Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Fałszywe wiadomości podszywające się pod InPost rozpoznasz po nietypowej domenie, prośbie o dopłatę do przesyłki i presji czasu. Każdy SMS z linkiem do aktualizacji adresu lub płatności powinien być traktowany jako podejrzany. W artykule wyjaśniamy schematy oszustów i podpowiadamy, jak bronić się przed utratą pieniędzy.

Na czym polega oszustwo na InPost?

Cyberprzestępcy masowo wysyłają SMS-y podszywające się pod firmę kurierską InPost lub Pocztę Polską. Wiadomość zazwyczaj informuje o wstrzymaniu paczki z powodu braku numeru ulicy, nieaktualnego adresu albo rzekomej dopłaty. W treści znajduje się link, który prowadzi do fałszywej strony łudząco podobnej do prawdziwego serwisu.

Ten rodzaj ataku bywa nazywany smishingiem, a podszywanie się pod nadawcę wiadomości to spoofing. Obie techniki bazują na zaufaniu do znanych marek i presji czasu.

Po kliknięciu odbiorca jest proszony o uzupełnienie danych i podanie numeru karty płatniczej pod pretekstem opłacenia ponownej dostawy. W rzeczywistości podane informacje trafiają bezpośrednio do przestępców, którzy wykorzystują je do kradzieży pieniędzy z konta ofiary.

Zespół CERT Polska zarejestrował w 2022 roku ponad 322 tysiące ataków, a liczba ta wzrosła o jedną trzecią w stosunku do roku 2021. Firmy kurierskie, obok banków i portali sprzedażowych, są jednym z najczęściej podrabianych wizerunków w kampaniach phishingowych.

Jak rozpoznać fałszywe wiadomości podszywające się pod InPost?

Najważniejszy sygnał to link do nietypowej domeny. Oszuści rejestrują adresy pokroju inpost.pl-admin.cyou lub inne z końcówkami .cyou, .cc, .top. Prawdziwa firma używa wyłącznie domeny inpost.pl, a jej strony do płatności są zabezpieczone protokołem HTTPS.

InPost nigdy nie wysyła SMS-ów z informacją o dopłatach. Wszelkie rozliczenia pojawiają się wyłącznie w Managerze Paczek lub na fakturze.

Kolejna wskazówka to treść. InPost nie żąda w wiadomościach numeru karty, PIN-u ani logowania do banku. Wszystkie rozliczenia są dostępne w Managerze Paczek lub na fakturze.

Wiadomości e-mail od oszustów często zawierają błędy w adresie nadawcy, na przykład @intops.pl, @impost.pl albo @inpost-eu.pl. Prawdziwe powiadomienia InPost nigdy nie mają załączników, a w fałszywych pojawia się między innymi sformułowanie „list przewozowy”, którego firma nie używa.

Poniższe zestawienie pomaga oddzielić prawdziwe powiadomienia od fałszywych:

Jak oszuści atakują sprzedających na OLX i Vinted?

Przestępcy działają także po stronie sprzedaży. Do wyszukiwania świeżych ogłoszeń wykorzystują automatyczne pobieranie danych, tak zwany web scraping. Kontaktują się przez WhatsApp lub SMS z numerem spoza Polski i podają się za kupujących, proponując rzekomą usługę InPost dostawa, która nie istnieje.

Wysyłają spreparowaną grafikę stylizowaną na InPost i proszą o podanie danych konta bankowego, a potem o zalogowanie się przez fałszywą stronę. W kolejnym kroku ofiara jest proszona o potwierdzenie wypłaty kodem BLIK, co w praktyce pozwala przestępcom wypłacić gotówkę z bankomatu.

W jednym z wariantów oszuści informują o paczce z zagranicy, podają numer telefonu kuriera, kod odbioru i kwotę pobrania, na przykład 215 zł. Odbiorca proszony jest o zapłacenie za towar, którego wcale nie zamawiał. Podobne wiadomości bywają wysyłane z adresu [email protected].

