Gracz z Hamburga dostał maila “od” kasyna z adresem w stopce, który wyglądał jak każdy inny. Kliknął, zalogował się, wpisał dane karty. Trzy dni później na koncie brakowało 8 400 euro, a operator twierdził, że nic nie wysłał. Prosta historia, prawdziwa luka: domena kasyna nie miała rekordu DMARC z polityką odrzucania, więc każdy mógł podszyć się pod nadawcę. To nie jest anegdota o pechu jednego użytkownika. To zapis zaniedbania, które kosztowało operatora licencję Malta Gaming Authority i otworzyło drogę do roszczeń zbiorowych.

W tym case study rozbieramy na części atak phishingowy na kasyno bez polskiej licencji, chronologię zdarzeń i to, co poszło nie tak po stronie technicznej. Bo DMARC to nie dodatek do infrastruktury mailowej, tylko element higieny, który reguluje, kto może wysyłać wiadomości w imieniu domeny, i raportuje próby nadużycia. Gdy go brakuje, SPF i DKIM działają w próżni: serwer odbiorcy nie ma instrukcji, co zrobić z wiadomością, która nie przeszła weryfikacji. Efekt? Fałszywe maile trafiają do skrzynek graczy, a operator dowiaduje się o problemie dopiero z reklamacji.

Dla osób korzystających z kasyna bez weryfikacji to szczególnie istotne. Brak pełnej weryfikacji KYC przy rejestracji oznacza, że konto opiera się głównie na adresie e-mail i haśle. Przejęcie skrzynki albo przekonanie użytkownika do wpisania danych na fałszywej stronie wystarczy, by dostać się do środków. Poniżej pokazujemy, jak przebiegał atak, jakie były konsekwencje prawne i jak w 2026 roku rozpoznać fałszywy mail oraz operatora, który nie panuje nad własną domeną.

Czym jest DMARC i dlaczego polityka uwierzytelniania e-maili jest kluczowa dla kasyn online

DMARC (Domain-based Message Authentication, Reporting and Conformance) to polityka, która mówi serwerom pocztowym, co zrobić z wiadomością podszywającą się pod daną domenę. Nie działa w pojedynkę. Opiera się na dwóch filarach: SPF, który listuje serwery IP uprawnione do wysyłki w imieniu domeny, oraz DKIM, czyli podpisie kryptograficznym dodawanym do nagłówka każdego maila. DMARC spina to w jedną decyzję: none, quarantine albo reject. Trzeci element to raportowanie. Operator domeny dostaje od dostawców poczty (Gmail, Outlook, Yahoo) raporty zbiorcze i forensic o tym, kto i skąd próbował wysyłać maile z jego domeny.

Dla kasyna online to nie jest techniczny drobiazg. Gracz dostaje maila “Potwierdź wypłatę środków” albo “Zweryfikuj konto, inaczej zablokujemy depozyt”. Jeśli domena nadawcy przechodzi SPF i DKIM, klient nie ma żadnego sygnału, że coś jest nie tak. W kasynach bez weryfikacji KYC zaufanie do komunikatu mailowego jest jeszcze większe, bo gracz od początku działa w trybie “mniej formalności, mniej sprawdzania”.

Trzy rekordy, które decydują o reputacji domeny

• SPF: rekord TXT w DNS z listą adresów IP i mechanizmów (include, ip4, mx). Limit to 10 odwołań DNS, powyżej rekord jest ignorowany przez wielu dostawców. Typowy błąd: marketing wysyła przez zewnętrzną platformę, której nie ma w SPF.
• DKIM: klucz publiczny w DNS pod selektorem, np. selector1._domainkey.kasyno.pl. Podpis obejmuje wybrane nagłówki i treść. Jeśli kasyno rotuje klucze bez aktualizacji DNS, podpisy przestają się walidować.
• DMARC: rekord _dmarc w DNS z parametrami p, sp, rua, ruf, pct, adkim, aspf. Polityka p=reject przy braku alignment z SPF lub DKIM oznacza odrzucenie wiadomości na poziomie serwera odbiorcy.

