Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Fałszywy SMS o paczce, dopłacie lub brakującym adresie może prowadzić do kradzieży danych karty i pieniędzy z konta. Sprawdź nadawcę, adres strony oraz zgłoś podejany komunikat na bezpłatny numer 8080, zanim klikniesz link. Ten schemat ma kilka powtarzalnych cech, które łatwo przeoczyć w pośpiechu.

Jak działa oszustwo na InPost?

Cyberprzestępcy podszywają się pod InPost albo Pocztę Polską, ponieważ odbiorca zwykle kojarzy te firmy z oczekiwaną przesyłką. Wiadomość informuje o braku numeru ulicy, błędnym adresie, zatrzymaniu paczki lub konieczności niewielkiej dopłaty. Kwota wynosi często kilka złotych, więc presja wydaje się niewielka.

Link z SMS-a prowadzi do strony przypominającej serwis firmy kurierskiej. Formularz może żądać numeru karty, daty ważności, kodu CVV, danych osobowych, a czasem także loginu do bankowości elektronicznej. Phishing wyłudza dane kart płatniczych, które przestępcy wykorzystują przy kolejnych transakcjach albo próbach wypłaty środków.

InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Informacje o rozliczeniach znajdują się w Managerze Paczek lub na fakturze.

Oszuści stosują również wiadomości e-mail, komunikatory i portale ogłoszeniowe. Sprzedający może otrzymać na WhatsApp propozycję użycia rzekomej usługi InPost dostawę. Następnie dostaje grafikę stylizowaną na materiał firmowy oraz link do odbioru pieniędzy. Prawdziwa płatność nie wymaga podawania hasła do banku ani kodu PIN do aplikacji mobilnej.

Jak rozpoznać podejany adres?

Sam wygląd witryny nie potwierdza jej autentyczności. Przestępcy kopiują logo, kolory, układ przycisków i komunikaty pomocy. O bezpieczeństwie decyduje adres domeny wpisany w pasku przeglądarki – nie grafika widoczna na stronie.

Adres przypominający inpost.pl-admin.cyou nie jest adresem InPost. Prawidłowa domena znajduje się bezpośrednio przed końcówką, a nie w dowolnym miejscu długiego ciągu znaków. Literówki, nietypowe rozszerzenia, skrócone linki i domeny utworzone niedawno powinny zatrzymać użytkownika przed logowaniem.

Jakie treści powinny wzbudzić niepokój?

Fałszywe komunikaty odwołują się do emocji. Nadawca straszy zwrotem paczki, informuje o krótkim terminie albo obiecuje szybkie otrzymanie pieniędzy za sprzedany przedmiot. Taki zabieg ma ograniczyć czas na spokojne sprawdzenie informacji.

Niepokój powinny wywołać zwłaszcza:

• prośba o dopłatę do ponownego doręczenia,
• informacja o brakującym numerze ulicy lub adresie,
• żądanie danych karty w celu odebrania płatności,
• polecenie wpisania kodu BLIK albo zatwierdzenia wypłaty,
• wezwanie do wysłania płatnego SMS-a,
• załącznik w wiadomości e-mail rzekomo dotyczący przesyłki.

Oficjalne wiadomości e-mail InPost nie zawierają załączników. Podejrzane są też adresy nadawcy z literówkami, takie jak podobne warianty domeny zamiast prawidłowej domeny firmowej. Sformułowanie „list przewozowy” w treści wiadomości również nie potwierdza jej autentyczności.

Oszustwo przy sprzedaży w internecie

Drugi wariant ataku dotyczy osób wystawiających towary na OLX, Allegro Lokalnie, Vinted lub w grupach społecznościowych. Przestępca szybko kontaktuje się poza wewnętrznym komunikatorem, często przez WhatsApp, i deklaruje zakup. Wykorzystuje web scraping, czyli automatyczne wyszukiwanie ogłoszeń oraz numerów kontaktowych.

Po uzgodnieniu ceny kupujący przesyła link do rzekomego odbioru środków. Sprzedający ma podać numer karty, rachunku, a niekiedy dane logowania do banku. Prawdziwy kupujący nie potrzebuje tych informacji, aby zapłacić za przedmiot. Z kolei portal sprzedażowy nie wymaga potwierdzania transakcji przez zewnętrzną stronę wysłaną w wiadomości.

