Deepfake Brzoski znów na Facebooku. Policzyłem, ile kosztuje jedna taka reklama i ile zarabia na niej Meta

👁 118 przeczytań

Rafał Brzoska zobaczył w swoim feedzie reklamę informującą, że został ofiarą zamachu i leży w szpitalu. Nagranie wygenerowane przez AI, jego twarz, jego głos, treść całkowicie wymyślona. Opisał to Spider’s Web, cytując wpis szefa InPostu, w którym ten zwraca się bezpośrednio do polskich polityków. To nie jest pierwsza taka sprawa i nie pierwszy apel. Nowe jest to, że tym razem poszło zgłoszenie do Komisji Europejskiej, a więc do organu, który od lutego 2024 roku ma wobec Mety narzędzie w postaci kar liczonych jako procent globalnego obrotu.

Mnie w tej historii najmniej interesuje emocjonalna strona konfliktu, bo ta jest oczywista. Interesuje mnie arytmetyka: ile trzeba wydać, żeby wyświetlić Polakom fałszywą reklamę z deepfakiem rozpoznawalnej twarzy, i ile z tego da się wyciągnąć. Usiadłem do cennika reklamowego i do statystyk strat. Wynik jest brutalniejszy, niż się spodziewałem.

Czterdzieści złotych za dotarcie do dziesięciu tysięcy Polaków

Zacznijmy od kosztu po stronie oszusta. Stawki CPM, czyli koszt tysiąca wyświetleń, na polskim rynku reklamowym Mety mieszczą się w przedziale od około 8 do 25 złotych w zależności od grupy docelowej i konkurencji w aukcji. Grupa, w którą celują oszuści inwestycyjni - osoby po pięćdziesiątce, zainteresowane finansami, wiadomościami, oszczędzaniem - nie jest szczególnie droga, bo marki konsumenckie walczą o młodszych. Weźmy środek przedziału, 15 złotych za tysiąc wyświetleń. Dotarcie do dziesięciu tysięcy ludzi to 150 złotych. Do stu tysięcy - 1500 złotych.

Teraz druga strona rachunku. Policja i CERT Polska konsekwentnie podają, że średnia strata w oszustwie inwestycyjnym zaczynającym się od reklamy w mediach społecznościowych to kilkadziesiąt tysięcy złotych na ofiarę - najczęściej cytowany przedział to 40-60 tysięcy, bo mechanizm polega na tym, że po pierwszej wpłacie 1000 złotych ofiara jest prowadzona przez telefon do kolejnych, coraz większych przelewów. Przyjmijmy ostrożnie 45 tysięcy złotych.

Policzyłem więc próg opłacalności. Jeśli kampania za 1500 złotych dotrze do stu tysięcy osób i tylko jedna z nich da się nabrać, oszust odzyskuje wydatek trzydziestokrotnie. Przy konwersji 0,01 procent, czyli dziesięciu ofiarach na sto tysięcy wyświetleń - a to konwersja, której żaden normalny marketer nie uznałby za sukces - przychód wynosi 450 tysięcy złotych przy koszcie 1500 złotych. Trzysta razy więcej, niż wydano. Nie znam legalnego biznesu w Polsce z takim zwrotem.

I tu dochodzę do liczby, której nie widziałem w żadnym polskim tekście o tej sprawie: z tych 1500 złotych Meta zatrzymuje całość jako przychód reklamowy. Nie prowizję, nie część - całość, bo jest sprzedawcą powierzchni reklamowej, nie pośrednikiem. Przy średniej stracie 45 tysięcy złotych na ofiarę i stawce 15 złotych za tysiąc wyświetleń wychodzi, że na każdą złotówkę, którą Meta zarabia na scamowej reklamie, polska ofiara traci 300 złotych. To jest cała ekonomia tego sporu w jednym zdaniu.

Osiemdziesiąt trzy procent spadku zgłoszeń, które nic nie znaczą

Meta broni się liczbą. Nathaniel Gleicher, odpowiadający w firmie za politykę bezpieczeństwa i przeciwdziałanie oszustwom, powiedział Business Insider Polska, że w ciągu dwóch lat liczba zgłoszeń od polskich użytkowników w sprawach scamów spadła o ponad 83 procent. Brzmi jak sukces, dopóki nie zapyta się, co dokładnie mierzy ten wskaźnik.

