Oszustwo na paczkę: jak rozpoznać fałszywy SMS

Jak rozpoznać fałszywy SMS o paczce?

Fałszywka zwykle ma kilka z tych cech:

• Chce pieniędzy za doręczenie. Dopłata do paczki, opłata za kuriera, „nieuregulowana opłata”. InPost pisze wprost, że „nigdy nie wysyła SMS-ów z informacją o dopłatach”. DPD Polska nigdy nie wysyła linków do dopłat SMS-em ani e-mailem, a Poczta Polska nie wysyła SMS-ów z prośbą o dodatkową płatność za odebranie przesyłki.
• Przychodzi akurat wtedy, gdy czekasz na paczkę. To, że czekasz na zamówienie, niczego nie dowodzi. Policja ostrzega, że ktoś, kto często dostaje paczki, jest łatwym celem, „zwłaszcza jeśli oczekuje akurat na przesyłkę”.
• Popędza Cię. DPD podaje typowy przykład: „kliknij teraz, inaczej paczka wróci do nadawcy”. Presję czasu wymienia też Poczta Polska.
• Link nie prowadzi do przewoźnika. Skrócony adres w rodzaju bit.ly (DHL), strona spoza domeny dpd.com.pl (DPD) albo adres, który tylko przypomina prawdziwy.
• Nadawca wygląda podejrzanie. DHL ostrzega przed SMS-em, w którym nie widać numeru nadawcy, tylko ogólną nazwę, na przykład „Dostawa”. Poczta Polska opisuje fałszywki wysyłane z zagranicznych numerów, na przykład francuskich (+33) i filipińskich (+63). E-maile od DHL nigdy nie przychodzą z Gmaila ani Yahoo, a InPost wymienia fałszywe domeny @impost.pl, @intops.pl i @inpost-eu.pl.
• Prosi o coś dziwnego: płatny SMS w celu „pobrania informacji o paczce” (InPost), instalację aplikacji z linku (DPD) albo otwarcie załącznika. Prawdziwe e-maile z powiadomieniami od InPost nigdy nie mają załączników.

Znany nadawca też niczego nie dowodzi. Poczta Polska ostrzega, że fałszywy SMS bywa podpisany nazwą „Poczta Polska” i wyświetla się w telefonie pod jej prawdziwymi wiadomościami. DHL ostrzega przed fałszywymi e-mailami wysyłanymi z adresów, które korzystają z prawdziwych domen DHL. Zwracaj więc uwagę na treść: pośpiech, błędy językowe, brak interpunkcji (na te dwa ostatnie sygnały zwraca uwagę gov.pl).

CERT Polska prowadzi listę ostrzeżeń ze szkodliwymi domenami, a wejścia na strony z tej listy są blokowane. Nowej domeny może jednak jeszcze na niej nie być, więc to, że strona się otworzyła, nie znaczy, że jest bezpieczna.

Jak rozpoznać fałszywy link, zanim w niego klikniesz

Linki oszustów często zaczynają się od nazwy przewoźnika. Do kogo naprawdę należy adres, poznasz po tym, co stoi tuż przed pierwszym pojedynczym /. Ten zmyślony przykład podszywa się pod brytyjską pocztę Royal Mail, ale z inpost.pl czy dpd.com.pl trik działa tak samo:

Nawet gdy link wygląda dobrze, nie korzystaj z niego: sam wpisz adres przewoźnika.

Czy InPost, DPD, DHL i Poczta Polska wysyłają SMS-y?

Tak, większość wysyła, i właśnie dlatego fałszywki działają. Oto co przewoźnicy piszą o swoich wiadomościach:

Prawdziwi przewoźnicy wysyłają linki, więc sam link niczego nie przesądza. Prawdziwe prośby o zapłatę też się zdarzają, prawie zawsze za cło i podatki przy paczkach spoza UE: jak przewoźnicy naprawdę o nie proszą, pokazuje poradnik o paczce zatrzymanej przez urząd celny.

Oszustwo na InPost, DPD i Pocztę Polską: co piszą oszuści?

Scenariusze się powtarzają. Te pochodzą ze stron ostrzegawczych przewoźników i policji:

• Nieudane doręczenie. Kurier „nie mógł doręczyć paczki lub umieścić jej w automacie paczkowym”, a link ma służyć do zmiany terminu (DPD).
• Mała dopłata. Za nadwagę, dezynfekcję albo błąd w adresie (DPD). Policja pisze, że kwota bywa „w granicach 1 zł”: mężczyzna z powiatu kozienickiego dopłacił 0,87 zł, a z konta zniknęło mu kilka tysięcy złotych.
• Przesyłka wstrzymana. Niewielka „opłata celno-skarbowa” albo „opłata za dalsze procedowanie przesyłki”, z przyciskiem do natychmiastowej płatności (Poczta Polska).
• Płatny SMS. Masz wysłać płatny SMS w celu „pobrania informacji o paczce”, a opłata trafia na konto oszustów (InPost).
• Aplikacja z linku. „Błędny adres dostawy” i link do rzekomej aplikacji DPD, która może zainfekować telefon. Policja dodaje, że takie aplikacje potrafią przekierowywać SMS-y i przejąć konto bankowe.
• Załącznik. E-mail z „potwierdzeniem nadania” albo „listem przewozowym” w załączniku (DPD, InPost).
• „Dostawa DPD” na OLX. Sprzedajesz coś, a „kupujący” pisze na portalu albo na WhatsAppie, że płatność i wysyłkę obsługuje DPD, i przysyła link do „odebrania pieniędzy” (DPD). DHL ostrzega podobnie przed kupującym, który nalega na kuriera, z którym „podpisał umowę”.

