Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Fałszywe wiadomości o przesyłce rozpoznasz po nietypowym adresie strony, presji czasu, prośbie o dopłatę oraz żądaniu danych karty, logowania lub kodu BLIK. Nie klikaj w link z SMS-a i zgłoś podejany komunikat na bezpłatny numer 8080. Sprawdź, jak działają oszuści i co zrobić po podaniu danych.

Jak działa oszustwo na InPost?

Cyberprzestępcy podszywają się pod InPost, Pocztę Polską albo inną firmę kurierską. Wysyłają SMS lub e-mail z informacją o problemie z doręczeniem, braku numeru ulicy, konieczności dopłaty albo ponowieniu dostawy. Niewielka kwota ma uśpić czujność, a groźba zwrotu paczki wywołuje pośpiech.

Wiadomość prowadzi do witryny przypominającej prawdziwą stronę przewoźnika. Formularz może żądać numeru karty, daty ważności, kodu CVV, danych logowania do banku albo kodu BLIK. W rzeczywistości informacje trafiają do przestępców, którzy próbują wypłacić pieniądze lub przejąć dostęp do rachunku.

InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Rozliczenia pojawiają się w Managerze Paczek albo na fakturze.

Fałszywy kupujący na portalu ogłoszeniowym

Drugi wariant dotyczy osób sprzedających przedmioty na OLX, Allegro Lokalnie, Vinted lub w grupach społecznościowych. Oszust szybko deklaruje zakup, lecz zamiast korzystać z komunikatora platformy przenosi rozmowę na WhatsApp albo SMS. Następnie proponuje rzekomą usługę InPost i przesyła grafikę stylizowaną na firmową.

Sprzedający otrzymuje link do odbioru pieniędzy. Strona wymaga wpisania danych karty, numeru rachunku lub zalogowania w banku. InPost nie prowadzi takiej procedury sprzedaży, w której sprzedawca musi podać dane bankowości, aby odebrać zapłatę za towar.

Po czym poznać fałszywy SMS lub e-mail?

Sam wygląd komunikatu nie wystarcza do potwierdzenia autentyczności. Oszuści kopiują kolory, logo i układ stron, lecz często popełniają błędy w adresie domeny, pisowni albo treści. Podejrzany link może wyglądać wiarygodnie tylko na pierwszy rzut oka – domena po właściwej nazwie firmy bywa zupełnie obca.

Zwróć uwagę na kilka sygnałów ostrzegawczych:

• wiadomość informuje o nieistniejącej dopłacie lub blokadzie paczki,
• link prowadzi do domeny z literówką albo nietypowym rozszerzeniem,
• nadawca wymaga natychmiastowego działania i straszy zwrotem przesyłki,
• formularz prosi o numer karty, kod CVV, PIN, hasło lub kod BLIK,
• e-mail zawiera załącznik, choć prawdziwe powiadomienia InPost go nie mają,
• kontakt przychodzi z zagranicznego numeru albo spoza kanału platformy sprzedażowej.

Adres strony sprawdź ręcznie. Nie używaj odnośnika z wiadomości ani numeru telefonu wskazanego przez nadawcę. Otwórz oficjalną witrynę firmy w nowej karcie i tam znajdź kontakt lub informacje o przesyłce.

Phishing, smishing i spoofing

Phishing polega na podszywaniu się pod znaną osobę, firmę lub instytucję w celu wyłudzenia poufnych danych. Jego odmiana SMS-owa to smishing. Wiadomość tekstowa ma nakłonić odbiorcę do kliknięcia, płatności albo przekazania informacji.

Spoofing oznacza fałszowanie tożsamości nadawcy. Numer telefonu, nazwa firmy lub adres e-mail mogą wyglądać znajomo, choć komunikat pochodzi od przestępcy. Dlatego sama nazwa wyświetlana przy SMS-ie nie potwierdza jego źródła.

Dlaczego oszuści wybierają wizerunek InPost?

InPost jest powszechnie rozpoznawalnym operatorem dostaw. Rozbudowana sieć automatów paczkowych i częsta obecność firmy w zakupach internetowych sprawiają, że odbiorca może spodziewać się prawdziwej przesyłki. W materiałach źródłowych wskazywano także rozwój sieci do poziomu 15 000 paczkomatów.

