200 stron phishingowych w siedem dni: policzyłem, ile realnie kosztuje rodzica kradzież Robuxów

👁 121 przeczytań

Scenariusz, który opisał Guardian, jest banalny do granic. Dziesięciolatek gra w Roblox. Pod filmem na YouTube widzi komentarz z linkiem i obietnicą darmowych Robuxów. Klika, trafia na stronę logowania wyglądającą dokładnie jak oryginał, wpisuje login, hasło, czasem jeszcze kod z uwierzytelniania dwuetapowego - a potem zostaje przekierowany na prawdziwy Roblox i gra dalej, jakby nic się nie stało. Darmowych Robuxów nie ma. Za kilka dni nie ma też tych, które miał wcześniej.

Researcherzy NordVPN w ciągu siedmiu dni namierzyli blisko 200 adresów sprzedających gotowe strony phishingowe pod Roblox. Nie pojedyncze linki, nie pojedyncze kampanie - gotowe zestawy narzędzi, kupowane w darknecie przez ludzi, którzy sami nie potrafiliby napisać jednej linijki kodu. To jest kluczowa informacja w całej sprawie: próg wejścia do okradania dzieci spadł do poziomu zakupu w sklepie.

Policzyłem, ile kosztuje jeden Robux i ile może wyparować z konta

Roblox sprzedaje Robuxy w pakietach, a największy w brytyjskim sklepie kosztuje 199,99 funta. Przy kursie zbliżonym do 5,05 zł za funta to około 1010 zł za jeden zakup. Zestawiłem to z cennikiem dolarowym, bo on jest punktem odniesienia dla większości rynków: największy pakiet detaliczny to 24 999 Robuxów za 199,99 dolara, czyli po kursie 3,78 zł - 756 zł. Dzielę jedno przez drugie i wychodzi 3,02 grosza za jeden Robux. Mniejsze pakiety są gorzej wycenione: 400 Robuxów za 4,99 dolara to 18,86 zł, czyli 4,72 grosza za sztukę - o 56 procent drożej niż w pakiecie hurtowym.

Teraz liczba, która ma znaczenie dla rodzica. Typowe konto dziecka, które gra regularnie od roku i dostawało karty podarunkowe na urodziny i święta, to realnie 3000-8000 Robuxów w przedmiotach i walucie. Po stawce 3,02 grosza za jednostkę mówimy o 90-242 zł wartości odtworzeniowej. Przy zakupach w małych pakietach, a tak właśnie kupuje większość rodziców, bo nikt nie wydaje 756 zł jednorazowo na grę - 142-378 zł. Dodaję do tego subskrypcję Roblox Premium, 4,99 dolara miesięcznie czyli 18,86 zł, i po roku mamy kolejne 226 zł w kieszeni platformy.

Dlaczego to nie jest „tylko wirtualne”: odzyskanie tych przedmiotów wymaga ponownego zakupu za prawdziwe pieniądze. Roblox nie ma mechanizmu zwrotu Robuxów utraconych w wyniku phishingu jako standardowej procedury. Dziecko, które straciło 5000 Robuxów, nie straciło „punktów w grze” - straciło równowartość dwóch tygodni kieszonkowego liczonego po 100 zł albo jednych porządnych butów.

Konto jest warte więcej niż Robuxy, które na nim były

Tu dochodzimy do części, którą większość poradników pomija. Przestępca, który zdobył login i hasło, ma trzy drogi monetyzacji, nie jedną. Może przelać Robuxy na inne konto - to oczywiste. Może sprzedać same dane dostępowe, bo konto z rzadkimi przedmiotami i limitowanymi skinami bywa na szarym rynku warte wielokrotność nominalnej wartości waluty. I może sięgnąć po dane osobowe: adres e-mail rodzica, datę urodzenia dziecka, czasem fragment danych płatniczych i historię zakupów.

Ten trzeci element jest najtrwalszy. Robuxy można odkupić. Adres e-mail przypisany do konta dziecka, raz trafiwszy na listę w darknecie, zostaje tam na lata i wraca w kolejnych kampaniach - już nie na Roblox, ale na „weryfikację konta bankowego rodzica” albo paczkę od kuriera. Policzyłem to inaczej: jedno udane phishingowe logowanie generuje dla przestępcy przychód z trzech niezależnych strumieni, przy koszcie wejścia równym cenie zestawu z darknetu, czyli typowo kilkudziesięciu dolarów.

„Dziecko wpisze swoje dane, a fałszywa strona faktycznie przekieruje je na prawdziwą stronę Roblox. Ostatecznie dziecko trafi tam, gdzie chciało trafić”

- Gerald Kasulis, wiceprezes ds. spraw globalnych w NordVPN, w rozmowie z Guardianem

To zdanie jest sednem problemu. Phishing na dorosłych kończy się zwykle komunikatem o błędzie logowania albo pustą stroną, co wzbudza podejrzenia. Tutaj ofiara dostaje dokładnie to, czego chciała: działającą grę. Nie ma momentu, w którym dziecko pomyśli „coś jest nie tak”. Jedyny sygnał pojawia się tygodnie później, w postaci pytania „mamo, gdzie się podziały moje Robuxy”.

Jak to wygląda w Polsce i czego brakuje w statystykach

Polskie instytucje zbierają zgłoszenia, ale nie w sposób, który pozwala wyciągnąć liczbę „ile dzieci w Polsce straciło Robuxy”. CERT Polska prowadzi listę ostrzeżeń o domenach phishingowych i publikuje roczne raporty, w których phishing jest od lat najliczniejszą kategorią incydentów - rok po roku ponad połowa wszystkich zgłoszeń. Dyżurnet.pl, zespół działający przy NASK, przyjmuje zgłoszenia dotyczące treści szkodliwych dla dzieci, ale jego mandat obejmuje przede wszystkim materiały o charakterze przestępczym, nie oszustwa finansowe. W efekcie kradzież waluty z konta dziecka wpada w szczelinę: dla CERT to phishing jak każdy inny, dla Dyżurnetu to nie ich kategoria, dla policji to wartość szkody często poniżej progu, przy którym ktokolwiek wszczyna postępowanie.

