Fałszywy SMS o niedostarczonej paczce, brakującym numerze ulicy lub dopłacie do przesyłki to najczęściej phishing, a dokładniej smishing. Nie klikaj w link, nie podawaj danych karty ani nie loguj się do banku przez wiadomość. Sprawdź, jak rozpoznać taki komunikat i co zrobić po kontakcie z oszustem.
Jak działa oszustwo na InPost?
Cyberprzestępcy podszywają się pod InPost, Pocztę Polską albo inną znaną firmę kurierską. Wysyłają masowo SMS-y, e-maile i wiadomości na komunikatorach, licząc na pośpiech odbiorcy. Treść zwykle informuje o zatrzymaniu paczki, błędnym adresie, nieudanej próbie doręczenia albo konieczności uregulowania niewielkiej opłaty.
Wiadomość prowadzi do strony przypominającej serwis operatora. Fałszywy formularz może żądać numeru karty, daty ważności, kodu CVC, danych logowania do banku lub kodu BLIK. Niska kwota dopłaty ma uśpić czujność, lecz podanie danych może umożliwić znacznie większą kradzież.
InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Rozliczenia są dostępne w Managerze Paczek albo na fakturze.
Oszuści atakują także osoby sprzedające przedmioty na OLX, Vinted, Allegro Lokalnie i w grupach na Facebooku. Po opublikowaniu ogłoszenia kontaktują się przez WhatsApp lub SMS, proponują rzekomą usługę dostawy i przesyłają grafikę stylizowaną na materiały firmy. Następnie proszą o dane potrzebne do odebrania płatności – w rzeczywistości próbują wyłudzić informacje bankowe.
Web scraping i fałszywy kupujący
Do wyszukiwania numerów telefonów oraz ofert przestępcy wykorzystują web scraping, czyli automatyczne pobieranie danych z portali ogłoszeniowych. Wiadomość spoza wewnętrznego komunikatora serwisu jest sygnałem ostrzegawczym, szczególnie gdy nadawca naciska na szybkie działanie.
Legalna sprzedaż nie wymaga logowania do banku przez link przesłany przez kupującego. Bank nie prosi też o PIN do aplikacji w formularzu kurierskim. Nie istnieje usługa, w której sprzedawca musi podać dane karty, aby otrzymać pieniądze za sprzedany przedmiot.
Po czym rozpoznać fałszywą wiadomość?
Nie każdy komunikat wygląda identycznie. Zmieniają się numery nadawców, domeny i treść, ale mechanizm pozostaje podobny: presja czasu, wiarygodna marka oraz link do płatności lub aktualizacji danych.
| Sygnał | Przykład | Bezpieczna reakcja |
| Presja i groźba | „Paczka zostanie zwrócona dziś” | Przerwij działanie i sprawdź przesyłkę w oficjalnej aplikacji |
| Dziwna domena | Adres z obcą końcówką lub nazwą marki połączoną z losowym tekstem | Nie otwieraj strony, wpisz adres firmy ręcznie |
| Żądanie danych | Numer karty, PIN, hasło lub kod BLIK | Nie przekazuj informacji i zgłoś wiadomość |
| Załącznik w e-mailu | Plik PDF, DOC albo ZIP rzekomo z listem przewozowym | Nie pobieraj pliku, usuń wiadomość |
Adres nadawcy i domena
Sprawdź dokładny adres strony, nie tylko logo i wygląd formularza. Domena może zawierać nazwę InPost, lecz właściwy adres jest ukryty na początku lub po dodatkowym znaku. Przykład inpost.pl-admin.cyou nie prowadzi do oficjalnej witryny InPost, ponieważ właściwą domeną jest końcowy fragment adresu, czyli „cyou”.
W e-mailach zwróć uwagę na literówki w adresie nadawcy, nietypową składnię i załączniki. Wiadomości z rzekomym powiadomieniem od InPost nie zawierają załączników. Podejrzane są także prośby o wysłanie płatnego SMS-a w celu sprawdzenia statusu paczki.
Treść i sposób nacisku
Błędy językowe, brak polskich znaków, nienaturalne sformułowania oraz niepasujący numer telefonu często zdradzają oszustwo. Sam błąd nie przesądza jeszcze o fałszerstwie, lecz połączenie kilku sygnałów powinno zakończyć kontakt.
Phishing opiera się na podszywaniu pod zaufaną osobę lub instytucję. Jego odmiana SMS-owa, czyli smishing, wykorzystuje krótką wiadomość do nakłonienia odbiorcy do kliknięcia, płatności albo ujawnienia danych.
Jak bezpiecznie sprawdzić przesyłkę?
Nie korzystaj z numeru telefonu, adresu e-mail ani odnośnika podanego w podejrzanym komunikacie. Otwórz samodzielnie oficjalną stronę firmy lub aplikację InPost Mobile. Status przesyłki sprawdzaj po zalogowaniu w znanym środowisku, a nie w formularzu otwartym z SMS-a.
Adres strony powinien korzystać z protokołu HTTPS, lecz sama kłódka nie gwarantuje autentyczności witryny. Oszuści również mogą zabezpieczyć fałszywą domenę certyfikatem. Liczy się pełny adres, źródło wiadomości i zgodność komunikatu z rzeczywistym zamówieniem.
Przy sprzedaży internetowej prowadź rozmowę w systemie danego portalu. Nie przenoś płatności na zewnętrzną stronę wskazaną przez kupującego. Aktualizacje telefonu, aplikacji i przeglądarki ograniczają ryzyko, podobnie jak blokada ekranu oraz logowanie do banku wyłącznie z własnego urządzenia.
