Rafał Brzoska i zespół ScamWatch ujawnili nowe ustalenia dotyczące zaplecza technologicznego oszukańczych reklam wyświetlanych Polakom na Facebooku i Instagramie. Trop prowadzi do AIO Software, firmy formalnie zarejestrowanej w Dubaju, którą analitycy łączą z działalnością w rosyjskim Sankt Petersburgu. W ofercie przedsiębiorstwa znajdują się narzędzia pozwalające filtrować ruch, ukrywać zawartość stron przed automatycznymi systemami kontroli i zmieniać wykorzystywane domeny. Co więcej, ślady technologii AIO znaleziono na stronach powiązanych z kampaniami oszustów, a sam dostawca figuruje na oficjalnej liście certyfikowanych trackerów Google. Sprawdziliśmy, co rzeczywiście wiadomo o firmie, jej rozwiązaniach oraz powiązaniach z największymi platformami reklamowymi.

23 października 2026 roku Rafał Brzoska opublikował wpis dotyczący ustaleń zespołu zaangażowanego w inicjatywę „150% Stop Scam”. Tego samego dnia temat trafił na posiedzenie parlamentarnego zespołu zajmującego się oszukańczymi reklamami, oszustwami internetowymi oraz wykorzystywaniem technologii deepfake. Tym razem uwaga nie koncentrowała się jednak na kolejnej fałszywej inwestycji, spreparowanym wywiadzie z celebrytą czy reklamie wykorzystującej cudzy wizerunek. Badacze postanowili przyjrzeć się infrastrukturze, dzięki której takie kampanie można tworzyć, obsługiwać i rozpowszechniać na dużą skalę.

Dotychczasowa walka z oszukańczymi reklamami przypominała bowiem niekończące się usuwanie skutków problemu. Platforma blokowała reklamę, po czym pojawiała się następna, często prowadząca do identycznej strony pod innym adresem. Znikało jedno konto reklamowe, ale jego miejsce zajmowały kolejne. Zmieniały się zdjęcia, nazwiska, domeny i firmy widniejące jako reklamodawcy, natomiast cały schemat pozostawał niemal niezmieniony. Zespół Brzoski postanowił więc sprawdzić, czy za pozornie niezależnymi kampaniami nie stoi wspólne zaplecze technologiczne. Właśnie w ten sposób badacze trafili na AIO Software.

AIO Software. Firma z Dubaju, której rosyjski ślad prowadzi do Petersburga

AIO Software nie jest anonimową stroną internetową działającą bez podstawowych danych przedsiębiorstwa. W oficjalnym regulaminie usług wskazano podmiot AIO SOFTWARE – FZCO, zarejestrowany 24 października 2023 roku w Dubaju, pod numerem DSO-FZCO-34542. Firma oferuje oprogramowanie typu SaaS przeznaczone do zarządzania kampaniami reklamowymi, analizowania ruchu internetowego, obsługi formularzy, mierzenia konwersji i organizowania pracy zespołów marketingowych. Już sama ta działalność nie jest niczym podejrzanym. Podobne rozwiązania wykorzystują tysiące legalnie działających przedsiębiorstw zajmujących się marketingiem internetowym, afiliacją i handlem elektronicznym.

Znacznie ciekawsze są jednak ustalenia dotyczące rzeczywistego zaplecza firmy. Według analizy OSINT przedstawionej przez zespół ScamWatch oraz informacji opublikowanych przez XYZ, AIO Software ma powiązania operacyjne z AIO Tech w Sankt Petersburgu. Badacze odnaleźli ogłoszenia rekrutacyjne wskazujące na rosyjską lokalizację, w tym adres przy Aptekarskim Prospekcie 16D. W materiałach dotyczących działalności przedsiębiorstwa pojawia się również Valeriy Zakharov, przedstawiany jako współzałożyciel, a w ofertach zatrudnienia przewija się możliwość otrzymywania wynagrodzenia w USDT, czyli stablecoinie powiązanym z dolarem amerykańskim.