Statystyka, która powinna niepokoić: według danych branżowych z 2024 i 2025 roku od 60 do 80 procent domen phishingowych korzysta z domen, które nie mają żadnej polityki DMARC lub mają ją w trybie p=none. Tryb monitorowania nie chroni nikogo. Daje tylko raporty, których nikt nie czyta.

Kasyno bez polskiej licencji działa w szczególnej sytuacji prawnej. Ministerstwo Finansów prowadzi Rejestr Domen Zakazanych i blokuje strony hazardowe wpisane na listę. Operator offshore z licencją Curacao czy Malta Gaming Authority nie ma więc luksusu polegać na komunikacji przez stronę WWW, bo ta bywa blokowana DNS-em. E-mail staje się podstawowym kanałem kontaktu z graczem. I właśnie dlatego brak DMARC w takim modelu to nie luka w konfiguracji, a otwarte drzwi.

Dodatkowy wymiar: AML. Regulacje dotyczące prania pieniędzy nakładają na operatorów obowiązek bezpiecznej komunikacji z klientem w sprawach transakcji. Fałszywy mail o wypłacie środków, wysłany z prawdziwej domeny kasyna, jest jednocześnie problemem bezpieczeństwa i problemem compliance. Regulatorzy patrzą na to coraz uważniej, a MGA w swoich audytach od 2023 roku pyta wprost o politykę uwierzytelniania poczty.

Przebieg ataku phishingowego na kasyno bez polskiej licencji – chronologia zdarzeń

Chronologia zdarzeń: od pierwszego testu do wypłaty na konto przestępców

Operator z licencją Malta Gaming Authority, przyjmujący graczy z Polski bez polskiej licencji, uruchomił domenę transakcyjną w lutym. Rekord SPF zawierał trzy serwery pocztowe, DKIM podpisywał część kampanii marketingowych, ale rekord DMARC nigdy nie powstał. W strefie DNS widniał tylko wpis TXT z polityką p=none dodany “na próbę” przez dział marketingu. Nikt nie czytał raportów agregowanych, bo skrzynka dmarc@ nie istniała.

Pierwszy tydzień marca: przestępcy skanują domenę. Wystarczy publiczny lookup DNS, żeby zobaczyć brak twardej polityki. Rejestrują domenę łudząco podobną, z jedną literą przestawioną, i konfigurują własny serwer SMTP. SPF fałszywej domeny przechodzi, DKIM podpisuje się własnym kluczem, a DMARC nadawcy nie istnieje. Filtr odbiorcy nie ma podstawy, by odrzucić wiadomość.

Druga połowa marca: wychodzi seria maili “Weryfikacja konta wymagana w ciągu 48 godzin”. W treści link prowadzi do klonu panelu logowania. Grafika skopiowana z prawdziwego kasyna, certyfikat SSL ważny, adres w pasku różni się jednym znakiem. Wiadomości trafiają do skrzynki głównej, bo serwer nadawcy ma czystą reputację IP. W ciągu pięciu dni klikają w link 234 osoby, 61 wpisuje login i hasło.

Kolejny krok to przejęcie sesji. Gracze korzystający z kasyna bez weryfikacji mieli słabsze zabezpieczenia: brak 2FA, hasła powtórzone z innych serwisów. Przestępcy logują się z rezydencjalnych proxy, zmieniają metodę wypłaty na kryptowalutę i zlecają transfery. Dział antifraud zauważa nietypowe sesje dopiero po zgłoszeniu pierwszego gracza, gdy na koncie brakuje 4 800 EUR.

Trzecia dekada marca: lawina reklamacji. Gracze piszą, że dostali maila “od kasyna”, więc operator odpowiada. Zespół techniczny sprawdza nagłówki i widzi Authentication-Results: dmarc=fail po stronie odbiorcy, ale bez polityki p=reject nikt nie mógł zablokować fałszywki. Wewnętrzny audyt znajduje 11 innych domen grupy bez rekordu DMARC. Do końca miesiąca wpływa 47 wniosków o zwrot skradzionych środków i pierwsze pisma od kancelarii.