Za podszywanie się pod osobę lub organizację i wykorzystanie jej wizerunku grozi w Polsce do trzech lat więzienia. Przestępcy liczą jednak na pośpiech i mniejszą czujność, ponieważ InPost jest firmą powszechnie rozpoznawaną i darzoną zaufaniem.

Co zrobić, gdy klikniesz w fałszywy link?

Jeśli podałeś dane karty płatniczej lub logowania do banku, natychmiast skontaktuj się ze swoim bankiem i zastrzeż kartę. Szybka reakcja może powstrzymać wypłatę środków z konta.

Nie należy klikać dalej ani potwierdzać żadnych kodów BLIK. Kody autoryzacyjne są jednorazowe, ale w rękach przestępcy służą do natychmiastowego wyciągnięcia gotówki z bankomatu.

Od 22 listopada 2023 roku działa bezpłatny numer 8080, na który można zgłaszać podejrzane wiadomości SMS. Sprawę warto też zgłosić do CERT Polska oraz bezpośrednio do InPost. W tym celu możesz:

• wysłać całą podejrzaną wiadomość SMS na numer 8080,
• zgłosić incydent na stronie incydent.cert.pl,
• napisać na adres [email protected],
• przesłać skan wiadomości do InPost na adres [email protected].

Kiedy kontakt z bankiem jest pilny?

Z bankiem należy skontaktować się w każdej sytuacji, gdy na fałszywej stronie wpisano dane karty, hasło do bankowości internetowej albo gdy zatwierdzono jakikolwiek kod BLIK. Bank może zablokować konto lub kartę i uruchomić procedurę sporną.

Jak zgłosić sprawę na policję?

W przypadku utraty pieniędzy warto złożyć zawiadomienie na policji. Do zgłoszenia przydadzą się zrzuty ekranu, treść wiadomości, numer konta lub telefonu przestępcy oraz potwierdzenie przelewu.

Jak chronić urządzenia i dane przed oszustami?

Ochrona zaczyna się od ograniczonego zaufania do wiadomości. Jeśli SMS lub e-mail wywiera presję czasu, straszy utratą paczki albo obiecuje szybki zysk, to sygnał, że możesz mieć do czynienia z phishingiem.

Na co dzień warto unikać publicznych sieci WiFi i nie podłączać znalezionych nośników USB. Pobieraj aplikacje wyłącznie z Google Play lub App Store, a telefon zabezpieczaj hasłem lub biometrią.

Regularne aktualizacje systemu i przeglądarki pomagają ograniczyć ryzyko zainfekowania urządzenia złośliwym oprogramowaniem. Malware, ransomware i spyware często trafiają do telefonów przez załączniki w e-mailach lub fałszywe aplikacje.

Jak bezpiecznie sprawdzać adresy stron?

Zawsze sprawdzaj adres przed kliknięciem. Po najechaniu kursorem na link widać rzeczywisty adres, a poprawna strona InPost zaczyna się od https://inpost.pl. Domena .cyou, .cc lub literówka w nazwie powinny wykluczać dalsze działanie.

Nie ufaj również skróconym linkom typu bit.ly. Ładna nazwa w wiadomości to za mało – dopiero pełny adres w pasku przeglądarki pokazuje, gdzie naprawdę trafisz.

Jak reagować na podejrzane wiadomości SMS?

Podejrzany SMS najlepiej od razu zgłosić na numer 8080. Wystarczy użyć opcji „Przekaż” w telefonie i wysłać całą treść, nie wycinając linku. Zgłoszenie jest bezpłatne na terenie Polski.

Nie odpisuj na taką wiadomość, nie wybieraj podanego numeru telefonu i nie pobieraj żadnych załączników. Kontakt trzeba weryfikować wyłącznie przez oficjalną infolinię lub aplikację InPost Mobile.