Fałszywy SMS od InPost, DPD i DHL - jak rozpoznać i co zrobić

"Twoja paczka czeka na opłatę 1,99 zł" - ten SMS co roku okrada tysiące Polaków. Pokazujemy, jak jednym spojrzeniem odróżnić prawdziwe powiadomienie kurierskie od phishingu.

Przychodzi SMS: "InPost: Twoja paczka nr IN123456789PL oczekuje na doręczenie. Dopłata 1,99 zł wymagana do odblokowania." Link wygląda niepozornie. Kwota jest śmieszna - niecałe dwa złote. Klikasz.

Strona wygląda jak InPost. Wpisujesz dane karty. I właśnie straciłeś dostęp do rachunku bankowego - bo przestępcom nigdy nie chodziło o 1,99 zł, tylko o numer karty i kod CVV.

Kurierski smishing to według CERT Polska jeden z najmasowszych schematów phishingowych w Polsce - fałszywe strony kurierów i firm płatniczych to stały element krajobrazu zagrożeń. Ale prawda jest taka, że nie musisz analizować każdego SMS-a jak detektyw. Cała ta kategoria oszustw opiera się na jednej rzeczy, której prawdziwy kurier nie robi nigdy: nie prosi o dane karty ani "dopłatę" przez link w SMS-ie. Jeśli to zapamiętasz, tabelka poniżej stanie się tylko potwierdzeniem tego, co już wiesz.

Jak wygląda fałszywy SMS kurierski

Przestępcy kopiują styl komunikacji prawdziwych firm coraz lepiej. Kilka rzeczy jednak wciąż je zdradza:

Najpopularniejsze warianty w Polsce

InPost / paczkomat. "Twoja paczka nie zmieściła się do paczkomatu - dopłać za kuriera" albo "paczka oczekuje w skrytce, potwierdź adres". InPost nigdy nie prosi o dane karty przez SMS.

DHL / DPD / GLS / Poczta Polska. "Paczka zatrzymana przez cło - uiść opłatę 4,99 zł". Prawdziwe opłaty celne nalicza urząd celny, a informacja przychodzi osobno - nie SMS-em z linkiem do płatności kartą.

Allegro / OLX. "Twoja wysyłka wymaga weryfikacji - zaloguj się". Link prowadzi do fałszywej strony zbierającej login i hasło.

Wariant instalacyjny. "Zainstaluj aplikację do śledzenia paczki" - link prowadzi do złośliwego pliku APK, który przechwytuje SMS-y z kodami autoryzacyjnymi banku. To najgroźniejsza odmiana, bo nie potrzebuje nawet twoich danych karty - sam bierze kontrolę nad twoimi kodami.

Czego ci nie mówią przy okazji "śmiesznej kwoty 1,99 zł": ta kwota jest niska celowo. Nie chodzi o to, żebyś ją zapłacił - chodzi o to, żeby wydała ci się zbyt błaha, by ją kwestionować. Przy 1,99 zł mózg nie włącza czujności, którą uruchomiłby przy 500 zł. To nie niedbałość oszusta, to element projektu.

Dlaczego fałszywy SMS ląduje w tym samym wątku, co prawdziwy

Wiele osób daje się nabrać, bo wiadomość pojawia się w telefonie w istniejącym już wątku "InPost" - obok prawdziwych powiadomień o paczkach. To nie magia i nie znak, że nadawca jest prawdziwy. Nazwę nadawcy w SMS-ie (tzw. pole alfanumeryczne) da się podrobić podobnie jak numer w połączeniu - telefon grupuje wiadomości po tej nazwie, więc podszywka trafia do znanego wątku. Innymi słowy: to, że SMS leży obok autentycznych, nie mówi kompletnie nic o jego prawdziwości. Liczy się wyłącznie to, dokąd prowadzi link i o co prosi.

Kiedy fala jest największa

Kampanie kurierskiego smishingu nie rozkładają się równo w roku. Nasilają się dokładnie wtedy, gdy najwięcej ludzi faktycznie czeka na paczki: w okolicach Black Friday, przed świętami, w czasie sezonowych wyprzedaży i po większych akcjach zakupowych. Logika oszusta jest prosta - im więcej realnych przesyłek krąży, tym większa szansa, że losowy SMS trafi w kogoś, kto rzeczywiście spodziewa się doręczenia i kliknie odruchowo. Jeśli w grudniu dostajesz nagle kilka "powiadomień o dopłacie", to nie pech, tylko szczyt sezonu po stronie przestępców.

Szybki test, zanim klikniesz

Zanim dotkniesz linku, przejdź w głowie krótką listę. Jeśli choć jeden punkt się zgadza, potraktuj SMS jak phishing.