Kwiecień: regulator pyta o incydent. Malta Gaming Authority żąda dokumentacji polityki uwierzytelniania poczty i logów z momentu ataku. Operator dostarcza zrzuty ekranu z ustawieniami DNS, na których widać p=none. To wystarcza, by sprawa trafiła do postępowania, a nie do działu wsparcia. Domena phishingowa działa jeszcze przez dziewięć dni, aż rejestrator ją zawiesza po zgłoszeniu od zespołu bezpieczeństwa.

Skutki braku DMARC: roszczenia graczy o odszkodowanie i utrata licencji Malta Gaming Authority

Trzy tygodnie po pierwszej fali sfałszowanych maili operator, nazwijmy go Brand X, dostał pismo od kancelarii reprezentującej 41 graczy. Łączna kwota roszczeń: 312 tys. euro. Nie chodziło o to, że kasyno wypłaciło pieniądze oszustom, bo tego nie zrobiło. Chodziło o to, że nie zrobiło nic, by chronić własną domenę przed podszyciem. Brak rekordu DMARC z polityką p=reject oznaczał, że każdy mógł wysłać maila “z” adresu kasyna, a serwery odbiorcze nie miały podstaw, by go odrzucić.

Jak wyglądała sprawa przed Malta Gaming Authority

Kancelaria zbudowała argumentację wokół art. 9 rozporządzenia MGA o grach online, który nakłada na licencjobiorcę obowiązek stosowania “odpowiednich środków technicznych i organizacyjnych” chroniących graczy. MGA poprosiła o dokumentację konfiguracji poczty. Operator dostarczył zrzuty z panelu DNS, na których widać było rekord SPF, klucz DKIM i… zero rekordów DMARC. Inspektorzy dopisali do protokołu, że firma nie miała nawet włączonego raportowania ruf ani ruf, więc nie wiedziała, ile fałszywych wiadomości krążyło pod jej domeną.

Decyzja przyszła w lutym. MGA zawiesiła licencję na 90 dni i nałożyła karę administracyjną w wysokości 180 tys. euro. W uzasadnieniu powtórzono frazę, która dla branży brzmi jak wyrok: “operator nie wdrożył podstawowego standardu uwierzytelniania poczty elektronicznej, narażając graczy na ryzyko oszustwa”. Po okresie zawieszenia MGA nie przedłużyła licencji. Brand X zniknął z rynku regulowanego, a jego domena trafiła na listę przejętych przez syndyka.

Roszczenia graczy nie zniknęły wraz z licencją. Pełnomocnicy poszkodowanych skierowali sprawę do sądu cywilnego na Malcie, powołując się na odpowiedzialność deliktową. Trzy osoby straciły po ponad 20 tys. euro, bo zalogowały się na stronę podstawioną przez phishing i same zatwierdziły przelew. Ich pełnomocnik argumentował, że gdyby domena miała politykę odrzucającą, fałszywy mail nigdy by nie dotarł do skrzynki. Sąd nie wydał jeszcze wyroku, ale biegły ds. bezpieczeństwa IT w opinii wstępnej przyznał rację powodom.

Koszty się nawarstwiają. Odszkodowania, kara MGA, utrata przychodów z rynku maltańskiego, opłaty prawne i koszt odbudowy reputacji. Dla porównania: wdrożenie DMARC w trybie monitorowania zajmuje kilkanaście godzin pracy administratora, a przejście na p=reject po kilku tygodniach obserwacji raportów. To jedna z tych decyzji, gdzie oszczędność rzędu kilku tysięcy euro kosztuje miliony.

Warto dodać, że MGA zaczęła wpisywać konfigurację DMARC do rutynowych audytów. Operatorzy z licencją Malta Gaming Authority dostają kwestionariusz z pytaniem o politykę poczty, a odpowiedź “brak” oznacza natychmiastowe postępowanie wyjaśniające. Nawet kasyno offshore z Curacao, które reklamuje się jako kasyno bez weryfikacji, opisane na stronie https://stonevegas-bonus.pl/kasyno-bez-weryfikacji/, prędzej czy później trafi na ten sam problem, jeśli chce utrzymać współpracę z procesorami płatności i bankami.

