Butelkomat kontra oszuści. Hakerzy i gangi okradają system kaucyjny

Od uruchomienia systemu kaucyjnego w Polsce minęło zaledwie kilka miesięcy, a już obserwujemy pierwsze starcia między technologią a ludzką nieuczciwością. Instalowane w polskich marketach maszyny to często prawdziwe cuda techniki, naszpikowane czujnikami, które potrafią błyskawicznie przeanalizować skład materiału. A jednak – na każdy zamek znajdzie się wytrych. Metody oszustów opisuje portal Polskiego Radia.

Za oddanie jednego opakowania otrzymujemy 50 groszy. Niby niewiele, ale przy zastosowaniu "efektu skali" mówimy o kwotach, którymi zorganizowane grupy przestępcze już nie gardzą. Rozproszona sieć tysięcy automatów i małych punktów zbiórki stworzyła w Polsce nowe, wysoce lukratywne środowisko dla przestępców. Maszyny stały się celem zarówno dla oportunistycznych "płotek", jak i bezwzględnych profesjonalistów.

Paradoksalnie, największe luki nie tkwią w oprogramowaniu maszyn, lecz tam, gdzie brakuje pieniędzy na automatyzację – w małych sklepach (poniżej 200 m²). W takich placówkach zbiórka odbywa się manualnie: pracownik własnoręcznie weryfikuje butelkę za pomocą ręcznego skanera.

To idealne pole do nadużyć, w których sprawcami najczęściej nie są zwykli klienci, lecz... nieuczciwy personel sklepu. Mechanizm oszustwa jest banalnie prosty: pracownik wielokrotnie skanuje prawidłowy kod kreskowy z jednej butelki, a do plombowanego worka transportowego wrzuca bezwartościowe śmieci (np. butelki wygrzebane z osiedlowego śmietnika lub przemycone z zagranicy).

Tak spreparowany worek trafia do centrum recyklingu, a system wypłaca zwrot za odpady, od których nikt nigdy kaucji nie zapłacił. W skali miesiąca zorganizowany personel małego sklepu może w ten sposób wyprowadzić z systemu nawet kilka tysięcy złotych czystego, nieopodatkowanego "zysku".

To jedna z najstarszych metod, z którą mierzyły się systemy kaucyjne na całym świecie. Oszust przymocowuje do szyjki butelki PET cienką żyłkę wędkarską. Wprowadza opakowanie do maszyny, a czujniki odczytują kod i weryfikują kształt.

W ułamku sekundy – gdy komputer rejestruje zwrot, ale tuż przed wciągnięciem butelki do miażdżarki – sprawca siłą wyszarpuje ją na zewnątrz. Maszyna nalicza 50 groszy, a oszust odzyskuje nienaruszony "rekwizyt", który może wrzucać w nieskończoność.

Eksperci wyliczają, że przy szybkiej maszynie (40 opakowań na minutę) zdeterminowany oszust mógłby "wyciągnąć" blisko 10 000 zł w ciągu 8-godzinnej dniówki. To raczej teoria, bo nowa technologia szybko kończy tę zabawę. Nowoczesne automaty korzystają z kurtyn optycznych i błyskawicznych mechanicznych zapadni. Szarpnięcie za sznurek nie zadziała – butelka zostanie zablokowana.

Polski system posiada unikalne zabezpieczenie: dedykowany piktogram. Maszyna odrzuci butelkę z innego kraju, jeśli nie ma ona polskiego znaczka sprzężonego z odpowiednim kodem EAN. Przestępcy odpowiedzieli na to błyskawicznie – uruchamiając domowe drukarnie.

Oszuści preparują naklejki z idealnie podrobionym kodem kreskowym i polskim piktogramem, a następnie nakładają je na zwykłe plastikowe śmieci lub opakowania z importu. Podrobiona etykieta wymusza na skanerach butelkomatu akceptację bezwartościowego materiału.

