Fałszywy SMS od InPost rozpoznasz po nietypowym adresie strony, żądaniu dopłaty, prośbie o dane karty lub logowanie do banku. Nie klikaj w link, sprawdź przesyłkę wyłącznie w oficjalnej aplikacji albo na stronie przewoźnika, a podejrzaną wiadomość prześlij na bezpłatny numer 8080. Oszuści zmieniają treść komunikatów, lecz ich schemat pozostaje podobny.
Jak działa oszustwo na InPost?
Cyberprzestępcy podszywają się pod InPost, Pocztę Polską lub inną firmę kurierską. Wysyłają SMS albo e-mail z informacją o braku numeru ulicy, nieudanej dostawie, konieczności dopłaty lub oczekiwaniu paczki w automacie. Wiadomość ma wywołać pośpiech – odbiorca boi się zwrotu przesyłki i klika bez sprawdzenia.
Odnośnik prowadzi do witryny przypominającej prawdziwy serwis kurierski. Formularz może żądać numeru karty, daty ważności, kodu CVV, danych osobowych, a czasem także loginu do banku. Niewielka opłata za ponowną dostawę jest tylko pretekstem. W rzeczywistości przestępcy próbują przejąć pieniądze z rachunku lub wykorzystać kartę w kolejnych transakcjach.
InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Rozliczenia pojawiają się w Managerze Paczek albo na fakturze.
Podobny mechanizm działa podczas sprzedaży na OLX, Allegro Lokalnie, Vinted i w grupach internetowych. Osoba podająca się za kupującego proponuje rzekomą usługę InPost, przesyła grafikę stylizowaną na firmową i obiecuje szybki odbiór paczki przez kuriera. Następnie wysyła link do odebrania płatności. Sprzedający ma wpisać dane karty, konta albo potwierdzić operację w banku.
Web scraping i kontakt poza platformą
Numery telefonów publikowane w ogłoszeniach mogą być zbierane automatycznie za pomocą techniki web scraping. Oszust otrzymuje wtedy gotową listę potencjalnych ofiar. Pierwszy kontakt często następuje przez WhatsApp lub SMS, chociaż rozmowa powinna odbywać się w komunikatorze konkretnego portalu sprzedażowego.
Numer z zagranicznym kierunkowym, nietypowy profil kupującego i nacisk na natychmiastową płatność tworzą wyraźny sygnał ostrzegawczy. Prawdziwy kupujący nie potrzebuje danych logowania do banku, kodu PIN aplikacji ani kodu BLIK, aby zapłacić za przedmiot.
Po czym poznać fałszywy SMS lub e-mail?
Nie oceniaj wiadomości wyłącznie po logo i kolorach. Oszuści kopiują wygląd stron oraz język komunikatów, lecz często popełniają błędy w adresie domeny, pisowni i szczegółach przesyłki. Dziwnie brzmiące zdania, brak polskich znaków i presja czasu powinny zatrzymać odbiorcę.
| Element wiadomości | Typowy sygnał oszustwa | Bezpieczne działanie |
| Link | Nieznana domena, skrócony adres lub literówka | Nie otwieraj, sprawdź przesyłkę w aplikacji |
| Płatność | Żądanie dopłaty, danych karty albo BLIK-a | Przerwij operację i skontaktuj się z firmą |
| Nadawca | Numer zagraniczny lub adres podobny do firmowego | Zweryfikuj dane na oficjalnej stronie |
| Załącznik | Plik DOC, PDF, TXT albo ZIP w e-mailu | Nie pobieraj ani nie otwieraj pliku |
Adres inpost.pl nie powinien być mylony z domenami zawierającymi dodatkowe słowa, znaki lub literówki. Przykłady fałszywych adresów mogą wyglądać jak „inpost-admin”, „impost.pl” albo „inpost-eu.pl”. Sama kłódka i protokół HTTPS nie potwierdzają jeszcze autentyczności strony. Oszust także może użyć szyfrowanego połączenia.
Prawdziwe wiadomości e-mail od InPost nie zawierają załączników z rzekomym listem przewozowym. Nie należy też wysyłać płatnego SMS-a, aby uzyskać numer paczki. Taka opłata trafia do przestępców, a odbiorca nie otrzymuje wiarygodnych danych o przesyłce.
Phishing, smishing i spoofing
Phishing oznacza wyłudzanie poufnych danych przez podszywanie się pod znaną osobę, firmę lub instytucję. Jego odmiana SMS-owa to smishing. W tym przypadku krótka wiadomość ma skłonić użytkownika do kliknięcia, podania danych albo wykonania przelewu.
Spoofing polega na fałszowaniu tożsamości nadawcy. Numer telefonu, nazwa wyświetlana przy SMS-ie lub adres e-mail mogą wyglądać wiarygodnie, choć komunikat pochodzi od oszusta. Dlatego trzeba weryfikować sprawę niezależnym kanałem, a nie odpowiadać na wiadomość.
Co zrobić po kliknięciu linku?
Jeśli strona tylko się otworzyła, zamknij ją i nie wpisuj żadnych danych. Nie pobieraj aplikacji, nie instaluj dodatków i nie zezwalaj na powiadomienia. Gdy podano numer karty, skontaktuj się z bankiem i poproś o natychmiastowe zastrzeżenie karty.
