Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Fałszywe wiadomości o przesyłce rozpoznasz po presji czasu, prośbie o dopłatę oraz linku prowadzącym do nietypowej domeny. Oszuści podszywają się pod InPost i Pocztę Polską, aby wyłudzić dane karty, logowania lub kod BLIK. Sprawdź, jak działa ten schemat i co zrobić po otrzymaniu podejrzanego SMS-a.

Jak działa oszustwo na InPost?

Najczęściej otrzymujesz SMS z informacją, że paczka została wstrzymana z powodu brakującego numeru ulicy, błędnego adresu albo konieczności uiszczenia niewielkiej dopłaty. Wiadomość może wyglądać wiarygodnie, ponieważ zawiera nazwę firmy kurierskiej, numer przesyłki i ostrzeżenie o zwrocie paczki do nadawcy.

Link przenosi na stronę przypominającą serwis InPost lub Poczty Polskiej. Formularz wymaga wpisania danych karty płatniczej, loginu do banku albo kodu BLIK. Niska kwota – zwykle kilka złotych – ma uśpić czujność, lecz po przekazaniu informacji przestępcy mogą próbować pobrać znacznie większą sumę.

InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Nie podawaj danych karty ani bankowości internetowej na stronie otwartej z wiadomości.

Podobny schemat pojawia się przy sprzedaży na portalach ogłoszeniowych. Oszust udaje kupującego, kontaktuje się przez WhatsApp lub SMS, a następnie przesyła grafikę rzekomej usługi dostawy. Sprzedający ma kliknąć link, aby odebrać pieniądze, lecz trafia do formularza wyłudzającego dane bankowe.

Dlaczego wiadomość wygląda wiarygodnie?

Cyberprzestępcy wykorzystują spoofing, czyli podszywanie się pod znaną firmę, numer telefonu lub adres nadawcy. Stosują logo, kolory i język kojarzony z operatorem logistycznym. Czasem wysyłają wiadomość rano albo późnym wieczorem, licząc na pośpiech i nieuwagę.

W kampaniach kierowanych do sprzedających może pomagać web scraping – automatyczne zbieranie numerów telefonów i danych z publicznych ogłoszeń. Dlatego oferta opublikowana w serwisie sprzedażowym może szybko przyciągnąć fałszywego kupującego.

Po czym rozpoznać fałszywy SMS lub e-mail?

Nie każdy błąd językowy przesądza o oszustwie, ale kilka sygnałów występujących razem powinno zatrzymać Cię przed kliknięciem. Szczególną ostrożność zachowaj, gdy wiadomość wymaga natychmiastowej reakcji albo grozi utratą paczki.

Sprawdź przede wszystkim:

• nietypowy adres strony, literówki i domenę niezwiązaną z oficjalną witryną firmy,
• wezwanie do dopłaty, podania danych karty lub zatwierdzenia kodu BLIK,
• presję czasu oraz informację o rychłym zwrocie przesyłki,
• błędy ortograficzne, brak polskich znaków i nienaturalne sformułowania,
• numer nadawcy z zagranicznym kierunkowym albo wiadomość wysłaną poza kanałem używanym przez platformę sprzedażową,
• prośbę o instalację aplikacji, programu lub otwarcie załącznika.

Fałszywe wiadomości e-mail mogą pochodzić z adresów łudząco podobnych do prawdziwych, na przykład z literówką w nazwie domeny. Oryginalne powiadomienia InPost nie zawierają załączników. Plik DOC, TXT lub PDF opisany jako list przewozowy należy usunąć bez otwierania.

Wiadomość może też namawiać do wysłania płatnego SMS-a w celu sprawdzenia statusu paczki. Taka opłata trafia do oszustów, a przesłanie kodu nie daje dostępu do żadnej prawdziwej informacji.

SMS, który podszywa się pod kuriera

Przykładowy komunikat informuje o braku numeru ulicy i zawiera adres przypominający nazwę operatora. Sama obecność słowa InPost nie potwierdza autentyczności. Liczy się pełny adres domeny – także jego końcówka, znaki i dodatkowe człony.

