SMS o dopłacie do paczki, cła i zwrotu podatku

Krótki SMS, na pozór od InPostu, Poczty Polskiej albo DHL: paczka wstrzymana, brakuje złotówki, kliknij i dopłać. Tak wygląda jedno z najpopularniejszych oszustw SMS-owych w Polsce — CSIRT NASK ostrzega przed nim regularnie, a fala wraca przy każdym szczycie zakupowym. Grosze są tylko przynętą: naprawdę chodzi o dane Twojej karty albo login do banku. Ten schemat znajdziesz też w naszym przeglądzie: wszystkie metody oszustw w Polsce.

Jak działa to oszustwo

1. Masowa wysyłka SMS-ów. Przestępcy rozsyłają wiadomości hurtowo, na tysiące numerów naraz — nie sprawdzają, czy akurat czekasz na przesyłkę. Najczęściej podszywają się pod InPost i Pocztę Polską, w innych falach pod DHL czy DPD.
2. Wiadomość brzmi zwyczajnie i zawiera link. Typowa treść, cytowana w wielu komunikatach policji: „Twoja paczka zostala wstrzymana z powodu braku numeru ulicy na paczce”. Inne warianty mówią o dopłacie do przesyłki, opłacie celnej albo „potwierdzeniu płatności”. Kwota jest celowo drobna — często poniżej złotówki — bo mała suma nie budzi czujności.
3. Link prowadzi na podrobioną stronę przewoźnika. Wygląda niemal jak oryginał: logo, kolory, numer „Twojej” przesyłki i przycisk dopłaty.
4. Fałszywa bramka płatności zbiera dane. Formularz prosi o numer karty, datę ważności i kod CVV albo przekierowuje na podrobioną stronę logowania banku, gdzie zostawiasz login i hasło.
5. Wariant z aplikacją. Czasem link namawia do instalacji „aplikacji kuriera”. To złośliwe oprogramowanie, które potrafi przechwytywać SMS-y z kodami autoryzacyjnymi z banku.
6. Finał. Z danymi karty lub loginem oszuści czyszczą konto. Policja opisała przypadek z powiatu kozienickiego, w którym po „dopłacie” 0,87 zł z konta ofiary zniknęło kilka tysięcy złotych.

Trzy warianty tej samej metody

Paczka jest najczęstszym, ale nie jedynym pretekstem. Schemat zawsze wygląda tak samo — drobna kwota, presja czasu, link do podrobionej bramki płatności — zmienia się tylko instytucja, pod którą podszywają się przestępcy.

Wariant kurierski to ten opisany wyżej: wstrzymana paczka i groszowa dopłata.

Wariant podatkowy działa odwrotnie, bo nie straszy stratą, tylko kusi zyskiem. Mail albo SMS rzekomo z Krajowej Administracji Skarbowej informuje o nadpłacie:

„System wykrył nadpłatę w Twoim rozliczeniu PIT. Odbierz zwrot 342 zł, zanim wygaśnie termin: [link]”

Strona jest wierną kopią portalu podatki.gov.pl. Formularz każe wybrać bank z listy i zalogować się przez zewnętrzną stronę — i to jest moment, w którym przestępca przechwytuje login oraz hasło do bankowości. Prawdziwy zwrot podatku widać wyłącznie po samodzielnym zalogowaniu się do e-Urzędu Skarbowego, nigdy przez link z wiadomości.

Wariant celny to mail zatytułowany „Wezwanie do zapłaty — opłata celna”: paczka z zagranicy rzekomo czeka na odprawę, a Ty masz wnieść „opłatę celną i manipulacyjną”. CSIRT KNF opisywał dokładnie ten mechanizm — po kliknięciu przycisku „zapłać teraz” ofiara trafiała na fałszywą bramkę płatności i tam wpisywała dane karty.

Pokrewne warianty z tego samego nurtu opisujemy w fiszkach o fałszywej fakturze za prąd i SMS-ie o mandacie z „mObywatela”. Pełną mapę metod znajdziesz w przeglądzie oszustw w Polsce.

Co zrobić, gdy to się dzieje

• Nie klikaj w link. Jeśli faktycznie czekasz na paczkę, sprawdź jej status w oficjalnej aplikacji przewoźnika albo wpisz jego adres ręcznie w przeglądarce. CSIRT NASK zaleca weryfikację bezpośrednio u firmy kurierskiej, nigdy przez link z SMS-a.
• Kliknąłeś, ale nic nie wpisałeś? Zamknij stronę i niczego nie instaluj. Groźne jest dopiero podanie danych lub instalacja aplikacji.
• Podałeś dane karty lub login do banku? Natychmiast zadzwoń do swojego banku i zastrzeż kartę — działa też całodobowy numer zastrzegania kart 828 828 828. Zmień hasła do bankowości elektronicznej. Pełną listę kroków po takim zdarzeniu znajdziesz w poradniku co zrobić po oszustwie.
• Zainstalowałeś aplikację z linku? Skontaktuj się z bankiem, najlepiej z innego urządzenia, i usuń aplikację z telefonu.
• Podałeś dane z dowodu? Zastrzeż dokument tożsamości — to jedno z zaleceń Centralnego Biura Zwalczania Cyberprzestępczości dla ofiar tego schematu.
• Nie widzisz jeszcze podejrzanej transakcji? To nic nie znaczy. Oszuści bywają cierpliwi i wykorzystują skradzione dane po kilku dniach, kiedy czujność ofiary już opadnie. Zastrzeż kartę i zmień hasła niezależnie od tego, co pokazuje historia konta.
• Sprawdzaj wyłącznie u źródła. Status przesyłki — w oficjalnej aplikacji przewoźnika. Zwrot podatku — po samodzielnym zalogowaniu do e-Urzędu Skarbowego. Nigdy przez link z wiadomości.

Pełną ścieżkę zgłoszeń, z numerami i formularzami, zebraliśmy w poradniku gdzie zgłosić oszustwo.

Gdzie zgłosić

• CERT Polska — podejrzanego SMS-a przekaż (funkcją „przekaż dalej”) na numer 8080; w Polsce to nic nie kosztuje. Incydent zgłosisz też formularzem na incydent.cert.pl lub mailem na cert@cert.pl.
• KNF (knf.gov.pl) — zespół CSIRT KNF reaguje na incydenty w sektorze finansowym, ale przyjmuje zgłoszenia od instytucji, nie od ich klientów. Dla Ciebie użyteczne są materiały KNF o phishingowych wiadomościach SMS, gdzie opisano ten sam schemat wyłudzenia.
• Policja — jeśli straciłeś pieniądze, złóż zawiadomienie w najbliższej jednostce; przed cyberoszustwami kurierskimi ostrzega też Centralne Biuro Zwalczania Cyberprzestępczości. W sytuacji nagłej dzwoń na 112.
• Twój bank — gdy w grę wchodzą dane karty lub konta, telefon do banku to zawsze pierwszy krok, jeszcze przed formalnym zgłoszeniem.