Czym jest cookie stuffing?

Rozszerzenie przeglądarki Phia zostało zaprojektowane tak, aby wstrzykiwać pliki cookie afiliacyjne podczas finalizacji zakupu na stronach sklepów internetowych – nawet gdy użytkownik nie kliknął kuponu Phia ani w żaden sposób nie wszedł w interakcję z rozszerzeniem . Oznacza to, że jeśli klient robił zakupy na stronie danego sprzedawcy samodzielnie lub za pośrednictwem innego programu partnerskiego (np. Wirecutter), Phia i tak mogła przypisać tę transakcję sobie i otrzymać prowizję . Niezależny badacz Ben Edelman zidentyfikował w kodzie Phia flagę enable_coupon_auto_drop, która, według Bloomberga, była włączona od 10 grudnia 2025 do 7 lipca 2026 roku .

Prawnicy cytowani przez New York Post twierdzą, że taka praktyka może stanowić federalne oszustwo telekomunikacyjne (wire fraud), za które grozi kara do 20 lat więzienia .

Kiedy założycielki wiedziały?

Phia początkowo twierdziła w lipcu 2026 roku, że o nieprawidłowościach dowiedziała się „w ciągu ostatnich 24 godzin” i zrzucała winę na „błąd w oprogramowaniu” . Sierpniowe ustalenia Bloomberga całkowicie temu przeczą .

Z wyciekających wiadomości Slack wynika, że już w grudniu 2025 roku – co najmniej siedem miesięcy przed pierwszym zapytaniem Bloomberga – współzałożycielki Phoebe Gates i Sophia Kianni aktywnie dyskutowały o funkcji podrzucania plików cookie z inżynierami i kadrą zarządzającą .

W jednej z grudniowych wymian zdań Gates pisała do programistów z prośbą o potwierdzenie, że automatyczne wrzucanie plików cookie działa i że powinno „przechwytywać każdą transakcję”, jeśli funkcja jest sprawna . Z kolei Kianni miała napisać w wewnętrznej wiadomości: „zróbmy wszystko, co w naszej mocy, aby te ciasteczka spadały nadal – będzie niesamowicie” .

Wewnętrzna korespondencja pokazuje, że obie założycielki domagały się wdrożenia funkcji, które umożliwiały tę praktykę – nie był to błąd, ale celowo zaprojektowane i monitorowane działanie .

Znaczenie dla przychodów

Praktyka cookie stuffingu nie była marginalna – stanowiła kluczowy element zgłaszanego wzrostu Phia .

• Analityk danych Phia oszacował, że proceder odpowiadał za około 51% wartości brutto towarów (GMV), którą firma przypisała sobie w czerwcu 2026 roku .
• Wewnętrzny wykres widziany przez Bloomberga wskazywał, że fałszywe przypisanie odpowiadało za znaczną część przychodów Phia .
• Bloomberg doniósł, że dzienne przychody drastycznie spadły po wyłączeniu przez Phia automatycznego wrzucania plików cookie .
• Zaledwie 40 dni po tym, jak Gates poprosiła pracowników o potwierdzenie działania tej funkcji, Phia ogłosiła rundę finansowania Seria A o wartości 35,5 miliona dolarów, chwaląc się jedenastokrotnym wzrostem przychodów .

Dotknięci sprzedawcy

Bloomberg poinformował, że cookie stuffing dotknął wielu głównych sprzedawców detalicznych, w tym:

• Nike
• Nordstrom
• The Gap

Firmy te zostały obciążone prowizjami afiliacyjnymi, które Phia bezprawnie pobrała, mimo że nie wygenerowała tych transakcji . Żaden z tych sprzedawców nie skomentował publicznie sprawy .

Reakcja firmy

Po nowych doniesieniach Bloomberga Phia oświadczyła, że przejrzy każdą transakcję i cofnie sprzedaż, która została jej błędnie przypisana. Firma poinformowała, że rozpoczęła już proces anulowania transakcji wobec partnerów afiliacyjnych .

Szerszy kontekst – inne kontrowersje

Skargi konsumenckie do FTC

FTC otrzymywało skargi konsumenckie na Phia na miesiące przed raportami Bloomberga, co sugeruje, że organy regulacyjne już wcześniej otrzymywały sygnały o praktykach firmy .

Rotacja pracowników i wewnętrzne konflikty

Wyciekające wiadomości Slack ujawniają napięcia wewnątrz firmy. Pracownicy zgłaszali obawy dotyczące tej praktyki . Po wybuchu skandalu Futurism doniósł, że Gates podejrzewała „zdrajcę wewnątrz” firmy, który ujawnia informacje .

Tajne zbieranie danych

W listopadzie 2025 roku Fortune ujawniło, że czterech ekspertów ds. cyberbezpieczeństwa odkryło, iż rozszerzenie Phia robiło zrzuty ekranu każdej odwiedzanej przez użytkownika strony – w tym stron zawierających bardzo wrażliwe dane, takie jak wyciągi bankowe i prywatne e-maile – czyli znacznie więcej danych, niż firma ujawniała .

Zawieszenie na platformie afiliacyjnej

Po pierwszym raporcie Bloomberga z lipca 2026 roku, Phia została zawieszona na Impact.com, głównej platformie marketingu afiliacyjnego i influencerskiego .