Te ustalenia nie oznaczają jeszcze, że każda kampania obsługiwana przez AIO jest rosyjską operacją albo że wykorzystywanie USDT samo w sobie świadczy o przestępstwie. Są jednak istotne z perspektywy identyfikowania osób i podmiotów stojących za oprogramowaniem. Formalna rejestracja spółki w Zjednoczonych Emiratach Arabskich nie wyklucza przecież prowadzenia działalności operacyjnej w innym państwie. Jednocześnie dostępne materiały nie pozwalają jeszcze jednoznacznie ustalić pełnej struktury własnościowej przedsiębiorstwa ani wszystkich jego beneficjentów rzeczywistych.

Cloaking. Moderator widzi jedno, użytkownik może zobaczyć coś zupełnie innego

Najważniejszym elementem całej sprawy jest technologia określana jako cloaking. W uproszczeniu polega ona na prezentowaniu różnych treści w zależności od tego, kto odwiedza konkretną stronę internetową. Narzędzie może analizować adres IP, rodzaj urządzenia, lokalizację, język przeglądarki, parametry połączenia i inne cechy odwiedzającego, aby zdecydować, jaka zawartość zostanie mu wyświetlona.

Dla legalnego marketingu filtrowanie ruchu nie musi oznaczać niczego nieprawidłowego. Pozwala chociażby ograniczać wizyty botów, obsługiwać różne wersje językowe stron lub kierować użytkowników do odpowiedniej oferty. Problem zaczyna się wtedy, gdy te same mechanizmy zostają wykorzystane do oszukania systemów kontroli reklam. Automat analizujący stronę może zobaczyć neutralną witrynę, podczas gdy zwykły internauta klikający reklamę trafi do spreparowanego artykułu, fałszywej platformy inwestycyjnej lub formularza służącego do wyłudzania danych osobowych.

To właśnie ten mechanizm sprawia, że klasyczna moderacja reklam bywa niewystarczająca. Sam materiał reklamowy może nie zawierać jednoznacznie zakazanych treści, a strona sprawdzana przez automatyczny system może prezentować zupełnie inny komunikat niż ten, który zobaczy potencjalna ofiara. Oszuści mogą dzięki temu próbować przechodzić weryfikację, a następnie przekierowywać rzeczywistych użytkowników do właściwej części oszukańczego schematu.

Co istotne, AIO nie ukrywa, że oferuje rozwiązania tego rodzaju. W publicznie dostępnej dokumentacji produktu opisano między innymi „AIO Cloak” oraz bardziej zaawansowany „AIO Filter Service”. Pierwszy mechanizm odpowiada między innymi za filtrowanie botów, robotów indeksujących oraz ruchu na podstawie określonych reguł. Drugi producent rekomenduje jako bardziej zaawansowane rozwiązanie, również do kampanii prowadzonych za pośrednictwem Facebooka. Dokumentacja wprost odnosi się także do źródeł ruchu szczególnie wrażliwych na automatyczną kontrolę i moderację.

Nie jest to jeszcze dowód, że dostawca stworzył narzędzie specjalnie dla oszustów lub świadomie pomagał konkretnym grupom przestępczym. Sama obecność funkcji filtrowania również nie przesądza o jej niewłaściwym wykorzystaniu. Udokumentowane możliwości produktu pokazują jednak, dlaczego oprogramowanie tego rodzaju może być atrakcyjne dla osób próbujących ukrywać rzeczywiste przeznaczenie reklamowanych stron.

Zablokowana domena? AIO opisuje mechanizm jej zastępowania

Kolejną funkcją, na którą warto zwrócić uwagę, jest zarządzanie domenami internetowymi. W dokumentacji AIO dotyczącej kampanii na Facebooku znajduje się opis mechanizmu pozwalającego zmienić domenę wykorzystywaną w procesie przekierowania użytkownika. Producent wskazuje również możliwość zastąpienia zablokowanego adresu innym bez konieczności ponownego uruchamiania całej kampanii reklamowej.

