Oszustwa płatnicze w sklepie internetowym - jak rozpoznać podejrzane zamówienie

Reguły weryfikacji zamówień w sklepie i bramce płatniczej

Najskuteczniejsza ochrona przed oszustwami kartowymi działa jeszcze przed złożeniem zamówienia. W Unii Europejskiej płatności kartą w internecie co do zasady wymagają silnego uwierzytelnienia klienta zgodnie z dyrektywą PSD2, a w praktyce realizuje je protokół 3-D Secure, czyli dodatkowe potwierdzenie transakcji w aplikacji banku (stan na lipiec 2026). Od tej zasady są wyjątki, np. dla niskich kwot, dlatego warto sprawdzić, jak Twoja bramka stosuje 3-D Secure. Przy transakcjach uwierzytelnionych w ten sposób odpowiedzialność za oszustwo co do zasady przechodzi na bank wydawcy karty, choć szczegóły zależą od organizacji kartowej i umowy z operatorem.

Poza 3-D Secure warto ustawić kilka reguł po stronie sklepu i operatora płatności:

Część operatorów płatności oferuje własne narzędzia antyfraudowe i pozwala ustawiać reguły, np. blokować płatności kartami wydanymi w określonych krajach albo kierować do ręcznego przeglądu transakcje powyżej danej kwoty. Zakres tych funkcji zależy od operatora i planu, więc sprawdź dokumentację swojej bramki. Testowanie kart jest szczególnie groźne dla małych sklepów, bo setki nieudanych transakcji w krótkim czasie mogą skończyć się blokadą konta u operatora płatności, a wtedy sklep traci możliwość przyjmowania płatności także od uczciwych klientów.

Status „Do weryfikacji” w sklepie i systemie zamówień

Podejrzane zamówienie nie może trafić automatycznie do magazynu. W WooCommerce możesz przełączyć je na status wstrzymany, a w systemie zamówień, takim jak Base, utworzyć osobny status „Do weryfikacji” i regułę, która przenosi tam zamówienia spełniające określone warunki, np. powyżej ustalonej kwoty. Ważne, żeby z tego statusu nie dało się wydrukować etykiety ani nadać przesyłki, dopóki ktoś nie zatwierdzi zamówienia. Dobrze też ustalić, kto w zespole podejmuje decyzję i w jakim czasie, żeby uczciwy klient nie czekał na paczkę kilka dni.

Jak zweryfikować podejrzane zamówienie krok po kroku

Gdy zamówienie spełnia kryteria ryzyka, zespół powinien działać według tej samej procedury, a nie na wyczucie. Przykładowa ścieżka weryfikacji:

[#chart:wit53b]

Kontaktuj się z klientem przez dane, które nie pochodzą wyłącznie z podejrzanego zamówienia. Jeśli klient kupował wcześniej, użyj numeru telefonu z historii konta. Zadawaj proste pytania o zakup: do czego potrzebny jest produkt, czy adres dostawy jest właściwy, czy płatność była jego. Nie proś o przesłanie zdjęcia karty płatniczej ani dokumentu tożsamości - to dane, których sklep nie potrzebuje, a ich przechowywanie stwarza dodatkowe ryzyko i obowiązki wynikające z RODO. Jeśli zamówienie okaże się oszustwem, zwróć pieniądze na źródło płatności, nigdy na inne konto wskazane w wiadomości.

[#uwaga] Nie wysyłaj towaru na podstawie zrzutu ekranu przelewu ani maila z „potwierdzeniem płatności”. O tym, czy pieniądze dotarły, decyduje wyłącznie status płatności w panelu operatora lub saldo na rachunku bankowym. To samo dotyczy marketplace'ów: na Allegro status płatności widzisz w zamówieniu w panelu sprzedawcy, a wiadomości z linkiem do „potwierdzenia sprzedaży” lub „odbioru środków” to typowy phishing.

Oszustwa wobec sprzedawców na marketplace'ach

Na Allegro, Amazonie czy w Empik Place płatność przechodzi przez system platformy, więc sprzedawca nie przyjmuje danych kart i nie odpowiada za ich weryfikację. Ryzyko przesuwa się w inne miejsca: wiadomości od „kupujących” z linkiem do fałszywej strony płatności, prośby o kontakt i zapłatę poza platformą, przejęcie konta sprzedawcy przez phishing czy zgłoszenia, że paczka nie dotarła. Zasada jest prosta: cała transakcja i komunikacja zostają na platformie, a do panelu sprzedawcy logujesz się wyłącznie z zakładki w przeglądarce.

