W takich wiadomościach najczęściej chodzi o jedno: skłonić odbiorcę do kliknięcia w link, dopłaty albo wpisania danych karty. Ten tekst pokazuje, jak wygląda oszustwo na InPost, po czym odróżnić fałszywy SMS od prawdziwej informacji o przesyłce i co zrobić od razu, jeśli już wszedłeś w podejrzany link. Dorzucam też proste zasady, które realnie zmniejszają ryzyko przy odbiorze i nadawaniu paczek.
Jak bezpiecznie sprawdzić paczkę i szybko zareagować na podejrzany SMS
- Fałszywe wiadomości najczęściej podszywają się pod dopłatę, potwierdzenie danych albo doprecyzowanie statusu paczki.
- InPost nie wysyła SMS-ów z informacją o dopłacie; takie informacje sprawdzaj w oficjalnym panelu albo na fakturze.
- Najgroźniejsze są linki prowadzące do stron z formularzem płatności, logowania lub potwierdzania danych karty.
- Jeśli kliknąłeś, ale nic nie wpisałeś, zwykle wystarczy zamknąć stronę i nie wracać do linku. Jeśli podałeś dane, reaguj od razu.
- Podejrzany SMS warto zgłosić na numer 8080, bo to pomaga blokować kolejne kampanie.
To klasyczny smishing, czyli phishing prowadzony przez SMS. Oszuści rozsyłają krótką, pozornie pilną wiadomość: paczka czeka, trzeba dopłacić kilka złotych, potwierdzić adres albo uzupełnić dane. Sama treść bywa na tyle ogólna, że pasuje do wielu osób jednocześnie, więc atak opiera się bardziej na skali niż na precyzji.
W 2026 r. widać to wyraźnie w danych zgłoszeniowych. CERT Polska podawał, że w styczniu zarejestrowano 16,6 tys. zgłoszeń podejrzanych SMS-ów, a na podstawie wzorców zablokowano 108,5 tys. wiadomości. To pokazuje, że nie chodzi o pojedyncze, przypadkowe maile czy SMS-y, tylko o stały, masowy kanał wyłudzania danych. Najczęściej wystarczy jeden klik, bo użytkownik jest już przyzwyczajony do śledzenia paczek i odruchowo reaguje na komunikat o przesyłce.
Po czym rozpoznać fałszywą wiadomość
Gdy sprawdzam takie komunikaty, patrzę na cztery rzeczy: treść, link, sposób płatności i to, czy wiadomość próbuje wywołać presję czasu. InPost podkreśla, że nie wysyła SMS-ów z informacją o dopłatach, a rozliczenia pojawiają się w Managerze Paczek lub na fakturze. Jeśli wiadomość każe wysłać płatnego SMS-a, przejść na dziwną stronę albo pobrać „aktualizację” spoza oficjalnego sklepu, traktuję ją jako niebezpieczną.
W praktyce oszuści często liczą na pośpiech. Wysyłają komunikat o rzekomym zatrzymaniu paczki, blokadzie przesyłki albo konieczności natychmiastowego uzupełnienia danych. Sama treść może wyglądać poprawnie, ale drobne szczegóły zwykle się nie zgadzają: adres strony, nadawca, brak dostępu do konta w oficjalnej aplikacji albo prośba o podanie danych, których przewoźnik normalnie nie potrzebuje.
| Co widzisz | Co zwykle oznacza | Jak reaguję |
|---|---|---|
| SMS o dopłacie do paczki | To najczęstszy haczyk, bo prawdziwe rozliczenia nie przychodzą tą drogą | Nie klikam linku, tylko sprawdzam status w oficjalnym panelu |
| Link do „potwierdzenia danych” | Najpewniej prowadzi do fałszywej strony z formularzem wyłudzającym dane | Porównuję adres strony i nie wpisuję żadnych danych |
| Płatny SMS „w celu odbioru informacji” | To forma zarabiania na wysyłaniu wiadomości przez oszustów | Ignoruję wiadomość i zgłaszam ją jako podejrzaną |
| Załącznik lub prośba o instalację pliku | Legitne powiadomienia o paczkach nie powinny tego wymagać | Nie otwieram pliku i nie instaluję nic spoza sklepu z aplikacjami |
| Presja czasu i groźba utraty paczki | Ma wymusić szybki klik bez sprawdzenia szczegółów | Wstrzymuję się i weryfikuję wiadomość u źródła |
Najprościej mówiąc: jeśli komunikat wymaga od ciebie natychmiastowej reakcji, a jednocześnie prosi o kliknięcie w link lub dopłatę poza oficjalnym systemem, to sygnał ostrzegawczy. Taka metoda działa, bo na paczkę czeka się emocjonalnie i człowiek chce mieć sprawę zamkniętą jak najszybciej. Następny krok to nie panika, tylko szybka reakcja po kliknięciu, jeśli już do niego doszło.
Co zrobić od razu po kliknięciu w link
Jeśli tylko otworzyłeś stronę, ale nic nie wpisałeś, sprawa jest zwykle prostsza: zamknij kartę, nie wracaj do linku i sprawdź paczkę wyłącznie w oficjalnej aplikacji lub na stronie przewoźnika wpisanej ręcznie. Ja w takiej sytuacji traktuję to jak sygnał ostrzegawczy, a nie jeszcze katastrofę.
- Jeśli podałeś tylko adres e-mail lub numer telefonu, obserwuj skrzynkę i SMS-y, ale nie klikaj w kolejne wiadomości z tego samego źródła.
