Paczkomaty stoją co kilkaset metrów, a większość z nas ma w telefonie aplikację InPost. Właśnie ta powszechność robi z InPostu ulubioną przykrywkę oszustów: wiadomość o paczce brzmi wiarygodnie prawie dla każdego, bo prawie każdy na jakąś paczkę akurat czeka. Zebraliśmy scenariusze, które w Polsce pojawiają się najczęściej, i proste zasady, które pozwalają je odsiać.
SMS lub mail o dopłacie do przesyłki
Klasyka gatunku: wiadomość informuje, że paczka została wstrzymana i wymaga dopłaty, zwykle drobnej, na przykład 1,50 zł. Link prowadzi do strony łudząco podobnej do InPostu lub pośrednika płatności, która wyłudza dane karty albo login do banku. Sama kwota jest przynętą; oszustom chodzi o dane, nie o półtora złotego.
InPost nie pobiera dopłat przez linki w SMS-ach. Faktyczny status przesyłki widzisz w aplikacji InPost Mobile i tam też pojawiłaby się każda prawdziwa operacja. Zasada jest jedna: nie klikasz w link z wiadomości, tylko otwierasz aplikację lub wpisujesz inpost.pl ręcznie w przeglądarce. Mechanikę takich kampanii, wraz ze statystykami blokad CERT Polska, opisujemy szerzej w przewodniku po fałszywych SMS-ach (smishing).
Telefon od „kuriera InPost”
Dzwoni mężczyzna, przedstawia się jako kurier, twierdzi, że nie może dostarczyć paczki, i prosi o potwierdzenie danych albo kod z SMS-a. Czasem w tle słychać odgłosy sortowni, a numer wygląda na polski komórkowy. Prawdziwy kurier InPost może zadzwonić przed doręczeniem, ale nigdy nie potrzebuje kodu z SMS-a, numeru karty ani przelewu na „odblokowanie przesyłki”. Kod odbioru podajesz wyłącznie na ekranie Paczkomatu lub kurierowi przy drzwiach, nie przez telefon.
Zanim cokolwiek potwierdzisz, rozłącz się i sprawdź numer w naszej wyszukiwarce. Numery wykorzystywane w takich kampaniach zbierają komentarze innych użytkowników w ciągu kilku godzin od pierwszej fali połączeń.
Paczka za pobraniem, której nikt nie zamawiał
Do drzwi puka kurier z przesyłką pobraniową na Twoje nazwisko. Kwota niewielka, 30 czy 60 zł, więc domownicy często płacą w dobrej wierze, zakładając, że ktoś z rodziny coś zamówił. W środku jest bezwartościowy drobiazg albo nic. To oszustwo obliczone na skalę: tysiąc opłaconych pobrań po 50 zł daje oszustom 50 tysięcy złotych.
Ochrona jest prosta: nie płać za przesyłki, których nikt w domu nie zamawiał. Odmowa przyjęcia paczki pobraniowej nic nie kosztuje, a przesyłka wraca do nadawcy. Jeśli już zapłaciłeś, zachowaj etykietę z danymi nadawcy i złóż reklamację u przewoźnika oraz zawiadomienie na policji.
Fałszywy InPost Pay przy sprzedaży na OLX
Ten wariant celuje w sprzedających. Chwilę po wystawieniu ogłoszenia odzywa się „kupujący”, deklaruje zakup i przysyła link, rzekomo do InPost Pay lub „przesyłki OLX”, na którym masz „odebrać pieniądze”. Strona wygląda jak formularz wypłaty i prosi o dane karty, w tym kod CVV, czasem też o saldo konta. Żaden prawdziwy system wypłat tak nie działa: do otrzymania pieniędzy wystarczy numer konta, nigdy pełne dane karty.
Cały schemat, łącznie z przenoszeniem rozmowy na WhatsApp, rozkładamy na części w artykule o oszustwie na OLX i Vinted.
Co robić po kliknięciu lub podaniu danych
Liczy się szybkość. Jeśli podałeś dane karty, natychmiast zastrzeż ją w aplikacji banku lub na infolinii. Przy podanym loginie do bankowości zmień hasło i skontaktuj się z bankiem. Zgłoś stronę i wiadomość do CERT Polska: podejrzany SMS przekaż na numer 8080, a incydent opisz na incydent.cert.pl. Kolejne kroki, w tym reklamację i chargeback, opisujemy w poradniku o odzyskiwaniu pieniędzy po oszustwie, a pełną listę instytucji w tekście gdzie zgłosić oszustwo telefoniczne.
Najczęściej zadawane pytania
Jak odróżnić prawdziwy SMS od InPost od fałszywego?
Prawdziwe powiadomienia dotyczą przesyłek, które widzisz w aplikacji InPost Mobile, i nie zawierają żądań dopłat przez bramki płatności. Fałszywe wiadomości grają na pośpiechu, straszą zwrotem paczki i zawierają link do domeny jedynie przypominającej inpost.pl. W razie wątpliwości zignoruj link i sprawdź przesyłkę bezpośrednio w aplikacji.
Czy kurier InPost dzwoni do klientów?
Może zadzwonić, na przykład gdy nie może znaleźć adresu. Różnica polega na tym, o co prosi: prawdziwy kurier ustala szczegóły doręczenia, a oszust żąda kodów z SMS-ów, danych karty albo płatności przez link. Każda prośba o dane finansowe w takiej rozmowie oznacza oszustwo.
Zapłaciłem „dopłatę” na fałszywej stronie. Co teraz?
Zastrzeż kartę, zanim zrobisz cokolwiek innego, bo oszuści testują ją zwykle w ciągu kilkunastu minut. Potem złóż w banku reklamację z wnioskiem o chargeback, zgłoś incydent do CERT Polska i zawiadom policję. Im szybciej zadziałasz, tym większa szansa na zatrzymanie transakcji.
Dostałem awizo z kodem QR do zeskanowania. Czy to bezpieczne?
Ostrożnie: przestępcy podrzucają też fałszywe awiza i naklejki z kodami QR prowadzącymi do stron płatności. Kod ze skrytki Paczkomatu skanowany w aplikacji InPost jest bezpieczny, ale kod z ulotki czy naklejki może prowadzić dokądkolwiek. Jak działa ten typ ataku, opisujemy w artykule o quishingu, czyli oszustwie na kod QR.