Spadek zgłoszeń może oznaczać dwie rzeczy: że oszustw jest mniej albo że ludzie przestali je zgłaszać. Te dwie hipotezy dają identyczny wynik w statystyce i Meta wybrała pierwszą. Problem jest taki, że dane zewnętrzne idą w drugą stronę. CERT Polska rok po roku raportuje rosnącą liczbę zgłoszeń dotyczących fałszywych inwestycji i podszywania się pod znane osoby - w ostatnich raportach to najliczniejsza kategoria incydentów, liczona w dziesiątkach tysięcy rocznie. Gdyby scamów na Facebooku faktycznie ubyło o 83 procent, polski CERT i polskie banki zobaczyłyby to u siebie. Nie zobaczyły.

Jest jeszcze trzecia możliwość, o której się nie mówi: zgłoszenie reklamy w Mecie to kilka kliknięć prowadzących do automatycznej odpowiedzi, że treść nie narusza standardów. Jeśli użytkownik przeszedł tę drogę trzy razy i trzy razy dostał tę samą odpowiedź, za czwartym razem nie zgłasza. Spadek o 83 procent jest wtedy miarą wyuczonej bezradności, nie skuteczności moderacji.

„Powiem zupełnie szczerze - pewnie zawsze będą jakieś scamy, które przejdą przez to sito. Także dlatego, że kryminaliści po prostu nie ponoszą wystarczających konsekwencji. My możemy ich blokować, blokować ich konta - ale są oni często na drugim końcu świata, a przecież nie możemy ich zaaresztować.”

Nathaniel Gleicher, Director and Global Head of Security Policy and Counter-Fraud w Mecie, w rozmowie z Business Insider Polska

Argument Gleichera jest sprawny retorycznie i wadliwy logicznie. Porównuje on Facebooka do banku, który może zostać obrabowany, bo złodziei nie da się złapać. Tylko że bank nie sprzedaje rabusiom wstępu do skarbca. Meta sprzedaje. Oszust nie włamuje się do systemu reklamowego - zakłada konto, podaje kartę, przechodzi weryfikację i płaci. Jest klientem, nie intruzem. I to jest różnica, która przewraca całą analogię.

Artykuł 39 DSA mówi, co trzeba trzymać w rejestrze, i nie mówi, kogo trzeba sprawdzić

Brzoska twierdzi, że wystarczyłby „jeden prosty przepis” - obowiązkowa weryfikacja reklamodawców. Sprawdziłem, jak to wygląda w aktualnym prawie, bo tu jest najciekawszy haczyk.

Rozporządzenie o usługach cyfrowych (DSA) nakłada na bardzo duże platformy obowiązek prowadzenia publicznego repozytorium reklam - to artykuł 39. Dzięki niemu istnieje Meta Ads Library, w której każdy może przeszukać aktywne reklamy. Artykuł 26 wymaga oznaczania reklam i ujawniania, kto za nie zapłacił. Artykuł 34 i 35 każą platformom oceniać ryzyka systemowe i je ograniczać.

Czego w DSA nie ma: twardego obowiązku weryfikacji tożsamości reklamodawcy przed emisją reklamy finansowej. Taki obowiązek istnieje w prawie brytyjskim - Online Safety Act wprowadził kategorię fraudulent advertising i brytyjski FCA wymaga, by reklamy finansowe pochodziły od podmiotów autoryzowanych. Meta wdrożyła to w Wielkiej Brytanii, bo musiała. W Unii analogicznego wymogu sektorowego nie ma, więc nie wdrożyła.

Z tego wynika rzecz, którą warto powiedzieć wprost: polski użytkownik Facebooka ma dziś słabszą ochronę przed scamową reklamą finansową niż użytkownik brytyjski, i to nie z powodu różnicy w technologii, tylko w przepisach. Zestawienie poniżej pokazuje, gdzie dokładnie leży luka.

