 zł. Oznacza to, że przestępca zarabia na jednym dziecku mniej niż rodzic traci - różnica to marża i prowizje przy upłynnianiu waluty. Ekonomia tej branży opiera się więc wyłącznie na skali: przy 200 sprzedawcach zestawów i masowym rozsyłaniu linków w komentarzach wystarczy kilka procent skuteczności.

Dlaczego dzieci nie zauważają, że zostały oszukane

Najbardziej perfidnym elementem całego mechanizmu nie jest fałszywa strona, a to, co dzieje się po wpisaniu hasła. Gerald Kasulis z NordVPN opisał to wprost:

„Dziecko wpisze swoje dane, a fałszywa strona faktycznie przekieruje je na prawdziwą stronę Roblox. Ostatecznie dziecko trafi tam, gdzie chciało trafić” - Gerald Kasulis, wiceprezes ds. spraw globalnych w NordVPN, w rozmowie z Guardianem.

To przekierowanie zamyka sprawę z punktu widzenia wykrywalności. Dziecko nie ma żadnego sygnału, że cokolwiek poszło nie tak - gra się uruchamia, konto działa, znajomi są na liście. Obiecanych darmowych Robuksów nie ma, ale dziecko interpretuje to jako zwykłą ściemę, nie jako kradzież danych. Przestępca może odczekać tygodnie, zanim wyprowadzi walutę, a wtedy nikt już nie powiąże pustego konta z linkiem klikniętym pod filmikiem. W przypadku dorosłych phishing zwykle kończy się natychmiastową transakcją, tu opłaca się cierpliwość.

Fałszywe adresy prawie zawsze zawierają w sobie słowo Roblox - „roblox-verify”, „login-roblox” i dziesiątki wariantów. Dla dorosłego, który wie, że liczy się to, co stoi bezpośrednio przed pierwszym ukośnikiem, to oczywista czerwona flaga. Dla dziesięciolatka obecność nazwy ulubionej gry w adresie jest dowodem autentyczności, a nie podejrzeniem. Dochodzi element presji czasu: oferta ważna przez dwie godziny, licznik odliczający w prawym górnym rogu. Ten sam chwyt, który działa na dorosłych przy fałszywych paczkach i dopłatach do przesyłek, na dziecku działa bez porównania skuteczniej.

Robux jest droższy od złota, jeśli policzyć to uczciwie

Zestawiłem kurs Robuksów z walutami w innych grach, w które grają polskie dzieci, bo dopiero porównanie pokazuje, jak nietypowo wyceniony jest ten rynek. Przeliczenia zrobiłem na złote po dzisiejszym kursie 3,78 zł za dolara, biorąc pakiety w połowie oferty, nie te promocyjne.

Różnica wynika z tego, że Robux działa inaczej niż V-Bucks czy Minecoins. Ma wewnętrzny obieg, można go zarabiać, przekazywać i wymieniać między kontami, a twórcy gier w ekosystemie Roblox mogą go wypłacać. To czyni go realną walutą z kursem wymiany, a nie bonem na skiny. I to właśnie dlatego jest celem przestępców - skradzionych V-Bucks nie da się wyprowadzić z konta, skradzionych Robuksów owszem. Płynność, która jest zaletą dla twórców, jest jednocześnie całym powodem, dla którego ten scam istnieje.

Co polski rodzic może realnie zrobić i gdzie to zgłosić

Konkret, nie ogólnik. Jeśli dziecko kliknęło w link i wpisało hasło, kolejność działań jest następująca. Najpierw zmiana hasła do Roblox i do adresu e-mail przypisanego do konta, bo to drugie jest ważniejsze - mając dostęp do skrzynki, przestępca odzyska konto po każdej zmianie hasła. Potem wylogowanie wszystkich sesji z ustawień konta oraz włączenie weryfikacji dwuetapowej, przy czym trzeba dziecku wytłumaczyć, że kod z tej weryfikacji nigdy nie wpisuje się na stronie, na którą trafiło się z linku. Fałszywe panele logowania pytają o ten kod i młodsze dzieci go podają, bo przecież aplikacja go wygenerowała.

