Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Oszustwo na InPost najczęściej rozpoznasz po podejrzanym linku, żądaniu dopłaty albo prośbie o podanie danych karty, logowania lub kodu BLIK. Fałszywe SMS-y i wiadomości od rzekomych kupujących prowadzą do stron udających serwis kurierski. Sprawdź, jak działają te ataki i co zrobić po kliknięciu.

Jak działa oszustwo na InPost?

Cyberprzestępcy podszywają się pod InPost, Pocztę Polską albo innego operatora dostaw. Wysyłają SMS, e-mail lub wiadomość na komunikatorze, aby wzbudzić pośpiech i skłonić odbiorcę do natychmiastowej reakcji. Powodem ma być brak numeru ulicy, niewielka dopłata, problem z adresem albo konieczność potwierdzenia doręczenia.

Link z komunikatu przenosi na stronę przypominającą prawdziwy serwis kurierski. Jej adres może zawierać nazwę firmy, ale właściwa domena znajduje się zwykle dopiero na końcu. Przykładowo adres inpost.pl-admin.cyou nie należy do InPostu, mimo że na początku zawiera rozpoznawalny człon.

Formularz żąda danych karty płatniczej, loginu i hasła do banku albo kodu BLIK. Niewielka opłata za ponowną dostawę jest tylko pretekstem. Po wpisaniu informacji oszuści mogą wykonać transakcję lub przejąć dostęp do rachunku.

InPost nie wysyła SMS-ów z informacją o dopłatach do przesyłki. Rozliczenia dotyczące usług pojawiają się w Managerze Paczek albo na fakturze.

Wiadomość do odbiorcy paczki

Typowy komunikat informuje o wstrzymaniu przesyłki z powodu niepełnego adresu. Czasem pojawia się groźba zwrotu paczki do nadawcy, a czasem informacja o konieczności zapłaty kilku złotych. Błędy językowe, brak polskich znaków i nienaturalne sformułowania często zdradzają fałszywy przekaz.

Wiadomość do sprzedającego

Drugi wariant ataku dotyczy osób wystawiających towary na portalach ogłoszeniowych. Rzekomy kupujący kontaktuje się przez WhatsApp lub SMS, proponuje fikcyjną usługę dostawy i przesyła grafikę stylizowaną na komunikat InPostu. Następnie sprzedający ma kliknąć link, aby odebrać zapłatę.

Fałszywa strona prosi o numer karty, dane rachunku, a niekiedy także o zalogowanie do bankowości internetowej. Prawdziwy kupujący nie potrzebuje takich informacji, aby wysłać pieniądze. Platforma sprzedażowa nie wymaga potwierdzania transakcji przez przypadkową witrynę przekazaną w prywatnej wiadomości.

Po czym rozpoznać fałszywy SMS?

Nie każdy komunikat musi zawierać rażący błąd. Oszuści kopiują wygląd firmowych wiadomości i korzystają z automatycznych narzędzi. Oceniaj całość: nadawcę, treść, adres strony oraz rodzaj żądanej czynności.

Technika polegająca na podszywaniu się pod znaną firmę w celu wyłudzenia poufnych danych to phishing. Jego odmiana wysyłana przez SMS nosi nazwę smishing. Atak bazuje na emocjach – strachu przed utratą paczki, presji czasu albo atrakcyjnej obietnicy szybkiej płatności.

Przed kliknięciem sprawdź następujące sygnały ostrzegawcze:

• link prowadzi do nietypowej domeny lub skróconego adresu,
• wiadomość żąda dopłaty, danych karty albo kodu BLIK,
• nadawca używa błędów ortograficznych lub dziwnej składni,
• treść wywołuje presję i wymaga natychmiastowego działania,
• kontakt przychodzi z zagranicznego numeru lub prywatnego adresu e-mail,
• e-mail zawiera załącznik rzekomo będący listem przewozowym.

Adres strony i domena

Bezpieczniej jest samodzielnie wpisać adres firmy w przeglądarce niż korzystać z odnośnika w SMS-ie. Protokół HTTPS nie potwierdza jednak, że witryna jest prawdziwa. Oszuści także mogą uzyskać certyfikat dla własnej domeny, dlatego trzeba sprawdzić pełny adres, a nie tylko ikonę kłódki.