Z perspektywy zwykłego reklamodawcy zarządzanie domenami może być przydatną funkcją techniczną. Z perspektywy walki z oszustwami ma jednak również drugie oblicze. Jednym z podstawowych sposobów reagowania na nieuczciwe strony jest blokowanie wykorzystywanych przez nie adresów internetowych. Jeżeli operator dysponuje dużą liczbą domen i może sprawnie podmieniać wykorzystywaną infrastrukturę, samo zablokowanie jednej strony nie musi zakończyć prowadzonej kampanii.

Właśnie dlatego najważniejszym wnioskiem z analizy zespołu Brzoski jest zmiana podejścia do problemu. Jeśli różne oszukańcze kampanie wykorzystują wspólne elementy technologiczne, znacznie skuteczniejsze może okazać się ustalenie operatorów całej infrastruktury niż nieustanne zgłaszanie pojedynczych reklam. Wymaga to jednak zebrania dowodów pozwalających oddzielić dostawcę uniwersalnego oprogramowania od podmiotów, które wykorzystują je do popełniania przestępstw.

Na oszukańczej stronie znaleziono ślad AIO. Co to właściwie oznacza?

Według Rafała Brzoski zespół ScamWatch odnalazł element śledzący powiązany z AIO na stronie docelowej jednej z reklam emitowanych za pośrednictwem infrastruktury Mety. W praktyce oznacza to wykrycie technicznego śladu wskazującego na korzystanie z narzędzi tego dostawcy. Taki fragment kodu może uczestniczyć w analizowaniu wizyt, obsłudze formularzy, rejestrowaniu zdarzeń lub przekazywaniu informacji o skuteczności kampanii.

Odkrycie jest ważne, ponieważ łączy analizowaną stronę z konkretną technologią i pozwala badać jej dalsze zależności. Nie wystarcza jednak do stwierdzenia, że sam producent oprogramowania zorganizował oszustwo. Wykrycie skryptu AIO nie dowodzi także automatycznie, że dane użytkowników trafiły do Rosji, ani nawet że na tej konkretnej stronie wykorzystywano mechanizm cloakingu do ukrywania oszustwa.

Aby wyciągnąć dalej idące wnioski, konieczne byłoby ustalenie między innymi tego, kto zarządzał kampanią, jakie funkcje były faktycznie aktywne, dokąd przesyłano dane z formularzy, gdzie znajdowały się wykorzystywane serwery i kto miał dostęp do zgromadzonych informacji. Oprogramowanie marketingowe może korzystać zarówno z infrastruktury dostawcy, jak i z usług serwerowych skonfigurowanych przez jego klientów. Sama nazwa technologii odnaleziona w kodzie strony nie pozwala więc odtworzyć całego łańcucha przepływu danych.

W tym miejscu pojawia się najważniejsza różnica pomiędzy udokumentowanym tropem a ostatecznym ustaleniem odpowiedzialności. Wskazanie wspólnego narzędzia stanowi podstawę do dalszego badania sprawy, lecz nie zastępuje dowodów świadomego udziału jego producenta w działalności przestępczej.

To nie pierwszy raz. Ślady AIO znaleziono również przy oszustwie w Japonii

Polskie ustalenia nie są jedynym przypadkiem, w którym technologia AIO pojawia się w kontekście podejrzanych kampanii internetowych. W maju 2026 roku na japońskiej platformie technologicznej Qiita opublikowano szczegółową analizę oszukańczej reklamy emitowanej na TikToku. Kampania wykorzystywała zmanipulowane nagranie przedstawiające japońską premier Sanae Takaichi i prowadziła do strony podszywającej się pod publicznego nadawcę NHK.

