Fałszywy SMS o paczce: jak go rozpoznać i co zrobić po kliknięciu

Fałszywy SMS o paczce może nakłaniać do dopłaty, poprawienia adresu albo zainstalowania aplikacji do śledzenia przesyłki. Status dostawy sprawdź w samodzielnie otwartej aplikacji przewoźnika lub na jego stronie, bez korzystania z linku w wiadomości. Jeśli link został już otwarty, dalsze działanie zależy przede wszystkim od tego, czy podano dane, zatwierdzono płatność lub zainstalowano oprogramowanie.

W 30 sekund

• Nazwa nadawcy, logo i znajomo wyglądający numer przesyłki nie potwierdzają autentyczności SMS-a.
• Prośbę o dopłatę lub zmianę adresu zweryfikuj niezależnie — przez konto w sklepie albo oficjalny kanał przewoźnika.
• Samo otwarcie strony nie oznacza automatycznie utraty pieniędzy czy przejęcia telefonu. Zamknij ją i sprawdź, jakie czynności zostały wykonane.
• Po podaniu danych karty, danych do bankowości lub zatwierdzeniu podejrzanej operacji pilnie skontaktuj się z bankiem.
• Po instalacji podejrzanej aplikacji skorzystaj z instrukcji pomocy producenta urządzenia lub systemu; utrzymujące się oznaki szkodliwego oprogramowania mogą wymagać pomocy technicznej.

Co powinno wzbudzić podejrzenie w SMS-ie o przesyłce

Wiadomość o paczce wymaga ostrożności, gdy kieruje do wykonania pilnej czynności przez link: dopłaty, potwierdzenia danych lub pobrania aplikacji. Żaden pojedynczy szczegół nie rozstrzyga jednak, czy SMS jest oszustwem. Najważniejsze jest niezależne sprawdzenie opisanej sprawy.

Oszustwo wykorzystuje zwyczajną sytuację: oczekiwanie na zamówienie. Niewielka rzekoma dopłata lub informacja o niepełnym adresie może wydawać się wiarygodna, zwłaszcza gdy rzeczywiście czekasz na kuriera. Celem może być zdobycie danych karty, hasła, kodu autoryzacyjnego albo skłonienie do instalacji szkodliwego programu.

Sygnałami ostrzegawczymi są zwłaszcza:

• Presja czasu: zapowiedź zwrotu paczki lub anulowania dostawy, jeśli natychmiast nie wykonasz polecenia.
• Niespodziewana dopłata: drobna kwota uzasadniona ponownym doręczeniem, błędem adresu czy dodatkową opłatą.
• Nietypowy adres strony: literówka w nazwie firmy, dodatkowe słowa, skrócony link lub domena, której nie rozpoznajesz.
• Żądanie danych niepasujących do celu: na przykład danych karty przy rzekomym potwierdzeniu adresu.
• Nakaz instalacji: pobranie aplikacji z odnośnika w SMS-ie, szczególnie połączone z poleceniem zmiany ustawień zabezpieczeń.

Błędy językowe mogą budzić podejrzenie, ale poprawna polszczyzna nie dowodzi autentyczności. Podobnie nazwa firmy wyświetlona jako nadawca czy obecność SMS-a w wątku z wcześniejszymi wiadomościami nie dają pewności, kto go wysłał.

Kłódka przy adresie strony również nie potwierdza uczciwości jej właściciela. Oznacza szyfrowanie połączenia; fałszywa strona też może je mieć.

Jak sprawdzić, czy wiadomość dotyczy prawdziwej paczki

Jeśli SMS opisuje problem z dostawą, sprawdź go poza wiadomością. Dzięki temu nie musisz rozstrzygać autentyczności na podstawie samego wyglądu linku czy treści komunikatu.

1. Otwórz samodzielnie aplikację sklepu lub przewoźnika. Możesz też wpisać znany adres strony w przeglądarce.
2. Znajdź konkretne zamówienie i sprawdź przewoźnika oraz numer przesyłki. Numer porównaj z potwierdzeniem zakupu, a nie tylko z SMS-em.
3. Sprawdź, czy w szczegółach dostawy rzeczywiście widnieje problem, zmiana terminu lub należność.
4. Jeśli informacje są sprzeczne albo niejasne, skontaktuj się ze sklepem lub przewoźnikiem, korzystając z danych kontaktowych znalezionych niezależnie od SMS-a.

Samo oczekiwanie na paczkę nie potwierdza wiadomości. Również brak oczekiwanego zamówienia nie przesądza o oszustwie — przesyłkę mógł nadać ktoś bliski. To okoliczności pomocnicze, a nie dowód.

Nie każda opłata związana z dostawą jest fałszywa. Mogą występować rzeczywiste należności, na przykład przy niektórych przesyłkach zagranicznych. Ich podstawę i sposób zapłaty trzeba jednak potwierdzić w oficjalnym kanale. Niewielka kwota nie jest powodem, by pomijać sprawdzenie.

Co zrobić po kliknięciu — zależnie od wykonanej czynności

Po otwarciu podejrzanego linku ustal, co wydarzyło się dalej. Samo wyświetlenie strony, wpisanie hasła i instalacja aplikacji to różne sytuacje, wymagające innej reakcji. Jeśli doszło do kilku z nich, zastosuj odpowiednie działania łącznie.

