Klony stron i phishing „na kasyno”: jak rozpoznać fałszywą stronę

Skąd wiesz, że strona z logo Total Casino, którą właśnie otwierasz, to naprawdę Total Casino, a nie jego klon? Fałszywa strona kasyna dziś wygląda niemal identycznie jak oryginał, więc krótka odpowiedź na pytanie, jak rozpoznać fałszywą stronę kasyna, brzmi: nie z wyglądu, tylko z adresu. Albo zgadza się on z wykazem Ministerstwa Finansów, albo nie ma tam czego szukać. Wśród osób, które zgłaszały problem z wypłatą lub zablokowaną płatnością, powtarzało się jedno zdanie: strona działała po polsku, więc wydawała się w porządku. To jednak za mało, żeby cokolwiek potwierdzić, a im dłużej trwa rejestracja czy wpłata, tym trudniej się później z tej strony wycofać.

Dlaczego wygląd strony niczego nie potwierdza?

Gry kasynowe online obejmuje w Polsce monopol państwa, a to oznacza, że legalnie prowadzi je tylko jeden podmiot (art. 5 ust. 1b ustawy o grach hazardowych). Tym podmiotem jest Total Casino, należące do Totalizatora Sportowego, z domeną totalcasino.pl wpisaną do wykazu „Legalny hazard” (wersja 103.0 z 24.08.2026 r.). Ten sam wykaz wymienia też domeny 17 bukmacherów, którzy mają w Polsce zezwolenie na zakłady wzajemne przez internet.

Wynika z tego prosta zasada: nazwa marki, kolory strony i polski język niczego nie dowodzą, dowodzi tylko zgodność adresu domeny z wykazem, kto ma w Polsce zezwolenie na gry hazardowe w internecie. Klon skopiuje logo w kilka minut. Adresu skopiować nie może, bo wtedy przestałby być klonem. Ten sam wniosek dotyczy bukmacherów: liczy się dokładna domena z wykazu, nie sama nazwa marki widoczna na stronie.

Czym są domeny klony i skąd się biorą?

Ministerstwo Finansów i Krajowa Administracja Skarbowa nazywają to zjawisko wprost: „nielegalne są również czynne strony internetowe z grami hazardowymi, które w swojej nazwie zawierają lub wykorzystują nazwę domeny wpisanej do Rejestru (tzw. domeny klony)”. Mechanizm jest prosty, choć nieoczywisty dla kogoś, kto trafia na taką stronę po raz pierwszy: gdy operator telekomunikacyjny zablokuje jedną domenę wpisaną do rejestru, ten sam serwis potrafi wystartować pod adresem z drobną zmianą: dodaną końcówką albo przestawionymi słowami.

Rejestr domen służących do oferowania gier hazardowych niezgodnie z ustawą, prowadzony przez Ministerstwo Finansów, liczył 17.09.2026 r. już 57 689 wpisanych adresów. Po wpisie operator telekomunikacyjny ma maksymalnie 48 godzin na zablokowanie dostępu z terytorium Polski (art. 15f ust. 5 u.g.h.), a w miejscu strony pojawia się komunikat resortu finansów. Pełny mechanizm, w tym co się dzieje z już wpłaconymi pieniędzmi, opisuje tekst o tym, jak działa rejestr domen zakazanych.

Czym różni się rejestr domen MF od listy ostrzeżeń CERT Polska?

W Polsce działają dwa oficjalne wykazy niebezpiecznych domen, a mylenie ich prowadzi do fałszywego poczucia bezpieczeństwa. Rejestr Ministerstwa Finansów dotyczy stron, które faktycznie oferują hazard bez zezwolenia. Strona działa, tylko nielegalnie. Lista ostrzeżeń CERT Polska, prowadzona przez CSIRT NASK na podstawie ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, obejmuje domeny, które „za podstawowy cel swojego działania mają wprowadzenie w błąd użytkowników internetu i doprowadzenie do wyłudzenia ich danych lub niekorzystnego rozporządzenia mieniem”, czyli domeny służące phishingowi, nie samemu hazardowi.

Z tego zestawienia płynie ostrzeżenie ważniejsze niż każdy pojedynczy wiersz: brak domeny w którymkolwiek z wykazów nie oznacza, że strona jest bezpieczna, oznacza tylko, że nikt jej jeszcze tam nie dopisał. Klon Total Casino może dziś nie figurować w żadnym z nich.

Jak można trafić na fałszywą stronę kasyna?

Najczęstszym kanałem pozostaje SMS udający wiadomość od znanej marki. Ustawa nazywa to smishingiem, czyli podszywaniem się pod inny podmiot w celu nakłonienia odbiorcy do przekazania danych albo otwarcia strony internetowej. Według raportu CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania takiej wiadomości. Czasu na spokojne sprawdzenie adresu zwykle więc nie zostaje wiele, jeśli nie zatrzymasz się świadomie.