Celem oszustwa było nakłonienie użytkowników do zainteresowania się rzekomym systemem inwestycyjnym PolarisAI oraz pozostawienia danych kontaktowych, w tym imienia, nazwiska, numeru telefonu i adresu e-mail. Analityk badający kampanię odtworzył mechanizmy działania strony i zidentyfikował elementy charakterystyczne dla infrastruktury AIO. Ustalił również, że strona potrafiła prezentować różną zawartość zależnie od sposobu odwiedzin. Inne treści otrzymywał użytkownik przechodzący z reklamy, inne osoba powracająca, a jeszcze inaczej mogła zachowywać się witryna podczas niezależnego badania.

Szczególnie istotne jest to, że autor japońskiej analizy nie stwierdził, aby operator AIO był organizatorem opisanego oszustwa. Wskazał techniczne ślady wykorzystania tej platformy oraz prawdopodobny sposób obsługi formularzy, lecz nie ustalił ostatecznie tożsamości przestępców ani udziału producenta oprogramowania. Mimo tego przypadek pokazuje, że podobne rozwiązania mogą pojawiać się w oszukańczych kampaniach prowadzonych na różnych platformach i wymierzonych w odbiorców z różnych państw.

Pojawia się przy tym dodatkowy problem. Cyberprzestępcy nie muszą budować własnej zaawansowanej infrastruktury od podstaw. Mogą korzystać z gotowych narzędzi do śledzenia ruchu, tworzenia formularzy i zarządzania kampaniami. Dzięki temu uruchomienie kolejnej fałszywej strony czy kampanii wykorzystującej deepfake staje się znacznie prostsze niż jeszcze kilka lat temu.

Meta. Gigant reklamowy, który o cloakingu wie od lat

W sprawie trudno pominąć rolę Mety, właściciela Facebooka i Instagrama. To właśnie systemy reklamowe tych platform stanowią jeden z najważniejszych kanałów docierania oszustów do potencjalnych ofiar. Zespół Brzoski pyta między innymi, czy Meta badała działalność infrastruktury wskazanej w raporcie, weryfikowała jej zastosowanie w podejrzanych kampaniach oraz sprawdzała podmioty finansujące takie reklamy.

Interesująca jest również kwestia deklarowanej przez AIO integracji ze środowiskiem deweloperskim Mety. Według opublikowanych informacji dostawca powołuje się na status zweryfikowanej aplikacji. Trzeba jednak pamiętać, że techniczna integracja z interfejsem API, dopuszczenie aplikacji do określonych funkcji czy jej weryfikacja nie oznaczają zatwierdzenia każdej kampanii prowadzonej przez klientów danego dostawcy. Sam deklarowany status aplikacji wymaga ponadto niezależnego potwierdzenia przez Metę.

Co ciekawe, problem cloakingu jest koncernowi znany od wielu lat. Już w kwietniu 2020 roku Facebook publicznie informował o pozwie przeciwko operatorowi usługi LeadCloak, którego oskarżał o dostarczanie oprogramowania mającego obchodzić automatyczną kontrolę reklam. Tamta sprawa nie ma udowodnionego związku z AIO, ale pokazuje, że Meta zna zagrożenia wynikające z takich mechanizmów i wcześniej podejmowała działania wobec innych dostawców podobnych narzędzi.

Spółka Marka Zuckerberga przedstawia jednocześnie własne dane dotyczące skuteczności walki z nieuczciwymi reklamami. We wrześniu 2026 roku poinformowała, że od lipca 2025 do czerwca 2026 roku usunęła w Polsce 137 tysięcy oszukańczych reklam, z czego ponad 88 procent przed zgłoszeniem ich przez użytkowników. Meta kwestionuje zarzuty, jakoby świadomie przymykała oko na oszustwa, oraz podważa część metodologii stosowanej przez krytyków jej systemów reklamowych.

Nie sposób automatycznie odrzucić tych danych, ale równie trudno traktować liczbę usuniętych reklam jako wystarczający miernik bezpieczeństwa. Aby ocenić skuteczność systemu, trzeba byłoby wiedzieć również, ile nieuczciwych kampanii zdołało przejść weryfikację, jak długo pozostawały aktywne i ilu użytkowników zobaczyło je przed zablokowaniem. Właśnie te pytania pozostają kluczowe dla rzeczywistej oceny skali problemu.