Przestępcy liczą na automatyczną reakcję. Ktoś czeka na paczkę, widzi nazwę znanej firmy i nie sprawdza domeny. W przypadku ogłoszeń sprzedażowych pomaga im web scraping – automatyczne zbieranie numerów telefonów oraz innych danych publikowanych w ofertach.

Nieznajomość usług branży KEP, czyli przesyłek kurierskich, ekspresowych i paczkowych, ułatwia manipulację. Rzekoma nowa forma dostawy brzmi wiarygodnie, szczególnie gdy oszust dołącza instrukcję z logo przewoźnika.

Co zrobić po kliknięciu lub podaniu danych?

Reakcja powinna być szybka, lecz bez wykonywania kolejnych poleceń z podejrzanej strony. Zamknij witrynę, nie zatwierdzaj płatności i nie przekazuj kodów autoryzacyjnych. Jeśli podałeś dane karty albo bankowości internetowej, natychmiast skontaktuj się z bankiem oficjalnym kanałem.

W zależności od sytuacji wykonaj następujące czynności:

1. zablokuj kartę i poproś bank o sprawdzenie lub wstrzymanie podejrzanych transakcji,
2. zmień hasło do bankowości oraz innych kont, jeśli używałeś tego samego hasła,
3. zachowaj SMS, adres strony, numer nadawcy, zrzuty ekranu i potwierdzenia płatności,
4. zgłoś incydent do CERT Polska, banku, firmy kurierskiej i portalu ogłoszeniowego,
5. jeśli doszło do straty pieniędzy, zawiadom policję i przekaż pełną dokumentację.

Nie usuwaj wiadomości przed jej zgłoszeniem. Oryginalna treść może pomóc ustalić sposób działania sprawców oraz zablokować kolejne domeny.

Bank nigdy nie poprosi Cię o PIN do aplikacji w ankiecie ani o hasło do serwisu internetowego w aplikacji mobilnej.

Gdzie zgłosić podejrzany komunikat?

CSIRT NASK ostrzega przed kampaniami phishingowymi i przyjmuje zgłoszenia dotyczące fałszywych SMS-ów oraz stron. Podejrzaną wiadomość możesz przekazać na numer 8080. Zgłoszenie SMS-em jest bezpłatne w Polsce.

Najlepiej użyć funkcji „Przekaż” lub „Prześlij dalej”, aby zachować pełną wiadomość i link. Gdy telefon nie oferuje takiej funkcji, skopiuj całą treść bez wycinania adresu. Możesz też skorzystać z formularza incydent.cert.pl albo wysłać wiadomość na [email protected].

Próbę podszycia pod firmę kurierską zgłoś także bezpośrednio tej firmie, korzystając z danych znalezionych na jej oficjalnej stronie. Nie odpowiadaj oszustowi i nie dzwoń pod numer umieszczony w podejanym SMS-ie.

Jak bezpiecznie sprzedawać i odbierać paczki?

Transakcję prowadź w systemie platformy, na której wystawiono ogłoszenie. Prośba o przejście na WhatsApp, przesłanie adresu e-mail albo użycie nieznanej strony płatniczej powinna wzbudzić czujność. Kupujący nie może „odblokować” zapłaty za pomocą danych karty sprzedawcy.

Chroń również urządzenie. Aktualny system, legalne aplikacje, silne hasło i blokada biometryczna ograniczają ryzyko przejęcia konta. Nie instaluj programu z linku otrzymanego w wiadomości. Może zawierać malware, w tym program szpiegujący lub rejestrujący znaki wpisywane na klawiaturze.

Ransomware działa inaczej – blokuje dostęp do systemu albo szyfruje pliki i żąda okupu. Nie jest typowym elementem oszustwa na przesyłkę, lecz zainfekowany załącznik lub fałszywa strona może otworzyć drogę do takiego ataku. Nieznane pliki, zwłaszcza dokumenty i archiwa, pozostaw nieotwarte.

Przed odebraniem paczki pobraniowej sprawdź, kto ją nadał i czy ktoś z domowników rzeczywiście składał zamówienie. W firmie lub recepcji sama obecność etykiety kurierskiej nie potwierdza zakupu. Przy wątpliwościach odmowa odbioru jest bezpieczniejsza niż płatność za przesyłkę, której nikt nie zamawiał.