Fałszywa dostawa przy sprzedaży

Podczas sprzedaży nie musisz potwierdzać transakcji przez zewnętrzny formularz przesłany przez kupującego. Prawdziwe potwierdzenie sprzedaży pojawia się w systemie portalu, na którym wystawiono ofertę. InPost nie wymaga logowania do banku, aby sprzedający odebrał środki za przedmiot.

Phishing, smishing i inne metody ataku

Phishing polega na podszywaniu się pod instytucję lub osobę w celu przejęcia poufnych danych. Wariant SMS-owy nosi nazwę smishing. Właśnie z nim mamy do czynienia, gdy wiadomość o paczce prowadzi do fałszywej płatności.

Inny mechanizm stanowi pharming. Zainfekowany komputer lub telefon może przekierować użytkownika na podrobioną stronę nawet wtedy, gdy samodzielnie wpisze prawidłowy adres. Złośliwe oprogramowanie obejmuje między innymi trojany, programy szpiegujące i keyloggery.

Ransomware blokuje dostęp do systemu lub szyfruje pliki, a sprawca żąda okupu. Ten typ zagrożenia nie jest typowym oszustwem na przesyłkę, ale może pojawić się po otwarciu zainfekowanego załącznika albo pobraniu fałszywej aplikacji.

CSIRT NASK ostrzega przed kampaniami phishingowymi i zaleca zgłaszanie podejrzanych komunikatów. W 2022 roku CERT Polska zarejestrował ponad 322 tysiące incydentów, czyli o około jedną trzecią więcej niż rok wcześniej.

Co zrobić po kliknięciu w link?

Samo otwarcie strony nie zawsze oznacza utratę pieniędzy. Ryzyko rośnie wtedy, gdy wpiszesz dane, pobierzesz plik, zainstalujesz aplikację albo zatwierdzisz operację w banku. Działaj szybko, ale nie kontaktuj się z numerem podanym w podejrzanej wiadomości.

Jeśli przekazałeś dane karty lub bankowości internetowej:

1. natychmiast zadzwoń do banku, korzystając z numeru z jego oficjalnej strony lub aplikacji,
2. zastrzeż kartę i poproś o sprawdzenie oraz blokadę podejrzanych transakcji,
3. zmień hasła, zaczynając od bankowości i poczty elektronicznej,
4. zabezpiecz konto dodatkowym uwierzytelnianiem, jeśli bank je udostępnia,
5. zachowaj SMS, adres strony, potwierdzenia płatności i zrzuty ekranu.

Po instalacji podejrzanego programu odłącz urządzenie od Internetu i nie loguj się na nim do banku. W przypadku utraty środków zgłoś sprawę policji. Warto także poinformować portal ogłoszeniowy oraz firmę, pod którą podszywał się sprawca.

Gdzie zgłosić podejrzaną wiadomość?

Podejrzany SMS możesz przekazać do CERT Polska za pomocą bezpłatnego numeru 8080. Numer działa od 22 listopada i służy do zgłaszania wiadomości zawierających link, a także tych bez odnośnika. Najlepiej użyć funkcji Przekaż, aby zachować pełną treść komunikatu.

Możesz też zgłosić incydent przez formularz incydent.cert.pl albo wysłać wiadomość na [email protected]. Nie skracaj treści i nie usuwaj linku. Podstawą uruchomienia numeru 8080 była Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej.

Wiadomość podszywającą się pod InPost zgłoś również firmie, podając kanał kontaktu, numer telefonu lub adres e-mail oraz podejrzany odnośnik. Nie otwieraj go ponownie. Status prawdziwej paczki sprawdzaj bezpośrednio na oficjalnej stronie albo w aplikacji InPost Mobile, pobranej z autoryzowanego sklepu.

Oficjalny kontakt wybieraj samodzielnie. Numer telefonu, adres e-mail i stronę instytucji znajdź poza otrzymanym SMS-em.