Fałszywe SMS-y od InPost: Jak rozpoznać phishingowe powiadomienia o Paczkomatach

Jeśli mieszkasz w Polsce, korzystasz z InPost. Z ponad 20 000 Paczkomatów w całym kraju i milionami paczek dostarczanych codziennie, InPost jest głęboko wpleciony w codzienne życie Polaków. I właśnie dlatego fałszywe SMS-y od InPost stały się najczęstszym atakiem phishingowym w Polsce.

CERT Polska konsekwentnie wymienia podszywanie się pod InPost jako kampanię phishingową numer jeden zgłaszaną w kraju. Oto jak się chronić.

Jak działa oszustwo na fałszywe SMS-y od InPost

Podstawowy schemat

1. Dostajesz SMS, który wygląda, jakby przyszedł od InPost
2. Wiadomość brzmi na przykład:
   • „Twoja paczka czeka w Paczkomacie. Dopłać 1,49 zł za przedłużenie"
   • „Paczka nie mogła zostać dostarczona. Zaktualizuj adres"
   • „Opłata celna do uregulowania. Kliknij tutaj"
3. SMS zawiera link do fałszywej strony płatności
4. Strona imituje InPost lub polski bank i prosi o dane karty lub dane logowania do banku
5. Wpisujesz dane, a oszust opróżnia Twoje konto

Dlaczego to jest tak skuteczne

• Timing: Oszuści wysyłają te SMS-y w szczycie zakupowym, gdy większość ludzi czeka na paczki
• Małe kwoty: Żądana „opłata" jest niewielka (1-5 zł), więc wydaje się nieszkodliwa
• Pilność: Wiadomość sugeruje, że paczka zostanie zwrócona, jeśli nie zareagujesz szybko
• Znajomość: Każdy w Polsce korzysta z InPost, więc wiadomość wydaje się wiarygodna

Prawdziwy InPost vs. fałszywy SMS

Jak zweryfikować prawdziwe wiadomości od InPost

1. Otwórz aplikację InPost Mobile — wszystkie prawdziwe dostawy pojawiają się w aplikacji
2. Sprawdź numer przesyłki — wpisz go na inpost.pl, nie przez linki z SMS-ów
3. Szukaj kodu odbioru — prawdziwy SMS od InPost zawiera kod do Paczkomatu
4. Sprawdź nadawcę — prawdziwe wiadomości InPost przychodzą z oficjalnego systemu
5. Nigdy nie klikaj linków w SMS-ach — wejdź bezpośrednio do aplikacji InPost lub na stronę

Popularne warianty fałszywych SMS-ów od InPost

• „Dopłata za paczkę" — dodatkowa opłata za paczkę (InPost nigdy nie pobiera dodatkowych opłat po zakupie)
• „Paczka zwrócona do nadawcy" — paczka zwrócona (sprawdź w aplikacji, nie przez link)
• „Zmień adres dostawy" — zmiana adresu (zawsze rób to w aplikacji)
• „Opłata celna" — opłata celna (prawdziwe opłaty celne są obsługiwane przez kuriera przy dostawie lub przez oficjalny portal celny)
• „Twoja paczka jest za duża" — paczka za duża (InPost nie komunikuje się w ten sposób)

Co zrobić, jeśli kliknąłeś fałszywy link

1. Nie wpisuj żadnych danych — zamknij stronę natychmiast
2. Jeśli podałeś dane karty, zadzwoń do banku TERAZ, żeby zablokować kartę
3. Jeśli podałeś dane logowania do banku, natychmiast zmień hasło
4. Sprawdź konto bankowe pod kątem nieautoryzowanych transakcji
5. Zgłoś SMS do CERT Polska, przekazując go na numer 8080
6. Złóż zgłoszenie na incydent.cert.pl
7. Zainstaluj lub zaktualizuj program antywirusowy na telefonie

Długoterminowa ochrona

1. Używaj aplikacji InPost Mobile jako głównego narzędzia śledzenia — nie SMS-ów
2. Włącz powiadomienia push w aplikacji InPost dla prawdziwych aktualizacji dostaw
3. Zgłaszaj fałszywe SMS-y na 8080 — dedykowany numer phishingowy CERT Polska
4. Aktualizuj system telefonu — łatki bezpieczeństwa pomagają zapobiegać malware
5. Rozważ użycie filtra spamu do wychwytywania podejrzanych SMS-ów
6. Edukuj członków rodziny — starsi bliscy są szczególnie narażeni

Bezpieczne udostępnianie danych adresowych i dostaw

Gdy musisz udostępnić adres dostawy, kod odbioru z Paczkomatu lub inne dane logistyczne, użyj LOCK.PUB, żeby utworzyć link chroniony hasłem z automatycznym wygaśnięciem. To bezpieczniejsza alternatywa dla wysyłania danych osobowych przez SMS lub Messengera, gdzie mogą zostać przechwycone lub ujawnione w wycieku danych.

Podsumowanie

InPost nigdy nie poprosi Cię o dodatkową opłatę przez link w SMS-ie. Jeśli dostaniesz podejrzanego SMS-a podającego się za InPost, nie klikaj w link. Otwórz aplikację InPost bezpośrednio, żeby sprawdzić swoje przesyłki. Przekaż podejrzaną wiadomość na 8080, żeby pomóc CERT Polska w walce z phishingiem w Polsce.

Do bezpiecznego udostępniania danych osobowych, jak adresy czy informacje o koncie, korzystaj z LOCK.PUB — darmowo, szyfrowanie i z automatycznym wygaśnięciem. Bądź czujny i chroń swoje pieniądze.