Dlatego warto zgłaszać podwójnie. Domenę - do CERT Polska przez formularz incydentu albo na numer 799 448 084 (zgłoszenie SMS-em), bo trafi na listę ostrzeżeń blokowaną przez operatorów telekomunikacyjnych i przestanie się otwierać na telefonach w całym kraju. Samo oszustwo - do Roblox przez oficjalny formularz zgłoszeniowy i na policję, jeśli szkoda przekracza kilkaset złotych i da się wskazać numer konta, na które poszły środki. Lista CERT jest tu skuteczniejsza niż się wydaje: zablokowana domena przestaje działać dla wszystkich dzieci, nie tylko dla tego jednego.

Co z tego ma polski rodzic: trzy rzeczy do zrobienia w dziesięć minut

Pierwsza: wejdź na konto dziecka w ustawieniach Roblox i włącz PIN rodzicielski. To czterocyfrowy kod blokujący zmiany ustawień konta, w tym zmianę hasła i adresu e-mail. Bez niego przestępca, który zdobył hasło, zmienia e-mail i konto jest bezpowrotnie stracone. Z nim - samo hasło nie wystarczy do przejęcia konta na stałe.

Druga: odłącz kartę płatniczą od konta dziecka i przejdź na karty podarunkowe. Karty Roblox są w Polsce dostępne w Empiku, na stacjach Orlen, w salonikach prasowych i w Media Expert, w nominałach od 40 do 200 zł. Różnica jest prosta: z karty podarunkowej da się ukraść maksymalnie tyle, ile było na niej doładowane. Z podpiętej karty płatniczej - tyle, ile pozwoli limit. Przeliczyłem to na scenariusz realistyczny: karta na 50 zł to 50 zł ryzyka, podpięta karta rodzica z limitem 2000 zł to czterdziestokrotnie większa ekspozycja na stratę przy identycznym błędzie dziecka.

Trzecia, najważniejsza i najtrudniejsza: rozmowa. Nie zakaz, bo zakaz oznacza, że dziecko okradzione nie przyjdzie powiedzieć. Konkretne zdanie do zapamiętania: Roblox nigdy nie rozdaje darmowych Robuxów przez linki. Nigdy, w żadnej akcji, w żadnym konkursie, pod żadnym filmem. Każda strona obiecująca darmowe Robuxy za zalogowanie jest oszustwem - stuprocentowo, bez wyjątków. To jest zasada prostsza niż rozpoznawanie podejrzanych adresów URL, a dzieci w wieku 8-12 lat zapamiętują reguły absolutne lepiej niż niuanse.

Dwa ekosystemy, dwa poziomy ryzyka

Zestawiłem Roblox z drugą platformą, która w Polsce funkcjonuje jako główny wektor oszustw na nieletnich, żeby pokazać, skąd się bierze różnica.

Różnica, którą ta tabela pokazuje, jest mechaniczna, nie marketingowa. Tam, gdzie waluta da się przelać na inne konto, phishing opłaca się natychmiast i w gotówce. Tam, gdzie nie da się jej wyprowadzić, przestępca musi sprzedać całe konto, co jest trudniejsze, wolniejsze i łatwiejsze do odwrócenia przez obsługę platformy. Roblox siedzi po gorszej stronie tego podziału, a jednocześnie ma najmłodszych użytkowników w całej branży. To połączenie, nie samo „zainteresowanie przestępców”, tłumaczy, dlaczego gotowe zestawy phishingowe pod Roblox sprzedaje się w darknecie na skalę 200 adresów w tygodniu.

Odpowiedzialność platformy jest w Polsce mniejsza, niż rodzice sądzą

Dwa akty prawne mają tu znaczenie. RODO nakłada na Roblox obowiązki wobec danych dzieci - zgodę opiekuna, minimalizację zbieranych informacji, zgłoszenie naruszenia do organu nadzorczego w 72 godziny. Akt o usługach cyfrowych (DSA) dodaje obowiązek reagowania na zgłoszone nielegalne treści i zakazuje profilowania reklamowego nieletnich. Ale żaden z nich nie zobowiązuje platformy do zwrotu utraconej waluty wirtualnej, bo prawnie Robux nie jest środkiem płatniczym ani pieniądzem elektronicznym - to licencja na korzystanie z funkcji usługi, opisana w regulaminie, który rodzic zaakceptował.

Praktyczna konsekwencja jest niewygodna: w sporze o 200 zł straconych Robuxów rodzic nie ma mocnej podstawy do żądania zwrotu, a koszt dochodzenia roszczenia przewyższa wartość szkody. Jedyna realna ścieżka to zgłoszenie do obsługi Roblox z prośbą o przywrócenie konta i przedmiotów jako działanie uznaniowe platformy, nie jako roszczenie. Dlatego cała waga przenosi się na profilaktykę - PIN rodzicielski, karty podarunkowe zamiast karty płatniczej i jedno zdanie, które dziecko ma zapamiętać na zawsze.

Fakty sprawdzone 6 października 2026. Źródła: The Guardian - relacja o oszustwach phishingowych na Roblox i badaniu NordVPN, CERT Polska - lista ostrzeżeń i zgłaszanie incydentów, Dyżurnet.pl (NASK), cennik Robuxów w sklepie Roblox. Przeliczenia własne przy kursie 3,78 zł za dolara i 4,30 zł za euro.