„Ostateczne wezwanie” od kancelarii: fałszywe zarzuty naruszenia praw autorskich na Facebooku

„Ostateczne wezwanie — naruszenie praw autorskich na Facebooku”. Tabelka z datami, numer pisma 5008/2026, cytaty z art. 17, 50, 79 i 116 ustawy o prawie autorskim, groźba „kroków prawnych bez dodatkowego wezwania”. Dla właściciela małego sklepu, który publikuje na Facebooku zdjęcia produktów, taki mail brzmi groźnie. Właśnie o to chodzi.

Przykład: „kancelaria” pisze do administratora strony

Wiadomość, którą otrzymaliśmy 26.10.2026, była skierowana do „administratora strony” sklepu na Facebooku. Zawierała prawdziwą nazwę strony i jej numer identyfikacyjny, datę „stwierdzenia naruszenia”, listę żądań (usunięcie treści, zaprzestanie naruszeń, zabezpieczenie logów, pisemna odpowiedź) i przycisk „Przejdź do załączonych dowodów →”. Termin odpowiedzi wyznaczono na 13 dni.

Przy bliższym spojrzeniu nic się nie zgadzało:

• Nadawca: pismo „kancelarii” przyszło z prywatnego konta Gmail, podpisanego imieniem i nazwiskiem, które nie pada nigdzie w treści.
• Cztery tożsamości: nazwa kancelarii, podpisany prawnik, osoba w adresie kontaktowym i rzekomy uprawniony to cztery różne, niepowiązane nazwiska.
• „adw. r.pr.”: podpis łączy dwa zawody, których nie można wykonywać jednocześnie. Adwokat i radca prawny to odrębne samorządy.
• Cudza domena: według rejestru domen .pl (RDAP NASK) domena w adresie zwrotnym należy do istniejącej kancelarii adwokackiej z innego miasta. Nic nie wskazuje, by miała z tą wiadomością cokolwiek wspólnego.
• Adres i telefon: kod pocztowy nie pasuje do miasta z adresu, a numer telefonu ma kierunkowy innego regionu.
• Brak utworu: pismo nie mówi, które zdjęcie, grafika czy wpis narusza prawa. Wszystko jest „w dowodach”.
• Kalka z DMCA: zdania „Uprawniony w dobrej wierze uważa, że opisane korzystanie nie zostało dozwolone…” i „kancelaria jest należycie umocowana” to przetłumaczone formułki z amerykańskiego zgłoszenia DMCA, a nie z polskiego wezwania przedsądowego.

Nazwiska i nazwę kancelarii, której domenę wykorzystano, celowo pomijamy. Mogą należeć do prawdziwych osób i firm, pod które ktoś się podszywa.

Skąd oszuści znają nazwę i ID strony

Nazwa strony, jej identyfikator, adres e-mail w zakładce „Informacje” i adres sklepu są publiczne. Zebranie ich automatycznie dla tysięcy stron nie jest trudne. W piśmie robią jednak wrażenie, że ktoś naprawdę przeanalizował Twoją stronę. Czytelnik Niebezpiecznika opisywał w 2024 r. podobne pismo z prawdziwym identyfikatorem jego profilu na papierze firmowym dużej kancelarii – mimo że przyszło z Gmaila.

Co jest za linkiem

Ta kampania jest dobrze udokumentowana:

• Październik 2024: Niebezpiecznik opisał maile podszywające się pod duże polskie kancelarie i znane marki jako „uprawnionych”. Link do „dowodów” w PDF pobierał archiwum ZIP ze złośliwą aplikacją, która mogła wykraść dane pozwalające przejąć firmowy profil na Facebooku.
• Przegląd CERT Polska za 2024 r.: oszuści, „podszywając się pod przedstawicieli prawnych różnych podmiotów, informowali o rzekomym naruszeniu praw autorskich”. Archiwum prowadziło do infekcji m.in. Lumma Stealerem – programem wykradającym hasła, ciasteczka sesji i dane kart zapisane w przeglądarce.
• Kwiecień 2025: CERT ponownie ostrzegał przed mailami „od instytucji prawnych”, w których link lub załącznik instalował złośliwe oprogramowanie.
• 2025: firma Huntress opisała kampanię, w której archiwum ZIP „przebrane za zawiadomienie o naruszeniu praw autorskich” instalowało PureRAT – program zdalnego dostępu z kradzieżą haseł z przeglądarek.
• Wersja z fałszywym logowaniem: w innych odmianach tego oszustwa link prowadzi do podróbki strony Facebooka lub Meta, która prosi o login, hasło, kod uwierzytelniania dwuskładnikowego, a czasem skan dowodu osobistego. Opisywały to m.in. Hackread (2024) i Group-IB (2023).

Dlaczego właśnie strony firmowe? Przejęta strona z obserwującymi i podpiętym kontem reklamowym z kartą płatniczą to dla przestępców gotowe narzędzie: można z niej puszczać reklamy oszustw na koszt ofiary albo sprzedać ją dalej.

Jak wygląda prawdziwe zgłoszenie

Co zrobić z takim mailem

1. Nie klikaj „dowodów” i nie odpowiadaj. Odpowiedź potwierdza, że skrzynka jest aktywna, a adres zwrotny może należeć do niewinnej kancelarii.
2. Sprawdź u źródła. Wejdź do Meta Business Suite samodzielnie (nie z linku) i zobacz, czy jest tam jakiekolwiek zgłoszenie dotyczące strony. Jeśli masz wątpliwości co do kancelarii, znajdź jej numer w wyszukiwarce lub w rejestrze i zadzwoń.
3. Zgłoś wiadomość jako phishing w poczcie i do CERT Polska przez incydent.cert.pl.
4. Zabezpiecz stronę: wszyscy administratorzy powinni mieć włączone logowanie dwuskładnikowe, najlepiej przez aplikację, a nie SMS. Przejrzyj listę osób z dostępem do strony i konta reklamowego i usuń zbędne.
5. Nigdy nie podawaj kodów 2FA ani skanu dokumentu na stronie, na którą trafiłeś z maila.

Jeśli ktoś już kliknął

1. Jeśli podałeś hasło na stronie z linku: natychmiast zmień hasło do Facebooka i poczty, wyloguj wszystkie sesje (Centrum kont → Hasło i zabezpieczenia → Gdzie jesteś zalogowany) i sprawdź, czy nikt nie dodał się jako administrator strony.
2. Jeśli pobrałeś i uruchomiłeś plik: odłącz komputer od sieci, z innego urządzenia zmień hasła do wszystkich ważnych kont (stealer kradnie też zapisane hasła i sesje), a komputer przeskanuj lub przeinstaluj system.
3. Jeśli strona została przejęta: skorzystaj z procedury odzyskiwania konta na facebook.com/hacked i zgłoś sprawę przez Meta Business Help Center. Zablokuj kartę podpiętą do konta reklamowego.
4. Zgłoś incydent do CERT Polska, a w razie strat finansowych – na policję.

Jak przygotowaliśmy ten tekst

Opisaliśmy wiadomość, którą otrzymaliśmy w październiku 2026 r. Domenę z adresu zwrotnego sprawdziliśmy w publicznym rejestrze domen .pl (RDAP NASK). Linku do „dowodów” nie otwieraliśmy. Opis kampanii pochodzi z publikacji CERT Polska, Niebezpiecznika, Huntress, Hackread i Group-IB, podanych niżej.