Podsumowanie

Czym jest cookie stuffing?

Rozszerzenie przeglądarki Phia zostało zaprojektowane tak, aby wstrzykiwać pliki cookie afiliacyjne podczas finalizacji zakupu na stronach sklepów internetowych – nawet gdy użytkownik nie kliknął kuponu Phia ani w żaden sposób nie wszedł w interakcję z rozszerzeniem . Oznacza to, że jeśli klient robił zakupy na stronie danego sprzedawcy samodzielnie lub za pośrednictwem innego programu partnerskiego (np. Wirecutter), Phia i tak mogła przypisać tę transakcję sobie i otrzymać prowizję . Niezależny badacz Ben Edelman zidentyfikował w kodzie Phia flagę enable_coupon_auto_drop, która, według Bloomberga, była włączona od 10 grudnia 2025 do 7 lipca 2026 roku .

Prawnicy cytowani przez New York Post twierdzą, że taka praktyka może stanowić federalne oszustwo telekomunikacyjne (wire fraud), za które grozi kara do 20 lat więzienia .

Kiedy założycielki wiedziały?

Phia początkowo twierdziła w lipcu 2026 roku, że o nieprawidłowościach dowiedziała się „w ciągu ostatnich 24 godzin” i zrzucała winę na „błąd w oprogramowaniu” . Sierpniowe ustalenia Bloomberga całkowicie temu przeczą .

Z wyciekających wiadomości Slack wynika, że już w grudniu 2025 roku – co najmniej siedem miesięcy przed pierwszym zapytaniem Bloomberga – współzałożycielki Phoebe Gates i Sophia Kianni aktywnie dyskutowały o funkcji podrzucania plików cookie z inżynierami i kadrą zarządzającą .

W jednej z grudniowych wymian zdań Gates pisała do programistów z prośbą o potwierdzenie, że automatyczne wrzucanie plików cookie działa i że powinno „przechwytywać każdą transakcję”, jeśli funkcja jest sprawna . Z kolei Kianni miała napisać w wewnętrznej wiadomości: „zróbmy wszystko, co w naszej mocy, aby te ciasteczka spadały nadal – będzie niesamowicie” .

Wewnętrzna korespondencja pokazuje, że obie założycielki domagały się wdrożenia funkcji, które umożliwiały tę praktykę – nie był to błąd, ale celowo zaprojektowane i monitorowane działanie .

Znaczenie dla przychodów

Praktyka cookie stuffingu nie była marginalna – stanowiła kluczowy element zgłaszanego wzrostu Phia .

• Analityk danych Phia oszacował, że proceder odpowiadał za około 51% wartości brutto towarów (GMV), którą firma przypisała sobie w czerwcu 2026 roku .
• Wewnętrzny wykres widziany przez Bloomberga wskazywał, że fałszywe przypisanie odpowiadało za znaczną część przychodów Phia .
• Bloomberg doniósł, że dzienne przychody drastycznie spadły po wyłączeniu przez Phia automatycznego wrzucania plików cookie .
• Zaledwie 40 dni po tym, jak Gates poprosiła pracowników o potwierdzenie działania tej funkcji, Phia ogłosiła rundę finansowania Seria A o wartości 35,5 miliona dolarów, chwaląc się jedenastokrotnym wzrostem przychodów .

Dotknięci sprzedawcy

Bloomberg poinformował, że cookie stuffing dotknął wielu głównych sprzedawców detalicznych, w tym:

• Nike
• Nordstrom
• The Gap

Firmy te zostały obciążone prowizjami afiliacyjnymi, które Phia bezprawnie pobrała, mimo że nie wygenerowała tych transakcji . Żaden z tych sprzedawców nie skomentował publicznie sprawy .

Reakcja firmy

Po nowych doniesieniach Bloomberga Phia oświadczyła, że przejrzy każdą transakcję i cofnie sprzedaż, która została jej błędnie przypisana. Firma poinformowała, że rozpoczęła już proces anulowania transakcji wobec partnerów afiliacyjnych .

Szerszy kontekst – inne kontrowersje

Skargi konsumenckie do FTC

FTC otrzymywało skargi konsumenckie na Phia na miesiące przed raportami Bloomberga, co sugeruje, że organy regulacyjne już wcześniej otrzymywały sygnały o praktykach firmy .

Rotacja pracowników i wewnętrzne konflikty

Wyciekające wiadomości Slack ujawniają napięcia wewnątrz firmy. Pracownicy zgłaszali obawy dotyczące tej praktyki . Po wybuchu skandalu Futurism doniósł, że Gates podejrzewała „zdrajcę wewnątrz” firmy, który ujawnia informacje .

Tajne zbieranie danych

W listopadzie 2025 roku Fortune ujawniło, że czterech ekspertów ds. cyberbezpieczeństwa odkryło, iż rozszerzenie Phia robiło zrzuty ekranu każdej odwiedzanej przez użytkownika strony – w tym stron zawierających bardzo wrażliwe dane, takie jak wyciągi bankowe i prywatne e-maile – czyli znacznie więcej danych, niż firma ujawniała .

Zawieszenie na platformie afiliacyjnej

Po pierwszym raporcie Bloomberga z lipca 2026 roku, Phia została zawieszona na Impact.com, głównej platformie marketingu afiliacyjnego i influencerskiego .

Podsumowanie