Czy SMS o dopłacie za paczkę to oszustwo? Sprawdź w 30 sekund

Wiadomość wygląda niewinnie: „InPost: Twoja paczka czeka na doręczenie. Wymagana dopłata 1,99 zł: [link]”. Kwota jest tak niska, że nikt się nad nią nie zastanawia - i właśnie na tym polega cała sztuczka. Nikt nie będzie dzwonił do kuriera o dwa złote. Łatwiej kliknąć i mieć to z głowy.

Link prowadzi do strony, która wygląda jak prawdziwa bramka płatnicza. Wpisujesz dane karty, żeby zapłacić 1,99 zł - a w rzeczywistości przekazujesz oszustom pełne dane do wykonywania płatności. Straty liczone są nie w złotówkach, tylko w tysiącach.

Dlaczego to oszustwo działa tak skutecznie

Oszuści nie liczą na to, że dasz się nabrać, bo jesteś nieuważny. Liczą na statystykę i na kontekst. Wysyłają setki tysięcy SMS-ów, a spora część odbiorców faktycznie w tym momencie czeka na paczkę. Wiadomość trafia wtedy w idealny moment i wygląda jak coś, czego się spodziewałeś.

Do tego dochodzą trzy mechanizmy, na których opiera się większość oszustw w sieci:

• Pośpiech - „paczka zostanie zwrócona do nadawcy w ciągu 24 godzin”. Nie masz czasu pomyśleć.
• Niska kwota - 1,99 zł nie wywołuje czujności. Gdyby prosili o 200 zł, nikt by nie kliknął.
• Znane logo - strona wygląda dokładnie jak oryginał, bo jest jego kopią co do piksela.

Jak rozpoznać fałszywy SMS

Nie musisz być informatykiem. Wystarczy sprawdzić cztery rzeczy, a każda z nich zajmuje kilka sekund.

1. Czy w ogóle czekasz na paczkę?

Jeśli nic nie zamawiałeś, sprawa jest zamknięta. Jeśli faktycznie czekasz - przejdź do kolejnych punktów, bo zbieżność może być przypadkowa.

2. Czy przewoźnik w ogóle pobiera dopłaty przez SMS?

Nie. Żadna firma kurierska w Polsce nie rozlicza dopłat przez link w wiadomości tekstowej. Jeśli rzeczywiście istnieje niedopłata, dowiesz się o niej w aplikacji przewoźnika albo od kuriera przy doręczeniu.

3. Jak wygląda adres w linku?

Nie klikaj - na telefonie przytrzymaj link palcem, a zobaczysz pełny adres. Prawdziwy InPost to inpost.pl. Oszuści używają adresów, które tylko przypominają oryginał:

• inpost-doplata.xyz - dodatkowe słowo po nazwie firmy
• inp0st.pl - zero zamiast litery „o”
• inpost.platnosc-online.com - prawdziwa nazwa jest tylko fragmentem, liczy się to, co stoi tuż przed pierwszym ukośnikiem

4. Czy nadawcą jest numer telefonu?

Prawdziwe powiadomienia od przewoźników przychodzą od nadawcy podpisanego nazwą, na przykład „InPost”. Jeśli SMS przyszedł ze zwykłego numeru komórkowego lub z numeru zagranicznego, to niemal pewne oszustwo. Zastrzeżenie: oszuści potrafią podszyć się także pod nazwę, więc prawidłowy nadawca sam w sobie niczego nie gwarantuje.

Zasada trzech sekund

Zanim klikniesz w cokolwiek - w SMS-ie, mailu czy wiadomości na Facebooku - zadaj sobie trzy pytania:

1. 1Czy się tego spodziewałem? Zamawiałem paczkę? Czekam na przesyłkę z urzędu?
2. 2Czy to wymusza pośpiech? „Natychmiast”, „w ciągu 24 godzin”, „ostatnia szansa”.
3. 3Czy każe mi w coś kliknąć lub coś podać? Link, dane karty, kod BLIK, hasło.

Jeśli dostałeś wiadomość, której się nie spodziewałeś, która każe działać natychmiast i prowadzi do linku - z bardzo dużym prawdopodobieństwem jest to oszustwo. Ta jedna zasada obroni Cię przed większością ataków, także tych, których jeszcze nie widziałeś.

Kliknąłem i podałem dane karty. Co teraz?

Liczą się minuty. Działaj w tej kolejności, spokojnie, ale bez zwłoki:

Jeśli na fałszywej stronie podałeś także dane logowania do banku - natychmiast zmień hasło i zadzwoń na infolinię z prośbą o zablokowanie dostępu online.

Gdzie zgłosić fałszywy SMS

Nawet jeśli nie kliknąłeś, zgłoszenie zajmuje chwilę i pomaga zablokować stronę, zanim nabierze się na nią ktoś inny. Podejrzane wiadomości przekaż na numer 8080 - to bezpłatny numer CERT Polska do zgłaszania oszustw SMS.