SMS o dopłacie do paczki lub prądu — jak rozpoznać fałszywą wiadomość

Wiadomości wyglądają coraz bardziej wiarygodnie: logo firmy kurierskiej, kwota za kilka złotych, link do „płatności”. Kliknięcie prowadzi na stronę łudząco podobną do bramki płatniczej lub logowania w banku. Wpisane tam dane trafiają prosto do przestępców. To phishing, czyli „łowienie” danych, i jest dziś najczęstszym sposobem kradzieży pieniędzy z kont.

Najpopularniejsze scenariusze

• Dopłata do przesyłki — „paczka wstrzymana, dopłać 1,89 zł za doręczenie” (podszywanie pod InPost, DPD, Pocztę Polską).
• Zaległy rachunek — „brak wpłaty, prąd zostanie odłączony dziś o 20:00” (podszywanie pod dostawców energii).
• Mandat lub opłata drogowa — „nieopłacony przejazd autostradą, zapłać, by uniknąć kary”.
• Sprzedaż w internecie — „kupujący opłacił przedmiot, odbierz pieniądze przez link” (podszywanie pod OLX, Vinted).
• Konto zablokowane — „wykryto logowanie z nowego urządzenia, potwierdź tożsamość”.

Wspólny mianownik: pośpiech, niewielka kwota albo groźba i link, w który trzeba kliknąć.

Jak rozpoznać fałszywą wiadomość

• Sprawdź adres strony. Prawdziwe firmy używają swoich domen. Fałszywe linki mają literówki, dodatkowe słowa i dziwne końcówki, np. „inpost-doplata.top” czy „pge-oplaty.xyz”. Długi adres z ciągiem przypadkowych znaków to sygnał ostrzegawczy.
• Nie ufaj nadawcy. Nazwa nadawcy SMS-a („InPost”, „PGE”) da się podrobić. W mailu kliknij nazwę nadawcy i zobacz pełny adres.
• Zwróć uwagę na presję czasu. „Dziś do 21:00”, „w ciągu 2 godzin” — prawdziwe firmy dają czas i wysyłają pisemne wezwania.
• Zastanów się, czy na coś czekasz. Jeśli nie zamawiałeś paczki, nie ma czego dopłacać. Nawet jeśli zamawiałeś, firmy kurierskie nie pobierają drobnych dopłat przez linki w SMS-ach.
• Bramka płatnicza prosi o więcej, niż trzeba. Przy płatności za 2 zł nikt nie potrzebuje loginu do bankowości ani zdjęcia dowodu.

Najprostsza zasada: nie klikaj linków z nieoczekiwanych wiadomości. Jeśli masz wątpliwości, otwórz aplikację kuriera, banku lub dostawcy prądu samodzielnie i sprawdź, czy rzeczywiście coś na Ciebie czeka.

Gdzie zgłosić fałszywy SMS lub mail

Zgłaszając oszustwo, pomagasz zablokować stronę, zanim nabiorą się na nią inni.

• SMS prześlij bezpłatnie na numer 8080 (CERT Polska). Wystarczy funkcja „Przekaż”.
• Mail lub stronę zgłoś przez formularz na incydent.cert.pl.
• Większość banków ma też własne adresy do zgłaszania phishingu; znajdziesz je na stronie banku.

Po zgłoszeniu usuń wiadomość.

Kliknąłeś i wpisałeś dane? Zrób to od razu

Samo otwarcie strony zwykle nie wyrządza szkody. Problem pojawia się, gdy wpisałeś na niej dane.

1. Dane karty lub logowania do banku — natychmiast zadzwoń do banku na numer z karty i zastrzeż kartę albo zablokuj dostęp do bankowości. Nie czekaj do rana.
2. Hasło do poczty lub innego serwisu — zmień je od razu, najlepiej z innego urządzenia. Jeśli to samo hasło stosujesz gdzie indziej, zmień je wszędzie.
3. Kod BLIK lub potwierdzenie w aplikacji — zgłoś operację w banku jako nieautoryzowaną i złóż zawiadomienie na policji.
4. Dane osobowe (PESEL, zdjęcie dowodu) — zastrzeż PESEL w aplikacji mObywatel i zgłoś utratę dowodu, jeśli wysłałeś jego zdjęcie.
5. Zainstalowałeś aplikację z linku — wyłącz internet w telefonie i poproś o pomoc w jej usunięciu. Takie aplikacje potrafią przechwytywać SMS-y z kodami.

Jak się zabezpieczyć na przyszłość

• Włącz weryfikację dwuetapową w poczcie, banku i mediach społecznościowych.
• Używaj różnych haseł do różnych serwisów; pomoże w tym menedżer haseł.
• Ustaw w banku limity dzienne przelewów i płatności kartą na rozsądnym poziomie.
• Porozmawiaj o tych oszustwach z rodzicami i dziadkami. To oni są najczęstszym celem.

Jeśli kliknąłeś w podejrzany link na komputerze, a teraz przeglądarka zachowuje się dziwnie, zajrzyj na stronę wirusy i bezpieczeństwo. Pomagam sprawdzić i oczyścić komputer w Szczecinie i okolicach. O oszustwach telefonicznych przeczytasz w poradzie o fałszywym konsultancie.