SMS o dopłacie do przesyłki: jak go sprawdzić i co zrobić po kliknięciu

Spis treści

SMS o dopłacie do przesyłki potraktuj jako niezweryfikowaną prośbę o płatność. Sprawdź przesyłkę w aplikacji przewoźnika lub na jego stronie otwartej niezależnie od wiadomości. Jeśli link został już kliknięty, dalsze działanie zależy od tego, czy tylko otwarto stronę, wpisano dane, zatwierdzono płatność albo zainstalowano aplikację.

W 30 sekund

• Żądanie dopłaty potwierdź w oficjalnym systemie przewoźnika. Sam fakt, że czekasz na paczkę, nie potwierdza autentyczności SMS-a.
• Samo otwarcie strony nie oznacza automatycznie utraty pieniędzy. Zamknij ją i sprawdź, czy nie doszło do pobrania pliku lub nadania uprawnień.
• Po wpisaniu danych karty, bankowości lub zatwierdzeniu podejrzanej operacji pilnie skontaktuj się z bankiem.
• Jeśli zainstalowano aplikację z wiadomości, przestań używać tego telefonu do bankowości. Do kontaktu z bankiem i zmiany haseł wykorzystaj inne, zaufane urządzenie.
• Podejrzaną wiadomość można zgłosić do CERT Polska, a podejrzenie przestępstwa także policji. Zabezpiecz SMS i potwierdzenia operacji.

Jak sprawdzić, czy dopłata do paczki jest prawdziwa

Wiadomość o dopłacie wymaga sprawdzenia poza SMS-em, nawet jeśli zawiera nazwę znanej firmy i pasuje do oczekiwanej dostawy. Nazwę nadawcy można podrobić, a oszust może przypadkowo trafić na moment, w którym rzeczywiście czekasz na zamówienie.

Najbezpieczniej przejść od własnego zamówienia do informacji o dostawie:

1. Otwórz aplikację sklepu lub historię zamówień i sprawdź, jaka firma obsługuje przesyłkę.
2. Odczytaj numer przesyłki z zamówienia lub wcześniej zweryfikowanej informacji o nadaniu.
3. Uruchom znaną aplikację przewoźnika albo wpisz samodzielnie jego oficjalny adres w przeglądarce.
4. Sprawdź status i dostępne informacje o opłatach. Jeśli żądanie pozostaje niejasne, skontaktuj się z przewoźnikiem przez dane podane w jego oficjalnym serwisie.

Nie korzystaj przy tym z numeru telefonu ani przycisku kontaktowego podanego w podejrzanej wiadomości. Mogą prowadzić do osoby podszywającej się pod obsługę.

Dodatkowe należności mogą wystąpić przy niektórych dostawach, na przykład związanych z odprawą przesyłki zagranicznej. To jednak nie uwierzytelnia konkretnego SMS-a. Rzeczywista opłata powinna dać się potwierdzić niezależnym kanałem, z wyjaśnieniem, czego dotyczy i jak jest powiązana z przesyłką. Brak informacji w śledzeniu jest powodem do kontaktu z przewoźnikiem, nie do próbnej płatności przez link.

Co powinno wzbudzić podejrzenie

SMS o niewielkiej dopłacie może służyć do wyłudzenia danych karty, hasła do banku lub zgody na operację. Mała kwota obniża czujność: odbiorca skupia się na szybkim odblokowaniu dostawy, zamiast na sprawdzeniu strony.

Sygnałami ostrzegawczymi są zwłaszcza:

• presja czasu i groźba natychmiastowego zwrotu paczki;
• link ze skróconym adresem, literówką w nazwie firmy lub dodatkowymi słowami sugerującymi płatność;
• formularz żądający danych logowania do banku albo pełnych danych karty pod pretekstem potwierdzenia adresu;
• prośba o zainstalowanie aplikacji, profilu konfiguracyjnego lub narzędzia do zdalnej pomocy;
• kolejne żądania kodów i zatwierdzeń, których znaczenie nie odpowiada deklarowanej dopłacie.

To wskazówki do oceny, a nie pełna diagnoza. Oszukańcza wiadomość może być napisana poprawnie, a fałszywa strona — wyglądać jak serwis przewoźnika. Kłódka i połączenie HTTPS oznaczają szyfrowanie połączenia; nie potwierdzają uczciwości właściciela strony.

Przykładowo: jeśli po formularzu dotyczącym drobnej dopłaty aplikacja bankowa pokazuje zgodę na dodanie karty do portfela cyfrowego, zatwierdzasz inną czynność niż opłacenie dostawy. Czytaj pełną treść komunikatu banku, zwłaszcza rodzaj operacji, odbiorcę i kwotę.

Co zrobić po kliknięciu linku

Po kliknięciu najważniejsze jest ustalenie, co wydarzyło się dalej. Sam widok strony, wpisanie hasła i instalacja aplikacji oznaczają różne poziomy ryzyka. Jeśli wystąpiło kilka sytuacji, zastosuj działania odpowiednie do najpoważniejszej z nich.

