Fałszywy SMS z InPost i innych kurierów — jak rozpoznać i co robić

„Twoja przesyłka wstrzymana z powodu nieopłaconej dopłaty. Zapłać 1,45 zł, żeby wznowić dostawę" — jeśli taki SMS dostała większość twoich znajomych, to nie zbieg okoliczności. Fałszywe wiadomości podszywające się pod InPost, DHL, DPD, Pocztę Polską czy Allegro to jedna z najczęstszych form smishingu w Polsce, a drobna kwota jest kluczem do całego mechanizmu.

Dlaczego akurat 1,45 zł

Niewielka „dopłata" pełni trzy funkcje naraz. Po pierwsze, nie budzi podejrzeń — za takie pieniądze nie szkoda, zwłaszcza jeśli faktycznie coś zamawiasz. Po drugie, działa jak potwierdzenie aktywnego numeru i jeśli ofiara wpisa dane karty — przestępca wie, że ta karta działa i jest skłonna do płacenia. Po trzecie, pierwsza mikrotransakcja otwiera drogę do kolejnych: raz zapisane dane karty da się obciążyć ponownie o znacznie większe kwoty.

W wariantach bez dopłaty zamiast płatności pojawia się prośba o:

• kliknięcie linku „śledzenia przesyłki" (strona wyłudza dane lub instaluje malware),
• pobranie „aplikacji kuriera" — w praktyce złośliwego oprogramowania,
• wpisanie danych do logowania (np. do portalu sprzedażowego albo banku),
• podanie imienia, adresu i numeru telefonu do „ponownej dostawy".

Jak wygląda prawdziwa wiadomość od przewoźnika

Uczciwe powiadomienia z przesyłki mają jedną cechę wspólną: odwołują się do twojego zamówienia, a nie do twojej karty. Prawdziwy kurier:

• zwykle wysyła wiadomość w ramach wątku powiązanego z zamówieniem — masz śledzenie u sprzedawcy i numer przesyłki, do którego się odnosisz;
• nie prosi o dopłatę przez SMS z linkiem do płatności — ewentualne niedopłatę rozlicza w panelu zamówienia u sprzedawcy lub w oficjalnej aplikacji przewoźnika;
• nie posługuje się presją czasu typu „w ciągu 2 minut albo paczka wróci".

Jeśli coś jest niejasne, nie klikaj w SMS-a. Wejdź w aplikację sklepu lub przewoźnika z ikony na telefonie i tam sprawdź status przesyłki. To jedyna droga, która nie zależy od tego, czy link w wiadomości był prawdziwy.

Czerwone flagi w praktyce

Najczęstsze sygnały, że wiadomość jest fałszywa:

• link do nieznanej domeny — nie strony przewoźnika, tylko przypadkowej witryny z długim adresem;
• poczucie pilności — „ostatnia szansa", „paczka zostanie zniszczona", licznik odliczający;
• prośba o dane karty przy „dopłacie", mimo że w aplikacji masz zapisane inne metody płatności;
• treść ogólna — nie ma numeru przesyłki, nazwy sklepu ani konkretów, tylko uniwersalny tekst pasujący do każdego odbiorcy;
• nietypowe formatowanie — bywa subtelne, ale zwykle coś nie gra.

Żadna z tych flag pojedynczo nie jest dowodem, ale dwie-trzy naraz to niemal pewniak. A nawet gdyby wiadomość była prawdziwa, przesyłkę i tak obsłużysz bezpieczniej w oficjalnej aplikacji — nic nie tracisz.

Co zrobić, gdy SMS już się trafił

Postępuj według stopnia „zaangażowania":

• Tylko przeczytałem, nie klikałem. Nic nie rób, po prostu zgłoś wiadomość dalej (o tym niżej) i skasuj.
• Kliknąłem, nic nie podawałem. Zamknij stronę, nie pobieraj plików. Jeśli coś się zainstalowało — odinstaluj, przeskanuj telefon i zmień hasła do ważnych kont.
• Podałem dane karty. Zadzwoń do banku (numer z aplikacji lub odwrotu karty), zablokuj kartę, sprawdź historię transakcji i zgłoś nieautoryzowane obciążenia.
• Zapłaciłem „dopłatę". Traktuj to jak podejrzenie oszustwa: bank na linii, blokada karty, zawiadomienie policji.

Skąd oszuści mają twoje dane

Wielu odbiorców fałszywych SMS-ów faktycznie oczekuje w danym momencie jakiejś przesyłki i to nie przypadek. Przestępcy grają statystycznie: wysyłają miliony wiadomości o charakterze ogólnym, licząc, że część odbiorców właśnie czeka na paczkę — a przewoźnicy w Polsce obsługują ogromną liczbę codziennych dostaw, więc trafienie w odbiorcę „w przesyłce" jest niemal pewne. Danych osobowych do tego dostarczają wycieki z serwisów sprzedażowych i kupowane listy numerów.

Z tego wynika praktyczny wniosek: zawartość SMS-a nie zależy od twoich realnych zamówień. To, że wiadomość trafiła w moment oczekiwania na paczkę, nie czyni jej prawdziwą. Zawsze weryfikuj status przesyłki w miejscu, które kontrolujesz sam — aplikacji sklepu lub przewoźnika — a nie w treści przychodzącej wiadomości.

Gdzie zgłaszać fałszywe SMS-y

Fałszywe linki od kurierów warto zgłaszać do CERT Polska, które przyjmuje zgłoszenia o podejrzanych stronach i kampaniach phishingowych — zgłoszony adres szybciej trafia do filtrów. Równolegle możesz poinformować przewoźnika, którego nazwy użyto (duże firmy mają dedykowane kanały zgłaszania oszustw), oraz operatora komórkowego.

Na co dzień oszczędzi ci czasu filtrowanie takich wiadomości zanim w ogóle dotrą do skrzynki — właśnie dlatego użytkownicy instalują aplikacje blokujące SMS-y i połączenia; w przypadku NoCall wiadomości od zgłoszonych numerów są oznaczane na podstawie opinii społeczności.

Podsumowanie

Fałszywy SMS od kuriera to nie problem techniczny, tylko prosty test na presję: drobna kwota, pilny termin, znajome logo. Nie klikaj w link z wiadomości, obsłuż przesyłkę w oficjalnej aplikacji, a podejrzane wiadomości zgłaszaj — im więcej osób to robi, tym krócej dana kampania żyje.