- Jeśli wpisałeś hasło do konta, zmień je natychmiast z innego, zaufanego urządzenia i wyloguj wszystkie aktywne sesje.
- Jeśli podałeś dane karty, zablokuj kartę lub ustaw jej czasowe wstrzymanie w aplikacji banku i skontaktuj się z bankiem.
- Jeśli zainstalowałeś plik albo aplikację z nieznanego źródła, usuń ją, sprawdź nadane uprawnienia i uruchom skan telefonu.
- Zachowaj screen wiadomości, adres strony i godzinę zdarzenia. To przydaje się przy zgłoszeniu.
- Zgłoś podejrzany SMS na numer 8080, żeby trafił do systemu zgłoszeń i mógł zostać wykorzystany do blokady kolejnych kampanii.
Ważne jest tempo. Im szybciej zareagujesz po wpisaniu danych, tym większa szansa, że ograniczysz skutki. W przypadku karty i logowania nie czekam „do wieczora” ani „do poniedziałku”, bo takie opóźnienie działa wyłącznie na korzyść oszustów. Po zabezpieczeniu konta warto przejść do samego sposobu sprawdzania przesyłek, żeby już nie wrócić do fałszywych linków.
Jak sprawdzać status przesyłki bez ryzyka
Bezpieczny nawyk jest prosty: nie zaczynaj od linku z SMS-a. Jeśli czekasz na paczkę, otwórz oficjalną aplikację albo wpisz numer przesyłki ręcznie w zaufanym panelu. Tylko tyle i aż tyle. Dzięki temu nie oddajesz kontroli nad ruchem paczki przypadkowej stronie, która może wyglądać niemal identycznie jak prawdziwa.
W praktyce sprawdzam trzy rzeczy: czy numer przesyłki zgadza się z zamówieniem, czy status zmienia się w oficjalnym systemie i czy ewentualna dopłata pojawia się tam, gdzie powinna. Jeśli coś brzmi nielogicznie, na przykład paczka „utknęła” przez drobną kwotę, której nie ma w żadnym oficjalnym miejscu, traktuję to jako próbę wyłudzenia, a nie problem logistyczny.
- Wchodzę do aplikacji albo na stronę przewoźnika ręcznie, bez klikania skróconych linków.
- Porównuję numer paczki z wiadomością od sklepu lub nadawcy.
- Sprawdzam, czy prośba o płatność pojawia się w oficjalnym systemie, a nie tylko w SMS-ie.
- Nie potwierdzam niczego, jeśli komunikat jest niepełny, chaotyczny albo zbyt pilny.
- Gdy mam wątpliwość, kontaktuję się bezpośrednio z nadawcą lub obsługą przewoźnika, a nie z numerem podanym w wiadomości.
Taki sposób weryfikacji jest wolniejszy o kilkanaście sekund, ale oszczędza dużo więcej czasu niż późniejsze wyjaśnianie wyłudzenia. I właśnie dlatego nawyk sprawdzania statusu u źródła jest ważniejszy niż samo rozpoznanie jednego konkretnego SMS-a. Kolejny krok to zabezpieczenie się na przyszłość, żeby podobny komunikat nie zadziałał drugi raz.
Jak zmniejszyć ryzyko przy przyszłych wysyłkach
Najlepsza obrona przed takimi próbami jest nudna, ale skuteczna: aktualna aplikacja, zdrowy dystans do linków i kilka prostych ustawień bezpieczeństwa. Nie trzeba do tego specjalistycznej wiedzy. Trzeba tylko raz uporządkować telefon i przyjąć, że wiadomości o paczkach zawsze sprawdzam dwa razy.
- Korzystam tylko z oficjalnej aplikacji i aktualizuję ją na bieżąco.
- Włączam blokadę telefonu PIN-em, hasłem albo biometrią.
- Nie instaluję plików APK i nie pobieram „kopii aplikacji” z przypadkowych stron.
- Nie otwieram wiadomości o dopłacie z poziomu pośpiesznego powiadomienia, tylko weryfikuję je ręcznie.
- Ustawiam mocne, unikalne hasło do skrzynki e-mail, bo właśnie tam często przychodzą kolejne etapy ataku.
- Jeśli czekam na kilka przesyłek naraz, traktuję każdy link z ostrożnością, nawet gdy nadawca wygląda znajomo.
Warto też wyrobić sobie jeden prosty odruch: zanim kliknę, patrzę na adres strony, a nie tylko na logo. To drobiazg, który często rozbraja atak jeszcze przed wejściem na fałszywy formularz. Gdy ten odruch wejdzie w krew, większość podobnych prób przestaje być groźna.
Jak nie dać się wciągnąć w kolejną próbę wyłudzenia
W takich kampaniach nie wygrywa ten, kto zna najwięcej technicznych szczegółów, tylko ten, kto nie działa automatycznie. Ja polegam na prostej zasadzie: każdą nieoczekiwaną dopłatę, prośbę o potwierdzenie danych i link do „odbioru paczki” traktuję jak komunikat wymagający osobnej weryfikacji, a nie jak polecenie do natychmiastowego wykonania.
To praktyczna lekcja, a nie teoria o cyberbezpieczeństwie. Jeśli coś wygląda jak zwykła wiadomość o przesyłce, ale prowadzi do płatności, logowania lub instalacji pliku, lepiej poświęcić chwilę na sprawdzenie niż później odzyskiwać konto, kartę i spokój. Właśnie tak najskuteczniej zamyka się temat fałszywych wiadomości związanych z wysyłką.