Rzadziej podobny problem wynika z infekcji urządzenia. Pharming przekierowuje użytkownika na podrobioną stronę nawet wtedy, gdy sam wpisze prawidłową nazwę serwisu. Z kolei ransomware może zablokować system operacyjny i żądać okupu, dlatego kopie zapasowe powinny znajdować się na odłączonym nośniku.
Co zrobić po kliknięciu w link?
Samo otwarcie strony nie zawsze oznacza utratę pieniędzy. Nie wpisuj jednak żadnych danych, nie pobieraj plików i zamknij kartę. Jeśli zainstalowałeś aplikację z podejrzanego źródła, odłącz urządzenie od sieci i usuń ją po konsultacji z instrukcją producenta systemu.
Po podaniu danych karty natychmiast skontaktuj się z bankiem. Zastrzeż kartę, zablokuj bankowość elektroniczną i sprawdź ostatnie transakcje. Gdy zatwierdziłeś przelew lub operację BLIK, poproś bank o próbę wstrzymania środków – liczy się każda minuta.
Zachowaj SMS, e-mail, numer nadawcy, adres strony, potwierdzenia płatności i zrzuty ekranu. Nie odpowiadaj oszustom, bo aktywna rozmowa może sprowokować kolejne próby kontaktu. Sprawę zgłoś także na policję, zwłaszcza gdy doszło do obciążenia rachunku.
Gdzie zgłosić podejrzany SMS?
CSIRT NASK ostrzega przed kampaniami phishingowymi i przyjmuje zgłoszenia kierowane do CERT Polska. Podejrzaną wiadomość SMS można przesłać na bezpłatny numer 8080. Najlepiej użyć funkcji „Przekaż” albo „Prześlij dalej”, aby zachować oryginalną treść i link.
- prześlij całą wiadomość na numer 8080, bez wycinania odnośnika,
- zgłoś incydent przez formularz na stronie incydent.cert.pl,
- przekaż podejrzany e-mail na adres [email protected],
- powiadom firmę, pod którą podszywa się nadawca, korzystając z oficjalnego kanału kontaktu.
Numer 8080 działa w związku z ustawą o zwalczaniu nadużyć w komunikacji elektronicznej. W Polsce przesłanie SMS-a jest bezpłatne. Poza granicami kraju operator może naliczyć opłatę zgodną z taryfą roamingową.
W przypadku wiadomości e-mail zgłaszaj także pełny adres nadawcy i podejrzany odnośnik. Nie klikaj go w celu skopiowania. Użyj opcji kopiowania adresu z menu kontekstowego albo dołącz wiadomość jako plik EML lub MSG, jeśli formularz zgłoszeniowy to umożliwia.
FAQ – najczęściej zadawane pytania
Czym jest smishing i jak działa w przypadku przesyłek kurierskich?
To phishing prowadzony przez SMS, gdzie oszust podszywa się pod firmę kurierską i namawia do kliknięcia w link lub podania danych. Zwykle informuje o problemach z dostawą lub konieczności dopłaty, by wymusić pośpiech.
Jak rozpoznać fałszywy SMS od rzekomego InPostu?
Uważaj na wiadomości wywierające presję czasu, dziwne domeny i żądanie danych kartowych lub kodów BLIK. InPost nie wysyła SMS-ów o dopłatach — rozliczenia są w aplikacji lub na fakturze.
Co zrobić, jeśli otrzymam wiadomość od kupującego poza systemem portalu ogłoszeniowego?
Traktuj to jako sygnał ostrzegawczy i prowadź rozmowę oraz płatność wyłącznie przez wewnętrzny komunikator i system serwisu. Nie loguj się do banku ani nie podawaj danych przez link przesłany przez kupującego.
Czy certyfikat HTTPS i ikona kłódki gwarantują, że strona jest bezpieczna?
Nie zawsze — oszuści też mogą mieć certyfikat, dlatego ważny jest pełny adres domeny i zgodność komunikatu z zamówieniem. Sprawdzaj końcowy fragment domeny, nie tylko wygląd strony.
Jak postępować po kliknięciu podejrzanego linku, ale bez podawania danych?
Zamknij kartę i nie wprowadzaj żadnych informacji ani nie pobieraj plików; jeśli zainstalowałeś aplikację z nieznanego źródła, odłącz urządzenie od sieci i usuń ją zgodnie z instrukcją producenta. Zachowaj ostrożność i monitoruj urządzenie.
Co zrobić, gdy podałem dane karty lub potwierdziłem transakcję BLIK?
Natychmiast skontaktuj się z bankiem, zastrzeż kartę i poproś o zablokowanie bankowości oraz próbę wstrzymania środków. Również zachowaj dowody i zgłoś sprawę policji.
Jak zgłosić podejrzany SMS w Polsce?
Prześlij całą wiadomość na bezpłatny numer 8080 zachowując oryginalny link lub użyj formularza na incydent.cert.pl. Można też przesłać podejrzany e-mail na [email protected] i powiadomić podszywaną firmę przez jej oficjalne kanały.
Na co zwracać uwagę przy analizie adresu strony w powiadomieniu o przesyłce?
Sprawdź dokładnie pełny adres domeny, ponieważ prawdziwa nazwa operatora powinna być ostatnim fragmentem URL. Adresy typu inpost.pl-admin.cyou są fałszywe, bo końcówka 'cyou’ określa właściwą domenę.
