Jeśli dostałeś SMS-a z informacją, że Twoja paczka czeka na opłatę celną i trzeba ją uregulować przez link, nie klikaj. W piątek Poczta Polska ostrzegła przed nową falą oszustw prowadzonych przez wiadomości SMS. Przestępcy podszywają się pod operatora i informują o rzekomej konieczności wniesienia opłaty celnej za przesyłkę. Celem jest wyłudzenie danych kart płatniczych i danych osobowych.

Jak wygląda ten schemat

Jak podano, zespół Cert Poczta Polska — czyli komórka operatora zajmująca się bezpieczeństwem w sieci — odnotował nową kampanię phishingową, to znaczy wysyłkę wiadomości podszywających się pod znaną firmę, żeby wyciągnąć od odbiorcy dane lub pieniądze. Tym razem kanałem był SMS.

Mechanizm był prosty. Przestępcy wysyłali wiadomości z informacją o rzekomej konieczności dopłaty celnej do przesyłki. W treści znajdował się link, który prowadził do strony przypominającej serwis Poczty Polskiej. Tam ofiara miała wpisać dane karty płatniczej i dane osobowe — i to był właściwy cel całej akcji, jak poinformowali przedstawiciele Poczty Polskiej.

Operator dodał, że fałszywy adres internetowy został zgłoszony do CERT Polska oraz do rejestratora, czyli firmy, która ten adres sprzedała, i jest już obecnie niedostępny. To jednak nie koniec problemu. „Trzeba jednak pamiętać, że podobne kampanie pojawiają się regularnie i wykorzystują nowe adresy internetowe oraz zmienione treści wiadomości” — podkreślono w komunikacie. Innymi słowy: zablokowanie jednej strony nie oznacza, że za tydzień nie pojawi się kolejna, pod innym adresem i z nieco inną treścią.

Opłata celna to zresztą tylko jeden z pretekstów. Jak podano, najczęściej oszuści podszywający się pod operatora próbują wyłudzić pieniądze, informując o rzekomej: dopłacie do przesyłki lub opłacie celnej, problemie z dostawą paczki, zwrocie pieniędzy, zaległości wobec urzędu, konieczności aktualizacji danych czy zagrożeniu dla oszczędności na koncie bankowym.

Warto też porzucić myślenie, że to problem wyłącznie osób starszych. „Coraz częściej ofiarami padają nie tylko seniorzy, ale również osoby młode i aktywnie korzystające z usług online” — podkreśliła poczta. Osoba, która regularnie kupuje w internecie, ma po prostu większą szansę, że fałszywy SMS trafi w moment, gdy faktycznie czeka na jakąś przesyłkę.

Po czym poznać fałszywą wiadomość

Poczta Polska poinformowała, że fałszywy SMS lub e-mail często zawiera powtarzalny zestaw cech:

  • informację o niewielkiej dopłacie, np. kilku złotych — kwota jest na tyle mała, że łatwiej ją zapłacić niż sprawdzić;
  • link prowadzący do nieznanej domeny, czyli do adresu, który nie jest oficjalnym adresem firmy;
  • błędy językowe, literówki i nienaturalne sformułowania;
  • prośby o podanie danych karty, loginu, hasła lub kodu BLIK, którym potwierdza się płatności w aplikacji banku;
  • presję czasu — przestępcy piszą np. „zapłać w ciągu 24 godzin”;
  • nietypowy numer telefonu albo nieznanego nadawcę.

Poczta wskazała, żeby przed kliknięciem w link zawsze sprawdzać pełny adres strony. A po otrzymaniu takiej wiadomości nie należy klikać w link, podawać danych ani dokonywać płatności.

Jak samodzielnie sprawdzić, czy paczka naprawdę czeka

Najważniejsza zasada jest taka: informację trzeba zweryfikować samodzielnie, a nie przez to, co przyszło w wiadomości. Poczta zaleca sprawdzenie przez oficjalną stronę firmy lub infolinię.

