Fałszywy SMS o przesyłce InPost zwykle prowadzi do strony wyłudzającej dane karty, bankowości internetowej albo kod BLIK. Sprawdź nadawcę, adres domeny i treść komunikatu, a podejrzaną wiadomość prześlij bezpłatnie na numer 8080. Zobacz, jak rozpoznać oszustwo i co zrobić po kliknięciu w niebezpieczny link.
Jak działa oszustwo na InPost?
Przestępcy wysyłają masowe wiadomości SMS lub e-maile, podszywając się pod InPost, Pocztę Polską albo inną firmę kurierską. Informują o braku numeru ulicy, problemie z adresem, zatrzymaniu paczki lub konieczności uiszczenia niewielkiej dopłaty. Niska kwota ma uśpić czujność odbiorcy.
Wiadomość zawiera odnośnik do strony przypominającej prawdziwy serwis przewoźnika. Po jej otwarciu użytkownik może zostać poproszony o podanie numeru karty, daty ważności, kodu CVV, danych logowania albo kodu BLIK. Wpisane informacje trafiają do cyberprzestępców, którzy mogą próbować wypłacić pieniądze lub wykonać przelew.
InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Rozliczenia należy sprawdzać wyłącznie w oficjalnych kanałach firmy, takich jak Manager Paczek, faktura lub aplikacja InPost Mobile.
Smishing i phishing
Smishing to odmiana phishingu wykorzystująca wiadomości SMS. Nadawca próbuje nakłonić Cię do szybkiego działania, wzbudzając strach przed utratą paczki albo presję czasu. Phishing może przyjmować też formę e-maila, rozmowy telefonicznej lub wiadomości w komunikatorze.
Cyberprzestępcy wykorzystują również spoofing, czyli podszywanie się pod numer telefonu, adres e-mail lub nazwę znanej firmy. Samo wyświetlenie nazwy InPost przy wiadomości nie potwierdza jej autentyczności.
Po czym rozpoznać fałszywą wiadomość?
Nie każdy komunikat będzie napisany niepoprawnie. Oszuści coraz częściej kopiują wygląd firmowych powiadomień, lecz nadal popełniają błędy w adresach, składni i szczegółach dotyczących przesyłki. Podejrzany jest każdy SMS, który wymaga kliknięcia w link i podania danych finansowych.
Zwróć uwagę na następujące sygnały ostrzegawcze:
- informację o dopłacie za ponowne doręczenie lub zmianę adresu,
- link prowadzący do nietypowej domeny albo skróconego adresu,
- błędy ortograficzne, brak polskich znaków i nienaturalne sformułowania,
- żądanie numeru karty, kodu CVV, hasła, PIN-u lub kodu BLIK.
Adres strony internetowej
Najwięcej można wyczytać z domeny. Oszust może umieścić nazwę firmy w pierwszej części adresu, aby ukryć prawdziwą domenę. Przykładowo ciąg inpost.pl-admin.cyou nie oznacza oficjalnej strony InPost, ponieważ właściwą domeną jest fragment znajdujący się przed pierwszym ukośnikiem, czyli „cyou”.
Nie klikaj odnośnika tylko po to, aby go sprawdzić. W komputerze możesz najechać kursorem na link i zobaczyć jego adres, a na telefonie skopiować go bez otwierania. Protokół HTTPS zwiększa bezpieczeństwo połączenia, ale nie gwarantuje, że witryna jest prawdziwa.
Fałszywa sprzedaż na portalu ogłoszeniowym
Podobny schemat pojawia się przy sprzedaży przedmiotów. Oszust kontaktuje się przez WhatsApp, SMS lub media społecznościowe, proponuje rzekomą usługę dostawy i przesyła grafikę stylizowaną na komunikat InPost. Następnie kieruje sprzedającego do formularza odbioru pieniędzy.
Żaden uczciwy kupujący nie potrzebuje Twojego loginu do banku, hasła, PIN-u ani pełnych danych karty, aby zapłacić za przedmiot. Transakcję prowadź w systemie danego portalu, bez korzystania z zewnętrznych formularzy przesłanych przez rozmówcę.
Jak bezpiecznie zweryfikować przesyłkę?
Nie odpowiadaj na podejrzany SMS i nie korzystaj z numeru telefonu podanego w jego treści. Otwórz samodzielnie oficjalną stronę przewoźnika lub aplikację InPost Mobile, wpisz dane przesyłki i sprawdź jej status w bezpiecznym środowisku.