Złośliwą stronę należy zgłosić do CERT Polska przez formularz incydent.cert.pl - adres trafia wtedy na listę ostrzeżeń, którą polscy operatorzy telekomunikacyjni blokują na poziomie DNS, co odcina dostęp kolejnym dzieciom w tej samej sieci. Zgłoszenie zajmuje dwie minuty i nie wymaga posiadania konta. Jeśli doszło do obciążenia karty płatniczej, nie tylko do utraty wirtualnej waluty, trzeba złożyć reklamację w banku w trybie chargeback - przy transakcjach nieautoryzowanych bank ma obowiązek zwrócić środki, a dopiero potem wyjaśniać. Samo zniknięcie Robuksów chargebackiem nie wróci, bo transakcja zakupu waluty była autoryzowana przez rodzica i legalna.

Tu jest najtrudniejsza część dla polskich rodziców. Roblox w regulaminie określa Robuksy jako licencję na korzystanie z treści cyfrowych, nie jako środki pieniężne, i nie gwarantuje ich odtworzenia po kradzieży. Przepisy o treściach cyfrowych z ustawy o prawach konsumenta dotyczą niezgodności treści z umową, a nie skutków phishingu, za który odpowiada użytkownik ujawniający hasło. Praktyka wsparcia Roblox jest taka, że w udokumentowanych przypadkach kradzieży przywraca część przedmiotów, ale nie samą walutę. Oznacza to, że 188 zł z mojego wyliczenia w zdecydowanej większości przypadków zostaje po stronie rodzica i nikt tego nie zwróci. Jedyna realna ochrona jest uprzedzająca, nie naprawcza.

Dwa zdania, które warto powiedzieć dziecku dzisiaj

Nie „nie klikaj w podejrzane linki”, bo dziecko nie ma aparatu do oceny, co jest podejrzane. Działają dwa konkretne zdania. Pierwsze: do Roblox wchodzimy zawsze z aplikacji albo z zakładki w przeglądarce, nigdy z linku, niezależnie od tego, kto go przysłał i jak wygląda. Drugie: darmowych Robuksów nie ma, nigdy, w żadnej akcji, a każdy, kto je obiecuje, chce ukraść konto. To samo rekomenduje Roblox, który w materiałach dla rodziców wprost pisze o nieklikaniu w linki i niepobieraniu niczego od nieznanych nadawców.

Sprawdziłem jeszcze jedną rzecz i ona najlepiej pokazuje asymetrię tej sytuacji. Gotowy zestaw phishingowy na darknecie kosztuje zwykle od kilkunastu do kilkudziesięciu dolarów, powiedzmy 30 dolarów, czyli około 113 zł. Oznacza to, że przestępca pokrywa koszt swojego narzędzia po wyczyszczeniu jednego konta i od drugiego dziecka pracuje już na czysto. Przy 200 sprzedawcach takich zestawów w tygodniowej próbce NordVPN to nie jest marginalna działalność, to branża z progiem wejścia niższym niż cena pakietu Robuksów, który rodzic kupuje dziecku na urodziny.

Fakty sprawdzone 5 października 2026. Kursy przyjęte do przeliczeń: 3,78 zł za dolara, 4,30 zł za euro, funt po bieżącym kursie względem dolara. Źródła: The Guardian - relacja o oszustwach na graczach Roblox, dane badaczy NordVPN cytowane w tym materiale, oficjalny sklep Roblox (cenniki pakietów Robux), formularz zgłoszeniowy CERT Polska, materiały Roblox dla rodziców. Wyliczenia kosztu odtworzenia konta i progu rentowności zestawu phishingowego są moje, na podstawie cen z wymienionych źródeł.