Pierwsze działanie zależnie od tego, co zrobiono po otwarciu linku

Zdarzenie	Pierwsze działanie	Warunek lub ograniczenie
Tylko wyświetlono stronę	Zamknij stronę; sprawdź pobrane pliki i zgody na powiadomienia.	Ten wariant dotyczy sytuacji bez wpisywania danych, instalacji i zatwierdzania komunikatów. Samo kliknięcie nie dowodzi przejęcia konta.
Podano dane kontaktowe	Nie przekazuj kolejnych danych ani kodów osobom kontaktującym się w sprawie dopłaty.	Ujawnienie także PESEL lub danych dokumentu wymaga dodatkowych działań odpowiednich do zakresu danych.
Wpisano hasło	Zmień hasło w prawdziwym serwisie oraz wszędzie, gdzie używano tego samego hasła.	Brak kliknięcia przycisku wysyłania nie wyklucza przechwycenia danych. Przy haśle do bankowości pilnie skontaktuj się także z bankiem.
Podano dane karty, kod lub zatwierdzono podejrzaną operację	Pilnie skontaktuj się z bankiem przez niezależnie wybrany, oficjalny kanał.	Nie czekaj na obciążenie konta. Możliwość zatrzymania operacji lub odzyskania pieniędzy zależy od jej rodzaju i okoliczności.
Zainstalowano aplikację z linku	Przestań używać telefonu do bankowości, odłącz go od internetu i skontaktuj się z bankiem z innego urządzenia.	Przy podejrzeniu złośliwego oprogramowania samo odinstalowanie aplikacji nie daje pewności, że urządzenie jest bezpieczne. Dalsze działania zależą od systemu i rodzaju zagrożenia.

Tylko otwarto stronę

Jeżeli strona została jedynie wyświetlona, bez wpisywania danych, instalacji i zatwierdzania komunikatów, zamknij ją i nie wracaj do linku. Samo kliknięcie nie dowodzi przejęcia telefonu ani konta.

Sprawdź jednak, czy przeglądarka nie pobrała pliku oraz czy strona nie uzyskała zgody na powiadomienia. Nie otwieraj pobranego pliku; usuń go, jeśli pochodzi z podejrzanej strony. Cofnij ewentualną zgodę na powiadomienia i zaktualizuj przeglądarkę oraz system.

Ryzyko wykorzystania błędu w oprogramowaniu nie jest zerowe, szczególnie na nieaktualnym urządzeniu. Jeśli po wizycie pojawiła się nieznana aplikacja, nie da się zamknąć podejrzanych ekranów albo telefon zachowuje się nietypowo, potrzebna może być pomoc techniczna. Samo wyczyszczenie historii przeglądania nie usuwa zainstalowanego złośliwego oprogramowania.

Wpisano imię, adres, telefon lub e-mail

Po podaniu danych kontaktowych licz się z kolejnymi próbami oszustwa, dopasowanymi do tych informacji. Ktoś może zadzwonić, podać szczegóły dostawy i przedstawić się jako kurier albo pracownik banku. Znajomość twojego adresu lub nazwiska nie potwierdza tożsamości rozmówcy.

Przerwij podejrzany kontakt i samodzielnie połącz się z daną instytucją. Nie przekazuj kolejnych danych ani kodów w celu rzekomego „anulowania dopłaty”.

Jeśli formularz obejmował także PESEL, dane dokumentu lub jego zdjęcie, zakres ryzyka jest większy. Po ujawnieniu numeru PESEL zastrzeż go w oficjalnej usłudze — Ministerstwo Cyfryzacji wskazuje takie działanie jako sposób ograniczania skutków wycieku danych i kradzieży tożsamości. Przy ujawnieniu danych dokumentu lub jego zdjęcia ustal dalsze działania odpowiednie do przekazanych informacji. Samo podanie telefonu lub e-maila nie oznacza ujawnienia PESEL. Zastrzeżenie PESEL nie zastępuje kontaktu z bankiem, gdy ujawniono również informacje finansowe.

Wpisano hasło

Ze względów bezpieczeństwa hasło wpisane na podejrzanej stronie potraktuj jako potencjalnie ujawnione — również wtedy, gdy nie naciśnięto przycisku wysyłania. Działający na stronie złośliwy skrypt może rejestrować dane już podczas pisania; OWASP opisuje taką możliwość w dokumencie Web Frontend Security Cheat Sheet. Samo wpisanie hasła nie dowodzi, że konkretna strona je przechwyciła.

Zmień hasło w prawdziwym serwisie, otwartym niezależnie od SMS-a. Jeśli to samo hasło było używane w innych miejscach, zmień je także tam. Zabezpiecz szczególnie skrzynkę pocztową, ponieważ może służyć do resetowania dostępu do pozostałych kont.

