DODAJ MATERIAŁ
dodaj wideo, zdjęcie, tekst
Czekasz na paczkę i dostajesz SMS z informacją, że dostawa wymaga dopłaty albo ponownego wskazania terminu. Innym razem wiadomość dotyczy rzekomego mandatu, opłaty parkingowej lub zaległego rachunku. Po otwarciu linku pojawia się formularz naśladujący stronę firmy lub instytucji. Może służyć do wyłudzenia danych karty, danych logowania albo informacji potrzebnych do autoryzacji płatności.
Takie kampanie pojawiają się w Polsce również w 2026 roku. W czerwcu CERT Polska ostrzegał przed SMS-ami o rzekomych mandatach. W lipcu opisywał wiadomości o niedostarczonych paczkach prowadzące do strony podszywającej się pod firmę kurierską. W obu przypadkach odbiorca miał opuścić oficjalny kanał instytucji i skorzystać z linku przesłanego przez oszustów.
Fikcyjna sygnatura sprawy, odniesienia do przepisów, 48 godzin na zapłatę i groźba skierowania sprawy do sądu pojawiały się w SMS-ach o mandatach opisywanych przez CERT Polska w czerwcu 2026 roku. Link prowadził do strony, na której użytkownik miał najpierw podać numer rejestracyjny pojazdu, a następnie dane karty płatniczej.
W fałszywych SMS-ach kurierskich pretekstem była nieudana próba doręczenia i konieczność wybrania nowego terminu. CERT Polska opisywał kampanie podszywające się pod DPD, w których link otwierał stronę imitującą serwis przewoźnika i prowadził do formularza zbierającego dane kontaktowe oraz dane karty.
Fałszywe wiadomości o paczkach i mandatach różnią się pretekstem, ale wykorzystują podobne sposoby skłaniania do działania. Krótki termin, niewielka opłata i link prowadzący do formularza mają sprawić, że odbiorca wykona kolejne kroki bez sprawdzenia wiadomości w oficjalnym serwisie.
Kilka złotych za zmianę terminu dostawy, brakującą opłatę albo inną drobną czynność może wyglądać jak koszt niewarty dodatkowego sprawdzania. Po otwarciu linku problem szybko przestaje jednak dotyczyć samej dopłaty: podstawiona strona może zażądać pełnych danych karty, danych do logowania do bankowości albo pobrania aplikacji.
Groźba zwrotu paczki albo konsekwencji prawnych ma skłonić odbiorcę do działania w ciągu kilku godzin. Termin podany w SMS-ie nie zmienia sposobu weryfikacji.
Status przesyłki sprawdź bezpośrednio u przewoźnika, informację o mandacie w aplikacji mObywatel, a opłatę parkingową u właściwego operatora. Nie korzystaj przy tym z danych kontaktowych ani linku umieszczonych w podejrzanej wiadomości.
Fałszywy SMS może trafić akurat wtedy, gdy rzeczywiście czekasz na przesyłkę albo niedawno korzystałeś z parkingu. Zgodność pretekstu z twoją sytuacją nie potwierdza autentyczności wiadomości.
Uruchom aplikację przewoźnika albo samodzielnie wpisz adres jego strony i sprawdź numer przesyłki. Informację o rzekomym mandacie zweryfikuj w aplikacji mObywatel. Nie otwieraj w tym celu linku z SMS-a.
W fałszywych kampaniach kurierskich jako nadawca może pojawić się nazwa firmy, czyli tak zwany nadpis. CERT Polska zwraca uwagę, że telefon może wtedy umieścić wiadomość w tym samym wątku, w którym znajdują się wcześniejsze, prawdziwe SMS-y od kuriera.
Nazwa nadawcy ani miejsce wiadomości w historii rozmowy nie potwierdzają jej autentyczności. Sprawdź, dokąd prowadzi link i czy tę samą informację można znaleźć po samodzielnym wejściu do aplikacji lub serwisu firmy.
Jeżeli strona otwarta z linku w SMS-ie prosi o dane do logowania do bankowości, pełne dane karty albo kod autoryzacyjny, przerwij proces. KNF opisuje podstawione formularze służące do przejmowania takich informacji oraz strony nakłaniające do pobrania złośliwej aplikacji.
Płatność lub zaległość sprawdź od początku w oficjalnej aplikacji albo po samodzielnym wejściu na stronę firmy, banku lub instytucji. Nie wracaj do formularza otwartego z wiadomości.
Jeżeli SMS przyszedł z widocznego numeru, sprawdź go w InfoNumer i zobacz, czy wcześniej pojawiały się przy nim podobne zgłoszenia. Powtarzające się komentarze o SMS-ach z linkiem, próbach wyłudzenia danych lub podszywaniu się pod firmę mogą pomóc rozpoznać schemat kampanii.
Same opinie nie potwierdzają jednak, kto rzeczywiście wysłał wiadomość. Numer można sfałszować, a przy nowej kampanii pierwsze zgłoszenia mogą pojawić się dopiero po pewnym czasie.
Podejrzaną informację zweryfikuj niezależnie od wiadomości:
Jeśli oficjalny kanał nie potwierdza wiadomości, nie podawaj danych i nie wykonuj płatności. Podejrzany SMS możesz bezpłatnie przekazać do CERT Polska na numer 8080.
Różnice między wiadomościami o paczce, mandacie, rachunku i blokadzie konta pokazuje zestawienie „Smishing w Polsce w 2026 roku: 12 fałszywych SMS-ów i sygnały, które je zdradzają”. Po rozpoznaniu scenariusza sprawdź żądanie w aplikacji przewoźnika, mObywatelu albo oficjalnym serwisie wskazanej firmy.
Jeśli otworzyłeś stronę, ale nie podałeś żadnych danych, zamknij ją i niczego nie pobieraj. Sprawdź również, czy po wejściu na stronę nie rozpoczęło się pobieranie pliku lub aplikacji.
Po pobraniu lub zainstalowaniu aplikacji odłącz urządzenie od internetu. Nie loguj się z niego do bankowości ani poczty. Z bankiem skontaktuj się z innego, zaufanego urządzenia.
Jeżeli podałeś dane karty, login, hasło lub kod autoryzacyjny, skontaktuj się z bankiem przez oficjalną infolinię. Powiedz, jakie informacje zostały ujawnione i czy zatwierdziłeś jakąkolwiek operację.
Zachowaj SMS, widoczny numer lub nazwę nadawcy, adres fałszywej strony oraz potwierdzenia wykonanych operacji. Jeżeli straciłeś pieniądze, zgłoś oszustwo Policji.
Skomentuj ten wpis jako pierwszy!
Dołącz do dyskusji
Dodaj swój komentarz