• Prosi o dopłatę lub dane karty przez link - kurier tego nie robi.
• Straszy czasem: "ostatnia szansa", "dziś wygasa", "natychmiast".
• Domena w linku nie jest oficjalną stroną kuriera (jest doklejona w środku obcego adresu).
• Numer przesyłki nie pasuje do niczego, co faktycznie zamówiłeś.
• Każe zainstalować "aplikację do śledzenia" spoza oficjalnego sklepu z aplikacjami.

Jak sprawdzić, czy SMS jest prawdziwy

1. Nie klikaj linku z SMS-a. Wejdź na stronę kuriera, wpisując adres ręcznie w przeglądarce (inpost.pl, dpd.com.pl, dhl.com/pl).
2. Sprawdź numer przesyłki. Każda prawdziwa paczka ma numer śledzenia - wpisz go na oficjalnej stronie i zobacz, czy cokolwiek pasuje.
3. Sprawdź domenę linku. Przytrzymaj palec na linku (telefon) lub najedź myszą (komputer), by zobaczyć pełny adres. Liczy się to, co jest tuż przed pierwszym pojedynczym ukośnikiem - tam powinna być oficjalna domena kuriera, a nie "inpost" doklejone gdzieś w środku obcego adresu.
4. Zapytaj sprzedającego. Czekasz na paczkę z Allegro? Napisz do sprzedającego i zapytaj, jaką firmą wysłał i jaki jest numer śledzenia.

Co zrobić, gdy kliknąłeś i podałeś dane karty

• Natychmiast zadzwoń do banku i zastrzeż kartę. Powiedz wprost, że padłeś ofiarą phishingu kurierskiego.
• Zmień hasła do bankowości online i do poczty.
• Zgłoś fałszywą stronę do CERT Polska przez formularz incydentu CERT Polska - to pomaga zablokować domenę dla kolejnych osób.
• Zgłoś na policję, jeśli doszło do transakcji na twoją kartę.

Jeśli zainstalowałeś aplikację z linku, sprawa jest poważniejsza niż utrata pieniędzy z jednej karty. Złośliwy APK potrafi działać w tle i przechwytywać SMS-y z kodami jednorazowymi, także po odinstalowaniu pozornej "aplikacji kurierskiej". Naszym zdaniem jedynym pewnym rozwiązaniem jest tu przywrócenie telefonu do ustawień fabrycznych - półśrodki w postaci "usunięcia aplikacji" dają złudne poczucie bezpieczeństwa, a kod może dalej wyciekać. Więcej o samej technice znajdziesz w tekście o smishingu i fałszywych SMS-ach.

FAQ

Czy kliknięcie linku bez podawania danych jest niebezpieczne?

Sam klik na aktualnym, załatanym systemie zwykle nie wyrządza szkody. Ryzyko pojawia się, gdy podasz dane lub zainstalujesz aplikację. Niektóre strony próbują jednak wymusić instalację oprogramowania - dlatego bezpieczniej nie klikać wcale.

Dostałem SMS od "InPost", ale niczego nie zamawiałem - skąd mają mój numer?

Przestępcy wysyłają wiadomości masowo do losowych numerów. Trafienie w kogoś, kto akurat czeka na paczkę, zwiększa skuteczność. Twój numer mógł też trafić do bazy z wcześniejszego wycieku danych.

Jak zablokować takie SMS-y?

Zgłoś numer do operatora jako spam. Na Androidzie i iOS jest opcja "zgłoś jako spam" w aplikacji Wiadomości. Operatorzy w Polsce, we współpracy z CERT, coraz skuteczniej filtrują masowe kampanie - ale żaden filtr nie jest stuprocentowy, więc czujność wciąż jest po twojej stronie.

Zapłaciłem tę "dopłatę 1,99 zł" kartą. Czy skoro to grosze, nic mi nie grozi?

Grozi, i to nie ze względu na te dwa złote. W formularzu "dopłaty" oddałeś przestępcom pełny numer karty, datę ważności i kod CVV - a tym da się obciążyć kartę na znacznie większe kwoty. Potraktuj to jak wyciek danych karty: zadzwoń do banku, zastrzeż ją i obserwuj transakcje.

Podsumowanie

Fałszywy SMS kurierski nie liczy na to, że nie znasz InPostu - liczy na to, że przy kwocie 1,99 zł nie zdążysz pomyśleć. Cała ta kategoria oszustw wywraca się na jednej zasadzie: prawdziwy kurier nigdy nie zbiera danych karty ani "dopłat" przez link w SMS-ie. Nie klikaj linku, wejdź na stronę kuriera ręcznie i sprawdź numer przesyłki u źródła. A jeśli już podałeś dane albo zainstalowałeś aplikację - zastrzeż kartę od razu, a przy podejrzeniu złośliwego APK przywróć telefon do ustawień fabrycznych, bo półśrodki tu nie wystarczą.