Jak gracze mogą rozpoznać kasyno bez weryfikacji i fałszywe maile w 2026 roku

Fałszywy mail od “kasyna” rzadko wygląda podejrzanie na pierwszy rzut oka. Logo się zgadza, stopka się zgadza, a link prowadzi na domenę łudząco podobną do oryginału. Różnica kryje się w nagłówkach, których gracz nie widzi, dopóki nie kliknie “pokaż oryginał” w kliencie poczty. Warto to robić przy każdej wiadomości, która dotyczy depozytu, wypłaty środków albo logowania.

Pierwszy sygnał ostrzegawczy to adres nadawcy, ale nie ten wyświetlany, tylko techniczny. Kasyno bez weryfikacji, które poważnie podchodzi do bezpieczeństwa, wysyła maile z własnej domeny, nie z darmowych skrzynek ani z dziwnych subdomen typu “secure-casino-login.info”. Drugi sygnał: presja czasu. “Twoje konto zostanie zablokowane w ciągu 24 godzin” to klasyk phishingu, bo działa na emocjach i nie daje czasu na sprawdzenie. Trzeci: prośba o dane, których operator nigdy nie powinien pytać mailem, czyli hasło, kod 2FA, pełny numer karty.

Sprawdzenie nagłówków wymaga chwili. W Gmailu wystarczy “Pokaż oryginał”, w Outlooku “Właściwości” i zakładka nagłówków internetowych. Szukaj trzech pól: Authentication-Results, gdzie powinny widnieć wpisy “spf=pass”, “dkim=pass” i “dmarc=pass”; pola Return-Path, które musi wskazywać domenę kasyna; oraz Received, gdzie widać, z jakiego serwera przyszła wiadomość. Jeśli DMARC zwraca “fail” albo “none”, nadawca nie ma polityki i każdy może się pod niego podszyć. Taki mail ląduje w koszu bez dyskusji.

Rekord DMARC domeny sprawdzisz w kilkanaście sekund przez publiczne narzędzia (MXToolbox, dmarcian) albo komendą dig TXT _dmarc.nazwadomeny.pl. Rekord z polityką “p=none” oznacza, że operator tylko monitoruje, ale nie blokuje sfałszowanych wiadomości. “p=reject” to standard, którego należy oczekiwać. Brak rekordu przy kasynie przyjmującym depozyt to czerwona flaga niezależnie od tego, czy strona ma licencję Malta Gaming Authority, Curacao, czy działa jako kasyno bez polskiej licencji.

Status licencji sprawdzisz w rejestrze regulatora, nie na stronie kasyna. MGA publikuje wykaz podmiotów na gamingmalta.org, Curacao eGaming na curacao-egaming.com. Polski rejestr prowadzony przez Ministerstwo Finansów obejmuje wyłącznie Total Casino i podmioty z monopolem państwowym, więc kasyno offshore nigdy tam nie trafi. Link do rejestru warto znaleźć samodzielnie, bo w mailu phishingowym podlinkowana “weryfikacja licencji” prowadzi na stronę przygotowaną przez oszustów.

Na koniec zasada, która działa niezależnie od technologii: nigdy nie loguj się z linku w mailu. Otwórz stronę kasyna z zakładki, wpisz dane ręcznie i sprawdź w panelu, czy wiadomość faktycznie pochodzi od operatora. To jedyna metoda, która nie zawodzi, gdy polityka DMARC nadawcy jest szczelna, ale klient poczty gracza wyświetla podrobiony adres.

Rola DMARC w budowaniu zaufania i bezpieczeństwa w kasynach bez blokady

Operator kasyna bez blokady, który publikuje rekord DMARC z polityką p=reject i wysyła raporty zbiorcze na własny adres, daje graczowi coś, czego nie da się podrobić w stopce maila: twardy dowód, że wiadomość przyszła z jego serwerów. To standard, który powinien być warunkiem wejścia, nie opcją. W praktyce wystarczy sprawdzić publiczny rekord DNS domeny nadawcy, zanim zaufamy pierwszemu mailowi z prośbą o potwierdzenie danych do wypłaty środków.