Drugim kanałem są reklamy w mediach społecznościowych, które podszywają się pod markę Total Casino albo Totalizatora Sportowego i obiecują bonus za instalację aplikacji. Taki mechanizm potwierdził w listopadzie 2025 r. fact-checking serwisu Demagog. Trzecim bywa fałszywa strona stylizowana na sklep z aplikacjami, a czwartym są wyniki wyszukiwania, w których klon domeny pojawia się obok prawdziwej marki. W żadnym z tych przypadków pierwszy wynik wyszukiwarki ani wygląd reklamy niczego nie potwierdzają, a presja czasu w wiadomości jest samym w sobie sygnałem ostrzegawczym.

Jak rozpoznać fałszywą stronę kasyna krok po kroku?

Sześć kroków poniżej sprawdzisz w kilka minut, zanim podasz jakiekolwiek dane.

1. Adres znak po znaku. Porównaj go z wykazem Ministerstwa Finansów; osobny poradnik pokazuje krok po kroku, jak sprawdzić licencję kasyna krok po kroku. Symbol kłódki i „https” oznaczają tylko szyfrowane połączenie, nie legalność strony. To częsty mit, który warto od razu odrzucić.
2. Informacja o zezwoleniu na stronie. Operator z polskim zezwoleniem musi podać jego zakres, termin ważności i nazwę organu, który je wydał, a także informację o zakazie gry dla osób, które nie ukończyły 18 lat. Sama obecność takiej informacji niczego nie gwarantuje, bo klon potrafi ją skopiować; rozstrzyga zgodność adresu z wykazem, nie treść na stronie.
3. Sprawdzenie w rejestrze domen. Otwórz wyszukiwarkę na hazard.mf.gov.pl i wpisz dokładny adres strony, na której się właśnie znajdujesz.
4. Sprawdzenie na liście ostrzeżeń. Zablokowana domena z listy CERT Polska przekierowuje na stronę CSIRT NASK z informacją o możliwej próbie wyłudzenia danych.
5. Kwota i odbiorca w aplikacji banku. Przed potwierdzeniem płatności sprawdź w aplikacji, kto naprawdę jest odbiorcą i jaka kwota zostanie przelana. To, co widzisz na ekranie banku, bywa dokładniejsze niż to, co pokazuje strona. Kodu BLIK nikomu nie podaje się „na prośbę”: pracownik banku nigdy o niego nie poprosi.
6. Presja czasu i obietnica bonusu. Bonus za natychmiastową rejestrację albo instalację aplikacji, połączony z presją „oferta wygasa za chwilę”, to wzorzec typowy dla oszustw, nie dla legalnego operatora.

Więcej o tym, co dzieje się z płatnością po stronie banku, opisuje tekst o tym, co dzieje się z płatnością BLIK po wpisie domeny do rejestru.

Co grozi, jeśli zagrasz lub zapłacisz na klonie?

Jeśli klon oferuje nielegalny hazard, sam udział w takiej grze jest zakazany (art. 29a ust. 2 u.g.h.), a Ministerstwo Finansów wprost wskazuje, że gracz traci „ochronę i gwarancję wypłaty wygranych”. Po wpisaniu domeny do rejestru dostawcy płatności mają maksymalnie 30 dni na zaprzestanie obsługi przelewów na jej rzecz (art. 15g u.g.h.), a wpłacone tam pieniądze zostają u podmiotu poza polskim nadzorem. W praktyce oznacza to, że nikt w Polsce nie odpowiada za wypłatę wygranej, bo podmiot działający bez zezwolenia formalnie nie podlega tu żadnemu nadzorowi. To, co dzieje się z operatorem, który w ogóle nie zamierzał wypłacać wygranej, opisuje osobny tekst o tym, jak rozpoznać fałszywe kasyno online.

Co zrobić po podaniu danych albo dokonaniu wpłaty?

Kolejność ma znaczenie, a pierwszy krok prowadzi zawsze do banku: zastrzeżenie karty albo dostępu do konta ogranicza dalsze straty szybciej niż jakiekolwiek zgłoszenie. Numer PESEL zastrzeżesz bezpłatnie w aplikacji mObywatel albo w dowolnym urzędzie gminy, a jeśli skan dowodu osobistego trafił na fałszywą stronę, warto od razu wyrobić nowy dokument. Hasła powtarzane na kilku stronach zmień wszędzie, nie tylko w miejscu wycieku. Im szybciej te trzy kroki wykonasz, tym mniejsze jest ryzyko, że ktoś zdąży dane wykorzystać.