W przypadku wpisania loginu lub hasła do bankowości zmień dane dostępowe na prawdziwej stronie banku, najlepiej z innego urządzenia. Bank może zablokować rachunek, kartę oraz oczekujące transakcje. Jeżeli zatwierdzono BLIK albo przelew, liczy się każda minuta.
Po podejrzeniu infekcji odłącz urządzenie od Internetu i przeskanuj je aktualnym programem ochronnym. Malware może przechwytywać hasła, a ransomware potrafi zablokować system oraz zaszyfrować pliki. Nie płać okupu. Zachowaj dowody i zgłoś sprawę.
W takiej sytuacji wykonaj następujące czynności:
- skontaktuj się z bankiem przez oficjalny numer lub aplikację,
- zastrzeż kartę i zablokuj podejrzane operacje,
- zachowaj SMS, adres strony, numer nadawcy oraz potwierdzenia płatności,
- zgłoś incydent CERT Polska i Policji,
- poinformuj portal, na którym pojawiło się ogłoszenie lub kontakt z oszustem.
Gdzie zgłosić podejrzaną wiadomość?
CSIRT NASK ostrzega przed kampaniami phishingowymi i przyjmuje zgłoszenia dotyczące fałszywych SMS-ów oraz stron. Podejrzaną wiadomość można przekazać przez formularz CERT Polska, wiadomość e-mail albo numer 8080. Przesłanie SMS-a na ten numer jest bezpłatne w Polsce.
Najlepiej użyć funkcji „Przekaż” lub „Prześlij dalej”, aby zachować pełną treść i link. Nie wycinaj podejrzanego adresu. Można zgłaszać także SMS-y bez odnośnika, jeśli ich treść sugeruje próbę wyłudzenia.
Podejrzenie podszywania się pod InPost należy przekazać firmie przez oficjalny formularz lub adres kontaktowy znaleziony na jej stronie. Nie korzystaj z numeru telefonu podanego w podejrzanym SMS-ie. Zrzut ekranu pomaga, lecz jeszcze cenniejsza jest pełna wiadomość z numerem nadawcy i adresem strony.
Nie odpowiadaj oszustowi. Przekazanie całej wiadomości na 8080 ułatwia CERT Polska analizę kampanii i blokowanie niebezpiecznych adresów.
Jak bezpiecznie kupować i sprzedawać w Internecie?
Przy sprzedaży nie przenoś rozmowy do zewnętrznego komunikatora tylko dlatego, że kupujący nalega. Nie otwieraj grafik przedstawiających fikcyjne instrukcje i nie uznawaj zrzutu ekranu za dowód zapłaty. Środki sprawdzaj wyłącznie na własnym rachunku, po zalogowaniu się bezpośrednio do banku.
Aplikacje instaluj z autoryzowanych sklepów, aktualizuj system telefonu i używaj blokady ekranu. Publiczna sieć Wi-Fi może być fałszywa, nawet jeśli jej nazwa przypomina sieć galerii lub dworca. Do bankowości lepiej wykorzystać własny Internet mobilny.
W 2022 roku CERT Polska zarejestrował ponad 322 tysiące incydentów, czyli o około jedną trzecią więcej niż rok wcześniej. Firmy kurierskie są częstym celem, bo ich wiadomości oczekują miliony klientów. Rozpoznanie kilku czerwonych flag – nietypowej domeny, prośby o dopłatę i żądania danych bankowych – może zatrzymać atak przed utratą pieniędzy.
FAQ – najczęściej zadawane pytania
Jak rozpoznać fałszywy SMS od InPost?
Fałszywy SMS często zawiera podejrzany adres strony, prośbę o dopłatę lub żądanie danych karty i wywiera presję czasu; sprawdź przesyłkę tylko w oficjalnej aplikacji lub na stronie przewoźnika.
Czy InPost wysyła SMS-y z prośbą o dopłatę?
Nie — InPost nie wysyła wiadomości żądających dopłaty; rozliczenia są widoczne w Managerze Paczek albo na fakturze.
Co zrobić po kliknięciu podejrzanego linku?
Jeśli tylko otworzyłeś stronę, zamknij ją i nie podawaj danych; gdy wpisałeś numer karty, natychmiast skontaktuj się z bankiem i zastrzeż kartę.
Gdzie zgłosić podejrzany SMS lub stronę?
Podejrzane wiadomości prześlij do CERT Polska (formularz, e-mail) lub bezpłatnie na numer 8080 oraz poinformuj przewoźnika przez oficjalne kanały.
Jak działają oszuści przy sprzedaży na OLX, Vinted czy Allegro?
Podszywają się pod kuriera, przesyłają stylizowane grafiki i linki do „płatności”, by wyłudzić dane karty lub dostęp do banku; proszą o potwierdzenia, których prawdziwy kupujący nie potrzebuje.
Czym są phishing, smishing i spoofing?
Phishing to wyłudzanie danych podszywając się pod zaufany podmiot, smishing to wersja tego ataku przez SMS, a spoofing polega na fałszowaniu tożsamości nadawcy wiadomości.
Jak bezpiecznie kupować i sprzedawać online, by uniknąć oszustwa?
Trzymaj rozmowy na platformie ogłoszeniowej, sprawdzaj wpływy wyłącznie po zalogowaniu do banku i instaluj aplikacje tylko z oficjalnych sklepów oraz używaj własnego łącza mobilnego do bankowości.