Fałszywe wiadomości e-mail mogą pochodzić z adresów przypominających firmowe, lecz zawierających literówkę, dodatkowy znak lub inną końcówkę. Prawdziwe powiadomienia InPost nie zawierają załączników. Plik DOC, PDF lub ZIP z prośbą o otwarcie może zawierać złośliwe oprogramowanie.

Jak bezpiecznie sprzedawać i odbierać paczki?

Oszuści wyszukują ogłoszenia, w których sprzedający podaje numer telefonu. Automatyczne pobieranie takich danych z portali to web scraping. Później przestępca szybko kontaktuje się z wieloma osobami i przedstawia ten sam scenariusz.

Podczas sprzedaży korzystaj z komunikatora wbudowanego w portal. Nie przenoś rozmowy na WhatsApp tylko dlatego, że kupujący twierdzi, iż tam prześle potwierdzenie. Sprawdzaj płatność w swoim rachunku, a nie na podstawie zrzutu ekranu.

Przy odbiorze przesyłki pobraniowej upewnij się, kto ją nadał i jaka kwota widnieje w zamówieniu. W firmie lub na recepcji przydatna jest prosta zasada: nie opłacaj paczki, jeśli nikt nie potwierdził zakupu. Kwota 190 czy 215 zł może wyglądać wiarygodnie, ale sama wysokość należności niczego nie dowodzi.

Weryfikacja usługi powinna odbywać się w oficjalnej aplikacji lub na stronie wpisanej ręcznie. InPost Pay służy do finalizowania zakupów w obsługiwanych sklepach przez aplikację InPost Mobile, a nie do odbierania płatności za sprzedaż na portalu ogłoszeniowym.

Co zrobić po podaniu danych?

Jeśli wpisano dane karty, natychmiast zadzwoń do banku, korzystając z numeru umieszczonego na karcie lub oficjalnej stronie. Poproś o blokadę karty i sprawdzenie podejrzanych operacji. Po ujawnieniu danych do bankowości zmień hasło na bezpiecznym urządzeniu i skontaktuj się z bankiem.

Kod BLIK zatwierdzaj wyłącznie wtedy, gdy widzisz prawidłową kwotę, odbiorcę i cel operacji. Nie potwierdzaj wypłaty lub przelewu tylko dlatego, że strona obiecuje zwrot pieniędzy. W razie utraty środków zachowaj potwierdzenia, numery rachunków, wiadomości i zrzuty ekranu, a następnie złóż zawiadomienie na policji.

Nie usuwaj wiadomości przed jej zgłoszeniem. Przekaż ją w oryginalnej formie, razem z linkiem i numerem nadawcy:

• SMS-em na numer 8080,
• przez formularz incydent.cert.pl,
• e-mailem na adres [email protected],
• do firmy, pod którą podszywał się nadawca,
• do portalu, na którym opublikowano ogłoszenie.

Numer 8080 działa od 22 listopada i służy do bezpłatnego przekazywania podejrzanych SMS-ów na terenie Polski. Najlepiej użyć funkcji Przekaż lub Prześlij dalej. Jeżeli telefon jej nie oferuje, skopiuj całą treść, nie usuwając odnośnika.

Jakie inne zagrożenia mogą towarzyszyć takim atakom?

Phishing nie zawsze kończy się na wyłudzeniu danych. Kliknięcie może uruchomić przekierowanie na fałszywą stronę, czyli pharming. Zainfekowany telefon lub komputer kieruje wtedy użytkownika do witryny przestępcy nawet po ręcznym wpisaniu prawidłowego adresu.

Załączniki i aplikacje z nieznanego źródła mogą zawierać malware, w tym programy szpiegujące, trojany lub rejestratory klawiszy. Osobnym zagrożeniem jest ransomware, który blokuje system operacyjny i szyfruje pliki w zamian za okup. Aktualizacje, kopie zapasowe oraz instalowanie programów wyłącznie z oficjalnych sklepów ograniczają ryzyko.

CSIRT NASK ostrzega przed kampaniami phishingowymi i przyjmuje zgłoszenia incydentów. Warto też zgłosić podszywanie się bezpośrednio do InPost, przekazując kanał kontaktu, numer telefonu, adres e-mail oraz pełny podejrzany link – bez jego otwierania.

Żadna firma kurierska nie potrzebuje loginu do banku, hasła, PIN-u aplikacji ani kodu BLIK, aby dostarczyć paczkę lub przekazać sprzedającemu pieniądze.