Samą domenę zgłosisz przez formularz na incydent.cert.pl, a podejrzaną wiadomość SMS przekażesz pod bezpłatny numer 8080. Utratę pieniędzy albo danych można zgłosić też na policji albo w prokuraturze, w dowolnej jednostce, bezpłatnie, nawet pisemnie. Zgłoszenie do CERT Polska nie zwraca utraconych pieniędzy, ma inny cel: chroni kolejnych użytkowników, którzy dopiero mogliby trafić na tę samą domenę.

Co naprawdę sprawdzają CERT, Ministerstwo Finansów i bank?

Ministerstwo Finansów prowadzi rejestr nielegalnych domen hazardowych i wykaz legalnych podmiotów, ale nie prowadzi postępowań w sprawach phishingu i nie zwraca utraconych pieniędzy. CSIRT NASK prowadzi listę ostrzeżeń i przyjmuje zgłoszenia, jednak blokowanie domen z tej listy jest dla operatorów telekomunikacyjnych dobrowolne, więc nie każda sieć musi je stosować równie szybko. Bank blokuje kartę i dostęp do konta, a to, czy sporna transakcja zostanie zwrócona, zależy od okoliczności konkretnego przypadku i ustala się to bezpośrednio z bankiem, nie przez zgłoszenie do CERT. Żadna z tych trzech instytucji nie zajmuje się więc całą sprawą od początku do końca, dlatego zgłoszenie zwykle trzeba złożyć w kilku miejscach naraz, nie tylko w jednym.

Fałszywa strona kasyna zwykle nie znika na dobre wraz z jedną blokadą. Zablokowanie domeny nie jest ochroną gracza, tylko zamknięciem jednego dopływu do niej: nowa domena z tą samą treścią potrafi pojawić się już następnego dnia, często pod niemal identycznym adresem. Ten tekst nie zastąpi porady prawnej ani rozmowy z bankiem, pokazuje tylko, gdzie sprawdzać i komu zgłaszać, zanim padnie pytanie o odpowiedzialność. Jeśli czytasz to dlatego, że gra przestała być wyborem, telefon zaufania Krajowego Centrum Przeciwdziałania Uzależnieniom (KCPU) dla osób z zaburzeniami hazardowymi działa pod numerem 801 889 880, koszt połączenia zgodny z taryfą operatora. Ogólny obraz bezpieczeństwa w kasynie online znajdziesz w osobnym artykule.

Najczęściej zadawane pytania

Źródła

• Ustawa z dnia 19 listopada 2009 r. o grach hazardowych, t.j. Dz.U. 2025 poz. 595, isap.sejm.gov.pl: art. 5, 15f, 15g, 15i, 27, 29a (dostęp 18.09.2026 r.)
• Ministerstwo Finansów, Legalny hazard, wykaz w wersji 103.0 z 24.08.2026 r., gov.pl/web/finanse (dostęp 24.08.2026 r.)
• Ministerstwo Finansów, Rejestr domen służących do oferowania gier hazardowych niezgodnie z ustawą, stan na 17.09.2026 r., hazard.mf.gov.pl
• Ministerstwo Finansów / KAS, ostrzeżenie przed nielegalnymi grami hazardowymi w internecie, 19.07.2021 r., gov.pl/web/kas (dostęp 22.09.2026 r.)
• Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, t.j. Dz.U. 2024 poz. 1803, isap.sejm.gov.pl: art. 2 pkt 6, art. 3 ust. 1 pkt 2, art. 20 (dostęp 22.09.2026 r.)
• CERT Polska, Lista Ostrzeżeń przed niebezpiecznymi stronami, cert.pl (dostęp 22.09.2026 r.)
• CERT Polska / NASK-PIB, Raport roczny 2025. Krajobraz bezpieczeństwa polskiego internetu, cert.pl (dostęp 22.09.2026 r.)
• CERT Polska, zgłoszenie incydentu, incydent.cert.pl (dostęp 22.09.2026 r.)
• gov.pl, Zastrzeż swój numer PESEL lub cofnij zastrzeżenie, akt. 29.10.2024 r., gov.pl/web/gov (dostęp 22.09.2026 r.)
• gov.pl, Zgłoś przestępstwo, akt. 10.04.2026 r., gov.pl/web/gov (dostęp 22.09.2026 r.)
• BLIK / Polski Standard Płatności, Wiem, za co płacę – czyli jak chronić się przed oszustwami w internecie, 22.08.2025 r., blik.com (dostęp 22.09.2026 r.)
• Demagog, Scam z hazardem w tle. To nie jest legalne kasyno, 14.11.2025 r., demagog.org.pl (dostęp 22.09.2026 r.)
• Krajowe Centrum Przeciwdziałania Uzależnieniom (KCPU), kcpu.gov.pl (dostęp 18.09.2026 r.)