W praktyce wygląda to tak. Jeśli czekasz na przesyłkę, masz jej numer nadania — dostajesz go od sklepu albo od nadawcy, w potwierdzeniu zamówienia lub w wiadomości o wysłaniu paczki. Ten numer wpisujesz samodzielnie w wyszukiwarkę przesyłek na oficjalnej stronie przewoźnika, do której wchodzisz z własnej zakładki lub wpisując adres ręcznie. Nigdy nie korzystaj z numeru ani linku podanego w podejrzanym SMS-ie — oszust może wkleić tam dowolny ciąg cyfr i dowolną stronę, która tylko wygląda jak serwis przewoźnika.

Jeśli po wpisaniu własnego numeru nadania status przesyłki nie wspomina o żadnej opłacie, SMS jest fałszywy. Jeśli nie czekasz na żadną paczkę, sprawa jest jeszcze prostsza — nie ma czego dopłacać.

Czego Poczta Polska nie robi

Przedstawiciele operatora zaznaczyli, że Poczta Polska nigdy nie prosi o podawanie danych osobowych przez telefon — zwłaszcza jeśli to pracownik dzwoni do klienta bez wcześniejszego kontaktu z jego strony. Ponadto pracownicy Poczty Polskiej nie proszą o PESEL, numer dowodu, hasła ani kody.

„W takiej sytuacji należy zakończyć rozmowę, nie oddzwaniać na numer, z którego wykonano połączenie i samodzielnie zadzwonić na oficjalną infolinię Poczty Polskiej: 801 333 444 lub (+48) 43 842 06 00. Pod tymi numerami można sprawdzić, czy kontakt był prawdziwy” — skomentował cytowany w informacji prasowej dyrektor Departamentu Cyberbezpieczeństwa i Standardów IT w Poczcie Polskiej Tomasz Zawisza.

Zasada „nie oddzwaniaj na numer, z którego dzwoniono” jest tu kluczowa. Numer widoczny na ekranie można podrobić, więc jedyny pewny kontakt to ten, który wybierzesz sam z oficjalnego źródła.

Kliknąłeś i podałeś dane? Działaj od razu

„Jeżeli kliknąłeś link i podałeś dane: natychmiast skontaktuj się z bankiem, zablokuj kartę lub dostęp do bankowości elektronicznej, zmień hasła do kont, zgłoś sprawę na policję” — wyjaśnili przedstawiciele poczty.

Jest jeszcze jeden szczegół, o którym łatwo zapomnieć w panice: fałszywy SMS lub e-mail należy usuwać dopiero po wykonaniu zgłoszenia. Wiadomość jest dowodem i zawiera adres strony, który służbom pozwala ją zablokować.

Gdzie zgłosić podejrzanego SMS-a

Próby oszustwa można zgłaszać do CERT Polska — to zespół działający w strukturach NASK, Państwowego Instytutu Badawczego, powołany w 1996 roku do reagowania na incydenty bezpieczeństwa komputerowego. Podejrzanego SMS-a wystarczy przesłać dalej na numer 8080. Inne treści zgłasza się przez stronę incydent.cert.pl.

Jeśli oszust w wiadomości podszywa się pod Pocztę Polską lub Pocztex, incydent można zgłosić dodatkowo na adres: [email protected].

Skala działalności operatora pokazuje, dlaczego akurat ta marka jest tak chętnie wykorzystywana przez przestępców. Poczta Polska to spółka Skarbu Państwa i największy operator pocztowy w kraju. Na swojej stronie internetowej podaje, że zatrudnia 51 tys. pracowników, dziennie obsługuje 300 tys. paczek i 3 mln listów, a także ma ponad 7,5 tys. placówek. Przy takim wolumenie przesyłek losowo wysłany SMS o paczce ma dużą szansę trafić do kogoś, kto faktycznie na nią czeka — i właśnie na tym opiera się cały ten schemat.