Fałszywe SMS-y „od kuriera” i sklepów – jak rozpoznać oszustwo

SMS z prośbą o dopłatę kilku złotych do przesyłki, „wstrzymaną paczkę” albo „niepełny adres” to w zdecydowanej większości przypadków oszustwo – firmy kurierskie nie wysyłają linków do płatności za doręczenie paczki, którą już opłaciłeś. Nie klikaj w link, a podejrzaną wiadomość przekaż bezpłatnie na numer 8080 – trafi do zespołu CERT Polska, który blokuje niebezpieczne strony. Jeśli już podałeś dane karty lub logowania do banku, natychmiast zadzwoń do banku i zastrzeż kartę.

Dlaczego teraz jest ich najwięcej

Przed Black Friday (w tym roku 27 listopada) i świętami kupujemy więcej w internecie i czekamy na wiele paczek naraz. Oszuści to wiedzą – SMS „o paczce” trafia do osoby, która rzeczywiście na coś czeka, więc łatwiej uwierzyć. Do tego dochodzą fałszywe sklepy z „promocjami” i wiadomości podszywające się pod platformy sprzedażowe.

Jak wyglądają fałszywe wiadomości – przykłady schematów

Poniżej typowe schematy (przykłady opracowane redakcyjnie na podstawie ostrzeżeń, bez prawdziwych adresów):

• „Twoja przesyłka została wstrzymana z powodu niepełnego adresu. Zaktualizuj dane: [link]”
• „Dopłata 1,99 zł do przesyłki. Bez wpłaty paczka wróci do nadawcy: [link]”
• „Paczka czeka w punkcie odbioru. Potwierdź odbiór w ciągu 24 h: [link]”
• „Zamówienie zostało opłacone, odbierz środki ze sprzedaży: [link]” (oszustwo „na kupującego” na portalach ogłoszeniowych)
• „Twoja paczka nie mogła zostać doręczona – pobierz aplikację do śledzenia: [link]” (link do złośliwej aplikacji)

Wspólny mianownik: pośpiech, mała kwota i link. Mała kwota usypia czujność – nikt nie zastanawia się długo nad dwoma złotymi. Problem w tym, że na fałszywej stronie podajesz pełne dane karty albo logujesz się do banku, a oszust wykorzystuje je do dużo większych transakcji.

7 sygnałów ostrzegawczych

1. Link w SMS-ie z prośbą o płatność lub logowanie – to najważniejszy sygnał.
2. Presja czasu – „w ciągu 24 godzin”, „ostatnie ostrzeżenie”.
3. Dziwny adres strony – literówki w nazwie firmy, dodatkowe słowa („-dostawa”, „-pl-paczka”), nietypowe końcówki domen.
4. Nadawca to zwykły numer telefonu, często zagraniczny, zamiast nazwy firmy (choć nazwę nadawcy też da się podrobić).
5. Nie zamawiałeś niczego u tej firmy albo przesyłka już do ciebie dotarła.
6. Prośba o dane karty przy „dopłacie” – w tym numeru CVV i kodu z SMS-a.
7. Prośba o instalację aplikacji spoza oficjalnego sklepu z aplikacjami.

Jak sprawdzić, czy wiadomość jest prawdziwa

• Nie klikaj w link. Otwórz aplikację lub stronę kuriera samodzielnie (wpisując adres ręcznie albo z zakładek) i sprawdź status po numerze przesyłki z maila potwierdzającego zamówienie.
• Porównaj numer przesyłki z tym, który dostałeś od sklepu.
• Zapytaj sklep – w historii zamówień zobaczysz, którym kurierem idzie paczka.
• Sprawdź listę ostrzeżeń CERT Polska – zespół publikuje listę niebezpiecznych domen, które operatorzy i przeglądarki mogą blokować.

Pamiętaj, że strona z kłódką w pasku adresu nie jest dowodem uczciwości – fałszywe strony też mają certyfikaty SSL.

Co zrobić, gdy już kliknąłeś

Kliknąłeś, ale nic nie wpisałeś

Najczęściej nic się nie stało. Zamknij stronę, nie pobieraj żadnych plików i przekaż SMS na 8080. Jeśli telefon pytał o instalację aplikacji i się na nią zgodziłeś – przejdź do kolejnego punktu.

Podałeś dane karty lub zalogowałeś się do banku

Liczy się czas:

1. Zadzwoń do banku – numer znajdziesz na odwrocie karty lub na oficjalnej stronie. Poproś o zastrzeżenie karty i zablokowanie podejrzanych transakcji.
2. Zmień hasło do bankowości z innego, zaufanego urządzenia.
3. Sprawdź historię transakcji i ustawienia bankowości: nowe zaufane urządzenia, odbiorców, limity.
4. Zastrzeż PESEL w aplikacji mObywatel lub przez serwis gov.pl, jeśli podawałeś dane osobowe – utrudni to zaciągnięcie kredytu na twoje dane.
5. Zgłoś sprawę na policję – przyda się przy reklamacji w banku.

Zainstalowałeś aplikację z linku

• Natychmiast wyłącz internet w telefonie (tryb samolotowy).
• Odinstaluj aplikację; jeśli nie da się jej usunąć, sprawdź w ustawieniach, czy nie ma uprawnień administratora urządzenia.
• Z innego urządzenia zmień hasła do banku i poczty, a bank poinformuj o incydencie.
• W razie wątpliwości przywróć telefon do ustawień fabrycznych (po zrobieniu kopii zdjęć i kontaktów).

Jak zgłosić oszustwo SMS na 8080

1. Przytrzymaj podejrzaną wiadomość i wybierz „Przekaż”.
2. Jako odbiorcę wpisz 8080.
3. Wyślij wiadomość bez zmian. Wysłanie SMS-a na ten numer w Polsce jest bezpłatne.

CERT Polska analizuje zgłoszenia, a niebezpieczne domeny trafiają na listę ostrzeżeń, dzięki której operatorzy mogą blokować dostęp do fałszywych stron i podobne wiadomości. Podejrzane maile i strony możesz zgłosić także przez formularz na incydent.cert.pl.

Jak się chronić na przyszłość

• Włącz w banku powiadomienia o każdej transakcji i ustaw niskie limity dla płatności internetowych.
• Do zakupów online używaj karty wirtualnej lub BLIK-a zamiast podawać pełne dane karty.
• Instaluj aplikacje tylko z oficjalnych sklepów.
• Aktualizuj system telefonu i przeglądarkę.
• Uprzedź starszych członków rodziny – to często im oszuści wysyłają najwięcej wiadomości.

Kupując w okresie promocji, zwracaj uwagę także na fałszywe sklepy. Więcej o bezpiecznych zakupach i ochronie urządzeń przeczytasz w tekście darmowy antywirus – fakty, mity i bezpieczne wybory oraz w kategorii technologia.

Najczęściej zadawane pytania

Źródła

• gov.pl – Coraz więcej prób wyłudzenia przez fałszywe SMS-y. Zachowaj czujność
• CERT Polska – zgłaszanie incydentów
• Android.com.pl – Black Friday: UOKiK o okazjach i pułapkach