Jakie minimum powinien spełniać operator kasyna online bez weryfikacji, który chce uchodzić za wiarygodnego? SPF z twardym -all, nie z miękkim ~all, który pozwala fałszować nadawcę. DKIM z kluczem co najmniej 2048 bitów i rotacją przynajmniej raz w roku. DMARC z polityką p=reject, sp=reject dla subdomen i pct=100. Do tego rua i ruf wskazujące na skrzynkę, którą ktoś faktycznie czyta, bo raporty bez analizy to teatr. I DNSSEC na strefie, żeby rekordów nie dało się podmienić po drodze.

Gracz ma tu realną dźwignię. W kasynie offshore z licencją Curacao czy Malta Gaming Authority pytanie o politykę DMARC zadane supportowi przed pierwszym depozytem kosztuje pięć minut, a odpowiedź “nie wiem” mówi więcej niż cała strona z odznakami bezpieczeństwa. Warto poprosić o przykładowy nagłówek Authentication-Results z maila transakcyjnego. Jeśli operator go nie udostępnia albo w nagłówku widnieje dmarc=fail, konto z bonusem bez depozytu i prawdziwymi pieniędzmi na koncie lepiej zostawić nietknięte.

Dla samego operatora przejrzysta polityka DMARC to nie kosmetyka, a element zgodności. Reżim AML wymaga kontroli kanałów komunikacji z klientem, a podszycie się pod domenę kasyna to wektor prania pieniędzy przez przejęte konta. Regulatorzy przy audycie coraz częściej pytają o uwierzytelnianie poczty, więc dokumentacja DMARC trafia do tej samej teczki co procedury KYC. Reputacja kasyna bez blokady stoi na tym, że gracz odróżni prawdziwy mail od fałszywki bez dzwonienia na infolinię.

Strona, która promuje odpowiedzialną grę, powinna wskazywać źródła, gdzie gracz sprawdzi sygnały ostrzegawcze i uzyska pomoc. Linkujemy do Anonimowi Hazardziści oraz do Uzależnienia Behawioralne, bo bezpieczeństwo poczty i bezpieczeństwo gracza to dwa końce tego samego kija.

DMARC nie chroni przed przegraną. Chroni przed tym, żeby ktoś obcy udawał kasyno, w którym grałeś.

Zanim zaufasz jakiemukolwiek kasynu bez weryfikacji, zrób jedną rzecz: sprawdź, czy domena, z której przyszedł mail, ma poprawnie ustawioną politykę DMARC. Możesz to zrobić bez żadnych narzędzi płatnych. Otwórz terminal i wpisz dig TXT _dmarc.nazwadomeny.pl, albo skorzystaj z darmowego generatora rekordów DMARC i wpisz tam nazwę domeny. Interesuje Cię wersja rekordu (v=DMARC1) oraz parametr p=. Wartość p=none oznacza, że operator tylko zbiera raporty i nic nie blokuje. p=quarantine to kwarantanna, a p=reject to twarde odrzucenie sfałszowanych wiadomości. Jeśli rekordu nie ma wcale, każdy może wysłać mail “od kasyna” i Twój klient poczty tego nie zweryfikuje.

Drugi krok to sprawdzenie statusu licencji. Operator z licencją Malta Gaming Authority musi być wpisany do publicznego rejestru MGA, a numer licencji powinien widnieć w stopce strony i w regulaminie. Wpisz numer do rejestru i porównaj nazwę podmiotu z tym, co widzisz na stronie. Rozbieżność to czerwona flaga, nawet jeśli kasyno bez polskiej licencji wygląda profesjonalnie i ma polskojęzyczne wsparcie. Trzeci krok: w mailach od operatora sprawdzaj nadawcę w nagłówkach (opcja “pokaż oryginał” lub “pokaż nagłówki”). Pole Return-Path i Authentication-Results pokażą, czy wiadomość przeszła SPF, DKIM i DMARC. Jeśli przy DMARC widzisz fail lub none, nie klikaj w link do wypłaty środków ani do logowania. Wejdź na stronę ręcznie, wpisując adres z pamięci. To zajmuje dwie minuty, a ratuje depozyt i dostęp do konta.