Duża sieć automatów paczkowych i rozpoznawalność marki zwiększają wiarygodność takiej historii. InPost miał w przywoływanych materiałach ponad 15 000 paczkomatów, dlatego jego wizerunek chętnie wykorzystują oszuści. Popularność operatora nie oznacza jednak, że każda wiadomość z jego logo jest prawdziwa.

Phishing, pharming i inne techniki

Phishing to podszywanie się pod firmę, urząd lub osobę w celu zdobycia poufnych danych. Jego odmiana SMS, nazywana smishingiem, wykorzystuje krótkie wiadomości z linkiem albo instrukcją wykonania płatności. Według danych przywołanych w materiałach CERT Polska liczba ataków w 2022 roku wzrosła o jedną trzecią względem 2021 roku.

Przy pharmingu użytkownik może trafić na fałszywą stronę nawet bez otrzymania podejrzanego SMS-a. Złośliwe oprogramowanie modyfikuje działanie urządzenia lub przeglądarki i przekierowuje wpisany adres na witrynę kontrolowaną przez przestępców. Dlatego aktualny system, przeglądarka i aplikacje mają znaczenie także wtedy, gdy nie klikasz w wiadomości.

Inne zagrożenie stanowi malware, w tym programy szpiegujące, trojany i keyloggery. Mogą przechwytywać hasła wpisywane na klawiaturze. Ransomware blokuje system albo szyfruje pliki, a żądany okup może sięgać tysięcy dolarów. Ten rodzaj ataku wymaga osobnych zabezpieczeń, lecz często zaczyna się od fałszywego e-maila lub zainfekowanego załącznika.

Co zrobić po otrzymaniu podejrzanego SMS-a?

Nie klikaj linku i nie odpowiadaj nadawcy. Nie dzwoń też pod numer podany w komunikacie, ponieważ może prowadzić do osoby współpracującej z oszustami. Otwórz oficjalną stronę firmy ręcznie i użyj znajdującego się tam kanału kontaktu.

Podejany SMS możesz przekazać do analizy na numer 8080. Zgłoszenie jest bezpłatne na terenie Polski. Najlepiej użyć funkcji „Przekaż” lub „Prześlij dalej”, aby zachować całą wiadomość, w tym link i numer nadawcy:

1. nie otwieraj odnośnika z wiadomości,
2. przekaż SMS na numer 8080 w oryginalnej formie,
3. zgłoś incydent przez serwis CERT Polska,
4. powiadom firmę, pod którą podszywa się nadawca,
5. zachowaj zrzuty ekranu i dane wiadomości.

Numer 8080 uruchomiono jako kanał zgłoszeń w związku z Ustawą o zwalczaniu nadużyć w komunikacji elektronicznej. Podejrzany komunikat można też przesłać do CERT Polska przez formularz incydent.cert.pl albo e-mail [email protected]. Nie wycinaj linku z treści zgłoszenia.

Co zrobić po podaniu danych?

Jeżeli wpisałeś dane karty, natychmiast skontaktuj się z bankiem oficjalnym numerem. Poproś o zastrzeżenie karty, blokadę podejanych operacji i sprawdzenie rachunku. Gdy podano dane do bankowości internetowej, trzeba zmienić hasło, zablokować dostęp oraz poinformować bank o możliwym przejęciu konta.

Nie zatwierdzaj żadnej operacji w aplikacji, nawet jeśli jej opis wygląda jak zwrot pieniędzy. Kod BLIK służy do autoryzacji konkretnej czynności, a nie do „odbioru płatności” od kupującego. Bank może poprosić o dodatkowe informacje dotyczące czasu ataku, adresu strony i wykonanych działań.

Zawiadom policję lub prokuraturę, szczególnie gdy doszło do utraty środków. Zachowaj SMS, adres domeny, numer telefonu, korespondencję z komunikatora i potwierdzenia transakcji. Do InPost można przekazać informację o podszywaniu się wraz z kanałem kontaktu oraz numerem telefonu lub adresem e-mail nadawcy.

Oficjalna aplikacja InPost Mobile pomaga sprawdzać przesyłki bez korzystania z przypadkowych odnośników. Pobieraj ją wyłącznie z autoryzowanego sklepu, aktualizuj system telefonu i używaj blokady ekranu. Weryfikacja zajmuje chwilę, a nieznany link nie powinien decydować o dostępie do pieniędzy.