Lừa đảo SMS giả InPost: cách phát hiện thông báo phishing Paczkomat tại Ba Lan

Nếu bạn sống tại Ba Lan, bạn chắc chắn dùng InPost. Với hơn 20.000 tủ đựng bưu kiện Paczkomat trên cả nước và hàng triệu gói hàng được giao mỗi ngày, InPost gắn bó sâu sắc với cuộc sống hàng ngày của người Ba Lan. Và đó chính xác là lý do SMS giả InPost đã trở thành hình thức tấn công phishing phổ biến nhất tại Ba Lan.

CERT Polska liên tục xếp hạng giả mạo InPost là chiến dịch phishing số một được báo cáo trong nước. Đây là cách tự bảo vệ mình.

Cách lừa đảo SMS giả InPost hoạt động

Mô hình cơ bản

1. Bạn nhận SMS có vẻ đến từ InPost
2. Nội dung tin nhắn kiểu như:
   • "Bưu kiện đang chờ tại Paczkomat. Trả 1,49 PLN để gia hạn"
   • "Bưu kiện không thể giao. Cập nhật địa chỉ"
   • "Phí hải quan cần thanh toán. Nhấp vào đây"
3. SMS chứa đường link đến trang thanh toán giả
4. Trang giả mạo InPost hoặc ngân hàng Ba Lan và yêu cầu thông tin thẻ hoặc đăng nhập ngân hàng
5. Bạn nhập thông tin, kẻ lừa đảo rút sạch tài khoản

Tại sao nó hiệu quả

• Thời điểm: Kẻ lừa đảo gửi trong mùa mua sắm cao điểm khi hầu hết mọi người đang chờ bưu kiện
• Số tiền nhỏ: "Phí" yêu cầu rất nhỏ (1-5 PLN), trông vô hại
• Gấp gáp: Tin nhắn ngụ ý bưu kiện sẽ bị trả lại nếu không hành động nhanh
• Quen thuộc: Mọi người ở Ba Lan đều dùng InPost, nên tin nhắn có vẻ liên quan

Liên lạc InPost thật vs. giả

Đặc điểm	InPost thật	SMS lừa đảo
Tên người gửi	InPost (từ hệ thống chính thức)	Số điện thoại ngẫu nhiên hoặc "InPost" giả
Nội dung	Mã nhận hàng, vị trí tủ	Yêu cầu thanh toán, phí, cập nhật địa chỉ
Đường link	Chỉ app.inpost.pl hoặc inpost.pl	inpost-delivery.com, paczkomat-pay.pl, v.v.
Yêu cầu thanh toán	Không bao giờ yêu cầu thanh toán qua link SMS	Luôn yêu cầu khoản thanh toán nhỏ
Mã nhận hàng	Có mã 6 chữ số cho Paczkomat	Không có mã nhận
Thông báo ứng dụng	Luôn có thông báo tương ứng trong app InPost	Không có thông báo tương ứng

Cách xác minh tin nhắn InPost hợp pháp

1. Mở ứng dụng InPost Mobile — Tất cả giao hàng thật xuất hiện trong app
2. Kiểm tra mã theo dõi — Nhập trên inpost.pl, không qua link SMS
3. Tìm mã nhận hàng — SMS InPost thật có mã Paczkomat
4. Xác minh người gửi — Tin nhắn thật đến từ hệ thống chính thức
5. Không bao giờ nhấp link trong SMS — Đi trực tiếp đến app hoặc website InPost

Các biến thể SMS giả InPost phổ biến

• "Phí bổ sung cho bưu kiện" — InPost không bao giờ tính thêm sau khi mua
• "Bưu kiện đã trả lại người gửi" — Kiểm tra trong app, không qua link
• "Đổi địa chỉ giao hàng" — Luôn thực hiện trong app
• "Phí hải quan" — Phí hải quan hợp pháp được xử lý bởi người giao tại nơi nhận hoặc qua cổng hải quan chính thức
• "Bưu kiện quá lớn" — InPost không liên lạc kiểu này

Phải làm gì nếu bạn nhấp vào link giả

1. Không nhập bất kỳ thông tin nào — Đóng trang ngay lập tức
2. Nếu đã nhập thông tin thẻ, gọi ngân hàng NGAY để khóa thẻ
3. Nếu đã nhập thông tin đăng nhập ngân hàng, đổi mật khẩu ngay
4. Kiểm tra tài khoản ngân hàng cho giao dịch trái phép
5. Báo cáo SMS cho CERT Polska bằng cách chuyển tiếp đến 8080
6. Nộp báo cáo tại incydent.cert.pl
7. Cài đặt hoặc cập nhật phần mềm diệt virus trên điện thoại

Bảo vệ lâu dài

1. Dùng app InPost Mobile làm công cụ theo dõi chính — Không phải SMS
2. Bật thông báo đẩy trong app InPost cho cập nhật giao hàng thật
3. Báo cáo SMS giả đến 8080 — Số phishing chuyên dụng của CERT Polska
4. Cập nhật hệ điều hành điện thoại — Bản vá bảo mật giúp ngăn malware
5. Cân nhắc dùng app lọc spam để phát hiện SMS đáng ngờ
6. Giáo dục người thân — Người lớn tuổi đặc biệt dễ bị tổn thương

Chia sẻ thông tin giao hàng và địa chỉ an toàn

Khi cần chia sẻ địa chỉ giao hàng, mã nhận Paczkomat hoặc thông tin logistics với ai đó, hãy dùng LOCK.PUB để tạo đường link bảo vệ bằng mật khẩu, tự động hết hạn. Đây là cách an toàn hơn so với gửi thông tin cá nhân qua SMS hoặc Messenger, nơi chúng có thể bị chặn hoặc lộ trong rò rỉ dữ liệu.

Kết luận

InPost không bao giờ yêu cầu bạn trả phí bổ sung qua link SMS. Nếu nhận SMS đáng ngờ tự nhận từ InPost, không nhấp vào link. Mở trực tiếp app InPost để kiểm tra giao hàng. Chuyển tiếp tin nhắn đáng ngờ đến 8080 để giúp CERT Polska chống phishing tại Ba Lan.

Để chia sẻ thông tin cá nhân nhạy cảm như địa chỉ hoặc thông tin tài khoản, hãy dùng LOCK.PUB — miễn phí, mã hóa và tự động hết hạn. Hãy cảnh giác và giữ an toàn cho tiền của bạn.