Google również na liście. AIO figuruje w oficjalnym wykazie certyfikowanych trackerów

Kolejne ustalenie dotyczy Google. W oficjalnym wykazie certyfikowanych dostawców narzędzi do śledzenia kliknięć w systemie Google Ads rzeczywiście figuruje AIO SOFTWARE – FZCO. Wpis obejmuje trzy domeny: aiotrack.org, ai-track.net oraz ai-trk.com.

Nie jest to wyłącznie deklaracja samego dostawcy. Informacja znajduje się w dokumentacji Google, dostępnej publicznie dla reklamodawców. Oznacza to, że określone domeny AIO uzyskały certyfikację do obsługi śledzenia kliknięć reklamowych w ramach zasad tej platformy.

Jednocześnie trzeba wyraźnie rozróżnić dwie rzeczy. Certyfikacja trackera nie jest certyfikatem uczciwości wszystkich reklamodawców korzystających z tego rozwiązania. Nie oznacza również, że Google zatwierdziło wykorzystanie oprogramowania do oszustw lub że ma z nimi jakikolwiek świadomy związek. Potwierdza natomiast, że dostawca wskazywany w raporcie ScamWatch funkcjonuje także w ekosystemie technologicznym innego globalnego giganta reklamowego.

Pojawia się więc pytanie o mechanizmy kontroli. W jaki sposób platformy analizują dostawców narzędzi wykorzystywanych przez reklamodawców? Czy wykrycie wielokrotnego zastosowania konkretnej technologii na podejrzanych stronach powinno skutkować dodatkową kontrolą? Czy wystarczające jest blokowanie poszczególnych reklam, jeżeli organizatorzy kolejnych kampanii wciąż korzystają z podobnego zaplecza?

Rosyjski ślad to poważny trop, ale nie dowód operacji rosyjskich służb

Informacje dotyczące powiązań operacyjnych z Rosją niewątpliwie zwiększają znaczenie całej sprawy. Mówimy bowiem o rozwiązaniu służącym do obsługi reklam, analizowania ruchu, a potencjalnie również przetwarzania danych pozostawianych przez użytkowników na stronach internetowych. Jeśli technologia ta jest wykorzystywana przez organizatorów oszustw, zasadne stają się pytania o bezpieczeństwo informacji i kontrolę nad infrastrukturą.

Nie można jednak na podstawie dotychczasowych ustaleń przesądzać, że dane polskich internautów trafiają do rosyjskich podmiotów, że wszystkie powiązane reklamy są zarządzane z Petersburga albo że za procederem stoją rosyjskie służby. Tego rodzaju wnioski wymagałyby odrębnych dowodów. Nie ma również podstaw, by każdą firmę prowadzącą działalność z Rosji automatycznie uznawać za podmiot uczestniczący w oszustwach.

Rzetelna analiza wymaga rozdzielenia kilku poziomów odpowiedzialności. Czym innym jest dostarczenie oprogramowania wykorzystywanego przez klienta, czym innym świadome oferowanie usług umożliwiających obchodzenie zasad platformy, a jeszcze czym innym bezpośrednie uczestniczenie w organizowaniu oszustw i wyłudzaniu pieniędzy. W opisanej sprawie pojawiły się przesłanki uzasadniające dalsze badanie tych zależności, ale publicznie dostępny materiał nie pozwala jeszcze postawić znaku równości pomiędzy tymi działaniami.

Prawdziwy problem zaczyna się przed kliknięciem reklamy

Historia opisana przez Brzoskę doskonale pokazuje, dlaczego współczesne oszustwa internetowe trudno zwalczać jedynie za pomocą ostrzeżeń kierowanych do użytkowników. Oszuści dysponują profesjonalnymi systemami reklamowymi, narzędziami analitycznymi, automatyzacją i możliwością szybkiego odtwarzania zablokowanych kampanii. Dzięki sztucznej inteligencji mogą dodatkowo masowo produkować spreparowane materiały, w tym reklamy wykorzystujące wizerunki znanych osób, fałszywe wypowiedzi ekspertów i podrobione serwisy informacyjne.