Jak sprawdzić, czy SMS o paczce jest prawdziwy

Żaden z tych kroków nie korzysta z wiadomości:

1. 1Zastanów się, czy na coś czekaszNie czekasz na żadne zamówienie ani przesyłkę od znajomych? Traktuj SMS jak oszustwo.
2. 2Znajdź prawdziwy numer przesyłkiWeź go z e-maila od sklepu albo ze szczegółów zamówienia, nigdy z SMS-a.
3. 3Sam wejdź na stronę przewoźnikaWpisz jej adres albo otwórz aplikację przewoźnika. Nie klikaj, nie skanuj i nie dzwoń pod nic z wiadomości.
4. 4Sprawdź, czy coś jest do zapłatyOpłata, która naprawdę się należy, będzie widoczna na stronie albo w aplikacji przewoźnika.
5. 5Zgłoś i usuńPrzekaż SMS na numer 8080 (więcej niżej), a potem go usuń.

DPD i Poczta Polska radzą sprawdzać status przesyłki samodzielnie, wyłącznie oficjalnymi kanałami. Nie masz numeru? Zobacz, gdzie znaleźć numer przesyłki. Możesz go też wkleić do Peeka: Peek pyta przewoźnika i w razie potrzeby inne źródła śledzenia, więc zobaczysz najnowsze skany, nie dotykając linku z SMS-a.

Prawdziwe nieudane doręczenie wygląda inaczej niż SMS z linkiem do płatności. Jak działa awizo i jak odebrać paczkę po nieudanej próbie, wyjaśnia poradnik o nieudanym doręczeniu. Prawdziwą zmianę adresu albo terminu też załatwisz tylko w aplikacji lub na stronie przewoźnika: zobacz, jak zmienić adres dostawy i przekierować paczkę.

Co zrobić po kliknięciu w podejrzany link?

Sam SMS w telefonie nic Ci nie zrobi. Kłopot zaczyna się, gdy klikniesz, odpowiesz, zadzwonisz albo coś wpiszesz. Co robić dalej, zależy od tego, jak daleko to zaszło:

1. 1Zamknij stronęNic więcej nie wpisuj i nie odpowiadaj na SMS.
2. 2Zadzwoń do bankuUżyj numeru z karty albo z aplikacji banku i zastrzeż kartę.
3. 3Zmień hasłaDo poczty i bankowości, i wszędzie tam, gdzie używasz tego samego hasła.
4. 4Uważaj na telefonyKtoś dzwoni „z banku”? Rozłącz się, odczekaj co najmniej 30 sekund i sam wybierz oficjalny numer.
5. 5Zgłoś toNa policję albo do prokuratury, jeśli zniknęły pieniądze albo wyciekły dane.

Było tylko kliknięcie? Zamknij stronę i zgłoś SMS. Telefon pobrał z linku aplikację? Nie instaluj jej: oficjalną aplikację DPD znajdziesz tylko w Google Play i App Store. DPD radzi też po kliknięciu sprawdzić urządzenie programem antywirusowym.

Dane karty podane albo płatność wysłana? Poczta Polska radzi „niezwłocznie” skontaktować się z bankiem i zmienić hasła. Kartę zastrzeżesz też pod numerem +48 828 828 828: System Zastrzegania Kart działa całą dobę i jest bezpłatny, ale obsługuje tylko banki, które w nim uczestniczą. Mała kwota nie oznacza małej szkody: pamiętaj o tych 0,87 zł, po których z konta zniknęło kilka tysięcy złotych. Sprawdzaj też wyciągi.

Telefon „z banku” może wyglądać wiarygodnie. Związek Banków Polskich, policja i FinCERT ostrzegają, że oszuści potrafią wyświetlić na Twoim ekranie numer infolinii banku albo jego nazwę, więc nie oddzwaniaj na ostatnie połączenie.

Fałszywy SMS od InPostu albo DPD: gdzie zgłosić oszustwo?

Zgłoś fałszywą wiadomość, nawet bez klikania w link, a potem ją usuń.

Na iPhonie pod wiadomością od nieznanego nadawcy jest link Zgłoś jako spam (przy SMS-ach zależy to od operatora). W Wiadomościach Google na Androidzie przytrzymaj rozmowę i wybierz Zablokuj, a potem Zgłoś spam.