Dlaczego UOKiK nie ukarze Mety, a KE robi to trzy lata

Polski kontekst tej sprawy jest gorszy niż sam deepfake. Meta nie ma w Polsce biura, które podejmowałoby decyzje o moderacji - ma przedstawicielstwo handlowe i obsługę dużych klientów reklamowych. Reklamy w języku polskim weryfikuje połączenie automatów i zespołów moderacyjnych zlokalizowanych poza krajem, często pracujących na materiale przetłumaczonym maszynowo. Fałszywa reklama z polskim lektorem AI i twarzą prezesa InPostu jest dla takiego systemu znacznie trudniejsza niż identyczna reklama po angielsku.

UOKiK może ścigać naruszenia zbiorowych interesów konsumentów i robił to wobec platform, ale maksymalna kara to 10 procent obrotu osiągniętego w Polsce, a postępowanie trwa latami. Kluczowe uprawnienie - uznanie, że Meta naruszyła DSA - zostało przeniesione na poziom Komisji Europejskiej. To ma zaletę: kara liczona jest od obrotu globalnego, a więc od kwoty rzędu pół biliona złotych. I ma wadę: Bruksela prowadzi obecnie kilka postępowań wobec Mety, z których najstarsze otwarto w 2024 roku i nadal nie mają decyzji końcowej. Zgłoszenie Brzoski trafia do kolejki, nie do kasy biletowej.

Co z tego ma konkretnie polski czytelnik. Trzy rzeczy, które warto zrobić, zamiast klikać „zgłoś” w Facebooku i liczyć na odpowiedź. Pierwsza: jeśli widzisz reklamę z deepfakiem, wejdź do Meta Ads Library, wyszukaj ją po nazwie strony i zrób zrzut ekranu z identyfikatorem reklamy oraz informacją o płatniku - to jedyny dowód, który później będzie coś wart, bo reklama zniknie. Druga: zgłoś to przez incydent.cert.pl, bo CERT Polska realnie blokuje domeny z fałszywymi platformami inwestycyjnymi i wpisuje je na listę ostrzeżeń, z której korzystają polscy operatorzy - to działa w godzinach, nie w miesiącach. Trzecia, jeśli pieniądze już wyszły: zgłoszenie na policję i jednocześnie reklamacja w banku z powołaniem na nieautoryzowaną transakcję, w terminie do 13 miesięcy, bo po tym czasie roszczenie wygasa. Jeśli przelew wyszedł kilka godzin temu, dzwoń na infolinię banku natychmiast - przy przelewach zagranicznych bywa jeszcze szansa na wycofanie.

Kto płaci za to, że weryfikacja kosztuje

Na koniec rachunek, który wyjaśnia bezczynność lepiej niż jakakolwiek deklaracja o trudnym przeciwniku. Weryfikacja tożsamości reklamodawcy finansowego - dokument, numer w rejestrze, sprawdzenie w bazie nadzoru - to koszt rzędu kilkudziesięciu złotych na konto, jednorazowo. Przy skali Mety w Europie to wydatek liczony w dziesiątkach milionów złotych i, co ważniejsze, tarcie, które odcina część drobnych reklamodawców.

Z drugiej strony bilansu stoi przychód reklamowy Mety w Europie, który w 2025 roku przekroczył 30 miliardów dolarów, czyli przy kursie 3,78 złotego ponad 113 miliardów złotych. Nawet jeśli oszustwa stanowią jedną dziesiątą procenta tej kwoty, to wciąż ponad 113 milionów złotych rocznie. Dopóki kara za brak weryfikacji wynosi zero, a przychód z nieweryfikowanych reklam jest dodatni, każda korporacja z arkuszem kalkulacyjnym podejmie tę samą decyzję. Brzoska ma rację, że wystarczyłby jeden przepis. Myli się tylko w tym, że będzie prosty - bo przepis, który realnie kosztuje platformę pieniądze, nigdy nie przechodzi szybko.

Fakty sprawdzone 2 października 2026. Przeliczenia własne na podstawie stawek CPM polskiego rynku reklamowego Mety (8-25 zł za tysiąc wyświetleń), średniej straty w oszustwie inwestycyjnym raportowanej przez polską policję i CERT Polska oraz przychodów reklamowych Mety w regionie Europy. Kurs: 3,78 zł za dolara, 4,30 zł za euro. Źródła: Spider’s Web, Rozporządzenie DSA 2022/2065, Meta Ads Library, CERT Polska, UOKiK.