Nie oznacza to, że użytkownicy pozostają bezbronni. Reklama obiecująca gwarantowany zysk, wykorzystująca sensacyjny nagłówek lub powołująca się na rzekome inwestycje polityków, przedsiębiorców czy celebrytów powinna budzić szczególną ostrożność. Warto sprawdzić rzeczywisty adres strony, zweryfikować podmiot oferujący inwestycję i nie przekazywać danych osobowych na podstawie informacji znalezionych wyłącznie w reklamie. Jeśli doszło już do wpłaty pieniędzy, należy niezwłocznie skontaktować się z bankiem, zgłosić sprawę Policji i zabezpieczyć dowody. Podejrzane strony można zgłaszać również do CERT Polska.

Nie można jednak całej odpowiedzialności przerzucać na osoby korzystające z internetu. Nawet ostrożny użytkownik może zostać wprowadzony w błąd przez profesjonalnie przygotowaną witrynę podszywającą się pod znane medium lub instytucję. Platformy reklamowe pobierają wynagrodzenie za dystrybucję reklam i dysponują zaawansowanymi narzędziami analizy ruchu. Oczekiwanie skutecznej weryfikacji reklamodawców oraz reagowania na udokumentowane oszustwa jest więc uzasadnione, niezależnie od sporu o szerszą regulację treści internetowych.

W ramach inicjatywy „150% Stop Scam” postulowane są między innymi bardziej rygorystyczna identyfikacja podmiotów opłacających reklamy oraz mechanizm odpowiedzialności finansowej platform za zarabianie na oszukańczych kampaniach. Sama zasada 150 procent jest propozycją zmian, a nie obowiązującym powszechnie mechanizmem prawnym. Dyskusja na temat jej wdrożenia powinna uwzględniać skuteczność, proporcjonalność i możliwość niezależnej kontroli decyzji, ale również realne koszty ponoszone przez ofiary oszustw.

Nie wystarczy blokować reklam. Trzeba ustalić, kto buduje zaplecze oszustów

Ustalenia zespołu Rafała Brzoski otwierają nowy etap dyskusji o bezpieczeństwie reklam internetowych. Zamiast koncentrować się wyłącznie na kolejnych fałszywych artykułach i pojedynczych kontach reklamowych, badacze zwrócili uwagę na technologie, z których mogą korzystać operatorzy wielu kampanii jednocześnie. Analiza AIO Software pokazuje, że za reklamą widoczną przez kilka godzin może kryć się wielowarstwowa infrastruktura obejmująca oprogramowanie analityczne, filtrowanie ruchu, obsługę domen, formularze i systemy reklamowe największych platform.

Dotychczasowe dowody nie wystarczają, aby uznać AIO Software lub AIO Tech za organizatorów ujawnionych oszustw. Wystarczają jednak, by zadać konkretne pytania o wykorzystywanie ich narzędzi, powiązania operacyjne z Rosją i procedury kontroli stosowane przez Meta oraz Google. Wyjaśnienia wymaga zwłaszcza to, kto faktycznie obsługiwał wskazane kampanie, czy stosowano mechanizmy ukrywania nieuczciwych stron przed moderacją oraz gdzie trafiały dane pozyskiwane od użytkowników.

Ostatecznie najważniejsze pytanie nie brzmi, ile kolejnych oszukańczych reklam uda się usunąć z Facebooka. Brzmi: dlaczego profesjonalnie zorganizowane kampanie wyłudzające pieniądze wciąż potrafią korzystać z infrastruktury internetowego rynku reklamowego i kto ponosi odpowiedzialność za umożliwianie im działania?

Dopóki odpowiedź na to pytanie nie będzie miała konkretnych konsekwencji, blokowanie kolejnych domen pozostanie walką ze skutkami, a nie z przyczyną problemu.