Chargeback - jak policzyć i ograniczyć obciążenia zwrotne

Chargeback, czyli obciążenie zwrotne, to cofnięcie transakcji kartowej na wniosek posiadacza karty, który zgłasza bankowi nieautoryzowaną płatność lub problem z zamówieniem. Sklep może odpowiedzieć na reklamację, przesyłając dowody: potwierdzenie nadania, numer śledzenia, potwierdzenie odbioru i korespondencję z klientem. Organizacje kartowe i operatorzy płatności monitorują odsetek obciążeń zwrotnych, a zbyt wysoki wskaźnik może prowadzić do dodatkowych opłat lub wypowiedzenia umowy (stan na lipiec 2026 - sprawdź warunki swojej umowy z operatorem). Warto więc liczyć go co miesiąc:

[#chart:wit53c]

Jeśli wskaźnik rośnie, przejrzyj zamówienia, których dotyczyły obciążenia: czy miały wspólne cechy, np. ten sam punkt odbioru, ten sam typ produktu albo podobne adresy e-mail. To najlepsze źródło nowych reguł weryfikacji. Przy każdej wysyłce zachowuj potwierdzenie nadania i odbioru, a przy droższych produktach rozważ dostawę za potwierdzeniem odbioru - bez takich dowodów trudno wygrać spór o „niedostarczoną” paczkę.

Nie każdy chargeback to oszustwo. Część z nich wynika z niejasnej nazwy sklepu na wyciągu bankowym, której klient nie rozpoznaje, albo z braku odpowiedzi na prośbę o zwrot. Sprawdź, jak Twoja firma wyświetla się w opisie transakcji kartowej, i odpowiadaj szybko na reklamacje - to tanie sposoby na zmniejszenie liczby sporów. Pomaga też czytelna polityka zwrotów na stronie i potwierdzenie zamówienia z nazwą sklepu, numerem zamówienia i danymi kontaktowymi - klient, który łatwo znajdzie kontakt do sprzedawcy, rzadziej idzie od razu do banku.

Jak Vinson pomaga chronić sklep przed oszustwami płatniczymi

Vinson to agencja e-commerce z Bochni działająca od 2021 r., autoryzowany partner Shoper i certyfikowany partner Base, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. W ramach wsparcia informatycznego dla firm i sklepów sprawdzamy konfigurację bramki płatniczej i 3-D Secure, wdrażamy ochronę antybotową i limity prób płatności na stronie zamówienia, ustawiamy statusy i reguły weryfikacji w sklepie lub w systemie zamówień oraz przygotowujemy dla zespołu prostą procedurę sprawdzania podejrzanych zamówień. Sprzedawcom marketplace'ów pomagamy rozpoznawać fałszywe wiadomości o płatnościach i zabezpieczamy konta sprzedawcy weryfikacją dwuetapową.

Najczęściej zadawane pytania

Jak rozpoznać oszukańcze zamówienie w sklepie internetowym?

Zwróć uwagę na kilka sygnałów jednocześnie: adres dostawy niezgodny z danymi płatnika, nietypowo wysoką wartość lub wiele sztuk tego samego drogiego produktu, kilka nieudanych prób płatności różnymi kartami i naciski na szybką wysyłkę. Jeden sygnał zwykle nic nie znaczy, ale trzy lub więcej to powód, by wstrzymać wysyłkę i zweryfikować klienta.

Kto ponosi stratę, gdy ktoś zapłaci w sklepie kradzioną kartą?

Zwykle sklep, bo prawowity właściciel karty odzyskuje pieniądze w ramach obciążenia zwrotnego, a towar jest już wysłany. Gdy transakcja została uwierzytelniona przez 3-D Secure, odpowiedzialność co do zasady przechodzi na bank wydawcy, ale szczegóły zależą od organizacji kartowej i umowy z operatorem płatności.

Czy mogę anulować zamówienie, które wydaje mi się podejrzane?

W praktyce sklepy anulują zamówienia, których nie udało się zweryfikować, i zwracają środki na źródło płatności, nigdy na inne konto wskazane przez kupującego. Warto, by regulamin sklepu przewidywał możliwość weryfikacji zamówień przed realizacją - konkretny zapis najlepiej skonsultować z prawnikiem.

Co to jest testowanie kart w sklepie internetowym?

To atak, w którym bot składa wiele drobnych zamówień lub prób płatności, sprawdzając, które numery kart z wykradzionej listy są aktywne. Sklep ponosi opłaty transakcyjne i ryzykuje blokadę konta u operatora płatności. Chronią przed nim CAPTCHA na stronie zamówienia, limity prób płatności i reguły w bramce.

Czy płatności BLIK są bezpieczniejsze dla sklepu?

Przy BLIK klient potwierdza każdą płatność w aplikacji swojego banku, więc nie ma tu klasycznego zakupu kradzionym numerem karty. Nie chroni to jednak przed przejętymi kontami klientów, fałszywymi potwierdzeniami płatności czy wyłudzeniem towaru, dlatego reguły weryfikacji zamówień nadal są potrzebne.

Jeśli w Twoim sklepie pojawiają się podejrzane zamówienia albo chcesz ustawić reguły weryfikacji, zanim przyjdzie pierwszy chargeback, skontaktuj się z nami w sprawie wsparcia IT. Jak rozpoznawać fałszywe wiadomości, które często towarzyszą takim oszustwom, opisujemy we wpisie phishing w sklepie internetowym - jak rozpoznać fałszywe maile i SMS-y, a skimmery kart ukryte na stronie zamówienia - w poradniku zainfekowany sklep internetowy - jak rozpoznać malware i oczyścić stronę.