O ile pojedynczy "drukarz" zarobi na tym relatywnie niewiele, o tyle zorganizowane grupy przestępcze traktują to jako biznes hurtowy. Przemycając i oklejając dziesiątki tysięcy butelek zza wschodniej granicy, generują dla państwowego systemu straty liczone w dziesiątkach tysięcy złotych przy każdym większym transporcie.

Prawdziwe ryzyko dla funduszu kaucyjnego nie płynie z fizycznej siły, lecz z luki w kodzie. Najbardziej destrukcyjnym orężem oszustów są ataki hakerskie.

Badacze cyberbezpieczeństwa odkryli, że w niektórych sieciach handlowych wydruki z butelkomatów (paragony z zakodowaną kwotą) posiadają statyczne, łatwe do przewidzenia kody kreskowe. Wykorzystując tanią drukarkę termiczną, hakerzy potrafią wygenerować fałszywe, lecz akceptowane przez sklepowe kasy bony o dowolnie wysokim nominale.

Kolejny trik to tzw. double scanning (ang. podwójne skanowanie). Jeśli maszyna nie jest zsynchronizowana z chmurową bazą danych w czasie rzeczywistym, oszust drukuje legalny bon (np. na 100 zł), wykonuje jego wyraźne zdjęcia i wysyła wspólnikom. Ci realizują zduplikowane kody na wielu różnych kasach niemal w tej samej sekundzie – zanim główny serwer zdoła odnotować, że unikalny voucher został już zrealizowany.

Efekt? Zorganizowana grupa hakerów jest w stanie opróżnić budżet sklepu na setki tysięcy złotych czystej gotówki, nie brudząc sobie rąk ani jedną pustą butelką.

Skala zautomatyzowanych oszustw najlepiej obrazuje sprawa kryminalna z Niemiec. 37-letni właściciel sklepu monopolowego postanowił bezlitośnie wykorzystać maszynę stojącą na własnym zapleczu.

Zamiast ciągnąć za sznurki, zbudował skomplikowany drewniany stelaż z potężnym tunelem magnetycznym. Ta precyzyjna konstrukcja płynnie oszukiwała czujniki wagi i odległości. Maszyna "widziała" weryfikację i zniszczenie butelki, podczas gdy pojemnik nigdy nie trafiał do zgniatarki. Sędzia prowadzący sprawę z niechętnym podziwem nazwał tę konstrukcję "logistycznym arcydziełem".

Wynik? Maszyna zatwierdziła kod jednej i tej samej butelki PET ponad 1,2 miliona razy. Mężczyzna wyłudził z systemu ponad 44 000 euro (ok. 190 000 złotych), zanim doniósł na niego anonimowy informator.

Z perspektywy polskiego prawa, zabawa z butelkomatem to krótka droga za kratki. Sądy nie mają litości dla oszustów. Wprowadzanie maszyny w błąd (np. podrabianie kodów) traktowane jest jako klasyczne oszustwo (art. 286 § 1 k.k.), za które grozi od 6 miesięcy do 8 lat więzienia. Sądy bezlitośnie oceniają tu kryminalne wyrafinowanie sprawcy.

Co więcej, jeśli oszust użyje siły (np. przy metodzie na sznurek) i wyłamie fizyczne zabezpieczenia maszyny (np. wewnętrzną śluzę), prokurator może zakwalifikować czyn jako kradzież z włamaniem. To bezprawie najwyższego stopnia, zagrożone karą do absolutnych 10 lat bezwzględnego pozbawienia wolności.

Dodatkowo, operator systemu ma pełne prawo domagać się przed sądem restytucji finansowej, zmuszając oszusta do zwrócenia co do grosza każdej wyłudzonej złotówki. Czy te 50 groszy na pewno jest warte takiego ryzyka? Pomyślcie o tym, wrzucając kolejną butelkę.

Źródło: Polskie Radio