Wyloguj inne sesje, jeśli usługa daje taką możliwość, sprawdź dane odzyskiwania konta i włącz dodatkowe uwierzytelnianie. Jeśli ujawniono dane logowania do bankowości, od razu skontaktuj się z bankiem — sama zmiana hasła może nie wystarczyć.

Podano dane karty, kod lub zatwierdzono operację

Po ujawnieniu danych karty albo zatwierdzeniu podejrzanej operacji nie czekaj na zniknięcie pieniędzy. Zadzwoń do banku przez numer z karty, aplikacji lub oficjalnej strony. Powiedz dokładnie, jakie dane wpisano i co zatwierdzono.

Bank powinien ocenić potrzebę zastrzeżenia karty, zabezpieczenia dostępu do konta oraz sprawdzenia transakcji, nowych urządzeń czy portfeli cyfrowych. Tymczasowa blokada karty może być działaniem doraźnym, ale przy ujawnieniu jej danych ustal z bankiem, czy konieczne jest trwałe zastrzeżenie.

Jeżeli doszło do przelewu lub obciążenia, zgłoś operację i zapytaj o dostępne możliwości jej zatrzymania, odzyskania środków oraz tryb reklamacji. Zwrot pieniędzy nie jest automatyczny i zależy od okoliczności oraz rodzaju transakcji.

Nie zatwierdzaj kolejnej operacji na polecenie osoby, która obiecuje „cofnąć oszustwo”. Kody i zgody w aplikacji mogą umożliwić dalsze działania na koncie.

Zainstalowano aplikację z linku

Jeśli po SMS-ie zainstalowano aplikację lub przyznano jej szerokie uprawnienia, potraktuj telefon jako potencjalnie niezaufany. Szczególnie niepokojący jest dostęp do ekranu, SMS-ów, funkcji ułatwień dostępu lub zdalnego sterowania.

Przestań korzystać na nim z bankowości i wpisywać hasła. Odłącz urządzenie od internetu, a z innego telefonu lub komputera skontaktuj się z bankiem. Z bezpiecznego urządzenia zabezpiecz także konta, do których logowano się po instalacji.

Przy podejrzeniu złośliwego oprogramowania samo odinstalowanie aplikacji nie daje pewności, że problem został rozwiązany. CERT Polska w ostrzeżeniu z 12 kwietnia 2022 r. o Flubocie, złośliwym oprogramowaniu na Androida rozpowszechnianym przez SMS-y, zalecał odłączenie telefonu, wykonanie kopii danych i przywrócenie ustawień fabrycznych. To zalecenie dotyczy opisanego zagrożenia; nie jest uniwersalną instrukcją dla każdej aplikacji i każdego systemu.

Sposób oczyszczenia telefonu ustal odpowiednio do systemu, nadanych uprawnień i podejrzewanego zagrożenia; może być potrzebna pomoc serwisu. Jeśli konieczny okaże się reset, wcześniej ustal, jak zachować dowody i potrzebne dane, ponieważ przywrócenie ustawień fabrycznych usuwa dane z urządzenia. Nie odkładaj jednak kontaktu z bankiem do czasu naprawy telefonu.

Jak zgłosić wiadomość i zachować dowody

Podejrzany SMS można zgłosić do CERT Polska, korzystając z oficjalnego kanału zgłoszeń znalezionego niezależnie od wiadomości. Zgłoszenie pomaga przekazać informacje o próbie wyłudzenia, ale nie blokuje karty ani nie zastępuje zawiadomienia banku.

Przed usunięciem wiadomości zachowaj jej treść, dane nadawcy, datę i widoczny adres strony. Zapisz też, jakie dane podano, czy coś zainstalowano i jakie operacje zatwierdzono. Nie otwieraj ponownie podejrzanej witryny tylko po to, by zrobić dodatkowy zrzut ekranu.

Jeżeli doszło do utraty pieniędzy, przejęcia konta lub podejrzenia wykorzystania tożsamości, zgłoś sprawę policji. Przygotuj potwierdzenia transakcji i korespondencję z bankiem. Bank może potrzebować tych informacji do obsługi zgłoszenia, a policja do ustalenia przebiegu zdarzenia.

Po incydencie zachowaj ostrożność wobec osób obiecujących odzyskanie pieniędzy za opłatą. Dalsze ustalenia prowadź przez samodzielnie wybrane, oficjalne kanały banku i właściwych instytucji.

O autorce

Julia Wierzbicka

Julia Wierzbicka — redaktorka Bibiuti.pl. Przygotowuje artykuły o domu, rodzinie, odżywianiu i codzienności. Porządkuje dostępne informacje, opisuje praktyczne rozwiązania i wskazuje, kiedy temat wymaga indywidualnej konsultacji ze specjalistą.

Wszystkie artykuły autorki →