Jeśli nadal masz wątpliwości, skontaktuj się z firmą przez numer lub adres e-mail znaleziony na jej oficjalnej stronie. Nie przekazuj danych karty w odpowiedzi na wiadomość. Prawdziwe powiadomienia e-mail od InPost nie zawierają załączników, dlatego plik DOC, TXT lub PDF opisany jako list przewozowy powinien wzbudzić nieufność.
Przed otwarciem komunikatu sprawdź kilka elementów:
- czy rzeczywiście oczekujesz przesyłki,
- czy numer lub adres nadawcy wygląda wiarygodnie,
- czy przesłany link prowadzi do oficjalnej domeny,
- czy wiadomość wymaga płatności albo podania poufnych danych.
Gdzie zgłosić podejrzany SMS?
CSIRT NASK ostrzega przed kampaniami phishingowymi i przyjmuje zgłoszenia podejrzanych wiadomości. Od 22 listopada 2023 roku działa numer 8080, na który można przesłać SMS do analizy. W 2026 roku pozostaje to prosty kanał przekazywania takich incydentów do CERT Polska.
Prześlij całą wiadomość w oryginalnej formie. Najlepiej użyć funkcji „Przekaż” lub „Prześlij dalej”, ponieważ kopia powinna zachować link i numer nadawcy. Zgłoszenie na terenie Polski jest bezpłatne.
Podejrzany e-mail albo próbę podszycia się pod InPost zgłoś także firmie oraz portalowi, na którym doszło do kontaktu. Zachowaj zrzuty ekranu, adres strony, numer telefonu, pełną korespondencję i potwierdzenia płatności. Te informacje mogą pomóc w ustaleniu przebiegu ataku.
Co zrobić po podaniu danych?
Liczy się czas. Jeśli wpisałeś dane karty, natychmiast skontaktuj się z bankiem, zastrzeż kartę i poproś o zablokowanie podejrzanych transakcji. Gdy podałeś login lub hasło, zmień je przez oficjalną stronę banku, a nie przez link z wiadomości.
Nie zatwierdzaj żadnej operacji w aplikacji, której samodzielnie nie rozpocząłeś. Treść komunikatu autoryzacyjnego może ujawnić, że zamiast odbioru pieniędzy zatwierdzasz wypłatę lub przelew. Sprawdź historię rachunku i zgłoś bankowi każdą nieznaną operację.
Po oszustwie powiadom bank, zgłoś incydent do CERT Polska i zawiadom policję. Zachowaj dowody, nawet jeśli kwota straty wydaje się niewielka.
Jeżeli pobrałeś plik lub aplikację z podejrzanego źródła, odłącz urządzenie od internetu i wykonaj skan programem ochronnym. Malware może przechwytywać dane, a ransomware – będące jego odmianą – blokować dostęp do systemu i plików. Aktualizacje telefonu, przeglądarki oraz aplikacji ograniczają ryzyko wykorzystania znanych luk.
Nie instaluj programów polecanych przez rzekomą obsługę kurierską i nie zezwalaj obcej osobie na zdalny dostęp do urządzenia. Żaden kurier nie potrzebuje Twojego hasła bankowego, kodu PIN ani kodu BLIK.
FAQ – najczęściej zadawane pytania
Czym jest smishing i jak różni się od phishingu?
Smishing to odmiana phishingu realizowana przez SMS-y mająca wywołać pośpiech lub lęk, natomiast phishing może też występować przez e-mail, telefon czy komunikatory.
Jak rozpoznać fałszywy SMS rzekomo od InPost?
Uważaj na prośby o dopłatę, linki do nietypowych domen, błędy językowe i żądania poufnych danych finansowych.
Czy protokół HTTPS gwarantuje, że strona jest prawdziwa?
Nie; HTTPS zwiększa bezpieczeństwo połączenia, ale nie potwierdza autentyczności witryny.
Co zrobić, zanim kliknę link z otrzymanej wiadomości o przesyłce?
Nie otwieraj linku; sprawdź status przesyłki samodzielnie w oficjalnej aplikacji lub na stronie przewoźnika wpisując numer przesyłki.
Jak zgłosić podejrzany SMS w Polsce?
Prześlij całą wiadomość na numer 8080 do analizy przez CERT Polska, najlepiej używając funkcji „Przekaż” lub „Prześlij dalej”.
Co uczynić natychmiast po podaniu danych karty na fałszywej stronie?
Niezwłocznie skontaktuj się z bankiem, zastrzeż kartę i zgłoś podejrzane transakcje do instytucji finansowej.
Czy powinienem instalować aplikacje lub programy polecane przez rzekomego kuriera?
Nie instaluj takich programów ani nie udzielaj zdalnego dostępu; prawdziwy kurier nie potrzebuje twojego hasła, PIN-u ani kodu BLIK.
