Dopłata do paczki — jak nie dać się nabrać na „zaległą opłatę”

Typowy scenariusz ataku

• Dostajesz SMS z numeru wyglądającego na infolinię albo z nazwy nadawcy „InPost”, „DPD”, „Poczta”. Numer da się podrobić (spoofing).
• Link jest skrócony albo prowadzi na domenę spoza oficjalnej, np. inpost-platnosc.xyz, dpd-oplata.net, lnpost.pl.
• Strona żąda natychmiastowej płatności — inaczej „paczka wróci do nadawcy” albo „zostanie zniszczona”.
• Po „opłacie” pojawia się prośba o kod SMS z banku, BLIK albo instalację aplikacji spoza sklepu Google / Apple.
• Osobny wariant idzie mailem, bez formularza płatności: „niezgodność listu przewozowego z fakturą” i prośba o otwarcie załącznika. To nie dopłata — to próba instalacji programu kradnącego wpisywane hasła.

Wariant z załącznikiem — kradzież haseł

CERT Polska opisuje kampanię, w której e-mail podszywa się pod znaną firmę kurierską i prosi o weryfikację rzekomych różnic między listem przewozowym a fakturą. Celem nie jest opłata 3 zł. Celem jest otwarcie pliku.

W załączniku bywa oprogramowanie, które zapisuje to, co wpisujesz na klawiaturze — loginy, hasła, kody. CERT wskazuje m.in. rodzinę MassLogger. Podejrzane są typowe archiwa i programy (.rar, .zip, .exe, .js), ale też rzadkie rozszerzenia w stylu .uu, które mają wyglądać „niewinnie”. Przewoźnik nie wyjaśnia rozjazdu dokumentów przez losowy załącznik w mailu. Sprawdzasz sprawę w aplikacji albo na stronie, której adres wpisujesz sam.

Dlaczego metoda jest skuteczna

Prawie każdy zamawia coś przez internet. Kwota jest niska, więc mózg traktuje ją jak drobiazg: „to tylko 2,99 zł, nie będę sprawdzać”. Oszust liczy na pośpiech — otwierasz wiadomość w kolejce albo za kierownicą i płacisz, zanim porównasz numer nadania z e-mailem ze sklepu.

Dodatkowa Kotwica to strach przed utratą przesyłki. Jeśli naprawdę czekasz na paczkę, fałszywy SMS wpisuje się w oczekiwanie. Dlatego weryfikację robisz w aplikacji sklepu albo na stronie, której adres wpisujesz sam — nigdy z linku w wiadomości.

Podejrzany adres nadawcy i linki

• Domena inna niż inpost.pl, dpd.com.pl, dhl.com, pocztex.pl, poczta-polska.pl, allegro.pl.
• Literówki i zlepki: lnpost.pl, inpost-pl.com, dpd-oplata.net, platnosc-paczka.eu.
• Skrócone linki (bit.ly, tinyurl, własne skracacze) w wiadomości o płatności.
• E-mail z Gmaila, Outlooka albo z domeny „secure-delivery.eu”, a nie od operatora.

Błędy językowe i formatowanie

Polskie firmy kurierskie nie piszą „Twoja packza”, „oplata celna” ani nie mieszają wielkich liter w środku zdań. Brak polskich znaków, dziwne odstępy, logo w niskiej jakości i formularz, który nie wygląda jak reszta strony operatora, to sygnał — nie „pośpiech działu IT”.

Sama poprawna polszczyzna nic nie gwarantuje. Profesjonalne kampanie są już tłumaczone dobrze. Decyduje kanał: skąd przyszedł link i czy ten sam numer nadania widać w aplikacji sklepu.

Presja czasowa w treści

„Masz 2 godziny”, „ostatnie wezwanie”, „paczka zostanie zniszczona” — to socjotechnika. Kurierzy dają standardowy czas na odbiór (zwykle kilka dni) i nie grożą utratą przesyłki w SMS-ie z linkiem do płatności. Jeśli naprawdę jest dopłata, zobaczysz ją po zalogowaniu na konto, które sam otworzyłeś, albo w punkcie odbioru.

Kroki weryfikacji

• Otwórz aplikację sklepu (Allegro, sklep własny) i sprawdź status zamówienia tam — to źródło prawdy, nie SMS.
• Wejdź na stronę przewoźnika, wpisując adres ręcznie, i podaj numer nadania z potwierdzenia zakupu.
• Jeśli nie zamawiałeś paczki — zignoruj wiadomość. Nie „potwierdzaj odbioru”, nie „odmawiaj odbioru” przez link.
• Gdy kliknąłeś i wpisałeś dane, działaj według tego, co zostało ujawnione. Kod BLIK: nie zatwierdzaj operacji w aplikacji, nie dawaj kolejnych kodów; jeśli już zatwierdziłeś płatność — zgłoś to bankowi z opisem zdarzenia. Dane karty: zastrzeż albo zablokuj kartę w aplikacji lub na infolinii i sprawdź historię karty. Dane logowania: zabezpiecz dostęp z innego urządzenia i zgłoś to bankowi. Instalacja zdalnego dostępu: nie korzystaj z tego urządzenia do bankowości. Samo otwarcie linku bez wpisania danych nie wymaga blokady karty.

Gdzie zgłosić próbę oszustwa

Podejrzany SMS przekaż w niezmienionej formie na 8080 (CERT Polska). Stronę lub e-mail zgłoś na incydent.cert.pl albo w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel. Zawiadomienie złóż na Policji. Numer 112 służy do nagłych sytuacji wymagających natychmiastowej interwencji służb. Jeśli zagrożone są środki albo dostęp do konta — niezwłocznie skontaktuj się z bankiem przez oficjalny kanał. Przy zatwierdzonej płatności BLIK albo przy ujawnieniu danych karty liczą się minuty; zgłoś bankowi oszustwo i złóż reklamację z opisem zdarzenia — to nie gwarancja zwrotu. Jeśli oszuści mogli poznać Twoje dane osobowe, zastrzeż numer PESEL w mObywatelu, na gov.pl albo w urzędzie gminy — tak zaleca CBZC. Jeśli otworzyłeś załącznik z rzekomą fakturą kuriera, traktuj urządzenie jak potencjalnie przejęte: nie loguj się z niego do banku i zobacz FAQ o instalacji zdalnego dostępu. Jeśli wpisałeś login do banku na stronie „dopłaty”, dalsze kroki są w poradniku o fałszywym e-mailu od banku. Przewoźnicy mają formularze na fałszywe SMS-y — warto je wypełnić. Podobne pytania: FAQ o zgłaszaniu oszustw.

Zachowaj zrzuty SMS-a, adresu strony i potwierdzenia przelewu. Nie wysyłaj kolejnych „opłat za odblokowanie reklamacji” osobom, które odzywają się po zgłoszeniu — to drugi etap tego samego procederu.