Pierwsze działania po otwarciu podejrzanego linku w SMS-ie o paczce

Wykonana czynność	Pierwsze działanie	Ograniczenie
Tylko wyświetlenie strony	Zamknij stronę; sprawdź pobrane pliki i udzielone zgody.	Samo kliknięcie nie dowodzi przejęcia telefonu, ale nie wyklucza każdego zagrożenia.
Podanie danych osobowych	Zachowaj ostrożność wobec kolejnych kontaktów; po ujawnieniu PESEL-u osoba pełnoletnia może rozważyć jego zastrzeżenie.	Postępowanie z danymi dowodu zależy od okoliczności; samo ich ujawnienie nie oznacza automatycznie konieczności unieważnienia dokumentu. Zastrzeżenie PESEL-u nie zastępuje zabezpieczenia danych finansowych.
Wpisanie hasła	Zmień hasło w prawdziwym serwisie na zaufanym urządzeniu.	Brak wysłania formularza nie gwarantuje bezpieczeństwa; zmiany wymagają też inne konta z tym samym hasłem.
Podanie danych karty lub bankowości, przekazanie kodu albo zatwierdzenie operacji	Pilnie skontaktuj się z bankiem przez oficjalny kanał; po ujawnieniu danych karty niezwłocznie ją zastrzeż zgodnie z instrukcją swojego banku.	Zastrzeżenie karty dotyczy karty. Ujawnienie danych logowania lub kodów wymaga także zgłoszenia zagrożenia dostępu do konta; nie czekaj na widoczne obciążenie.
Instalacja podejrzanej aplikacji lub nadanie jej uprawnień	Skorzystaj z instrukcji usuwania niebezpiecznego oprogramowania w oficjalnej pomocy producenta urządzenia lub systemu.	Jeśli aplikacji nie można odinstalować albo objawy się utrzymują, potrzebna może być pomoc techniczna. Możliwy reset Androida nie jest uniwersalnym pierwszym krokiem.

Link został otwarty, ale niczego nie wpisano ani nie zainstalowano

Jeśli tylko wyświetliła się strona, zamknij ją i nie wracaj do niej, żeby sprawdzić, „co będzie dalej”. Samo kliknięcie nie jest dowodem przejęcia telefonu, choć nie pozwala też bez sprawdzenia wykluczyć każdego zagrożenia.

Zwróć uwagę, czy strona pobrała plik, uzyskała zgodę na powiadomienia albo doprowadziła do dodania aplikacji czy profilu konfiguracyjnego. Pobranie pliku nie jest tym samym co jego uruchomienie lub instalacja — nie otwieraj go. Jeśli przyznano stronie zgodę na powiadomienia, cofnij ją w ustawieniach przeglądarki.

Zaktualizuj system i przeglądarkę, jeśli oczekują na aktualizację. Gdy pojawiają się nieznane aplikacje, zmienione ustawienia lub inne niepokojące objawy, skorzystaj z pomocy technicznej. Samo wolniejsze działanie urządzenia nie wystarcza do rozpoznania infekcji.

Podano adres, numer telefonu lub inne dane osobowe

Jeśli przekazano dane kontaktowe, zachowaj szczególną ostrożność wobec kolejnych SMS-ów, e-maili i telefonów. Takie informacje mogą posłużyć do przygotowania bardziej przekonującej wiadomości, na przykład z odwołaniem do adresu dostawy.

Nie traktuj znajomości tych danych jako potwierdzenia tożsamości rozmówcy. Osoba podająca się za pracownika banku lub przewoźnika może znać informacje wpisane wcześniej na fałszywej stronie.

Jeżeli ujawniono PESEL, osoba pełnoletnia może rozważyć jego bezpłatne zastrzeżenie przez internet lub w urzędzie. Usługa opisana w serwisie gov.pl ma chronić przed wykorzystaniem numeru bez wiedzy jego właściciela; nie jest przedstawiana jako obowiązkowa reakcja na każde ujawnienie danych.

Jeżeli ujawniono dane dowodu osobistego lub jego zdjęcie, dalsze postępowanie zależy od okoliczności. Gov.pl opisuje możliwość zgłoszenia w dowolnym urzędzie gminy podejrzenia nieuprawnionego wykorzystania danych, w tym serii i numeru dowodu, jeśli można uprawdopodobnić takie zdarzenie. Po takim zgłoszeniu urzędnik unieważnia dowód, a u osoby pełnoletniej zastrzega również PESEL z urzędu. Samo ujawnienie danych lub zdjęcia dokumentu nie przesądza o spełnieniu warunków tej procedury ani o konieczności unieważnienia dowodu. Zastrzeżenie PESEL-u i działania dotyczące dokumentu nie zastępują kontaktu z bankiem, gdy przekazano również dane finansowe.

Wpisano hasło

Jeśli hasło trafiło na podejrzaną stronę, zmień je w prawdziwym serwisie, otwartym niezależnie od SMS-a. Zrób to na zaufanym urządzeniu. Nie zakładaj, że dane są bezpieczne tylko dlatego, że formularz pokazał błąd albo nie naciśnięto przycisku kończącego operację. Badanie „PhishInPatterns”, przedstawione na konferencji ACM IMC w 2022 roku, potwierdziło przypadki wysyłania wpisanych danych przez strony phishingowe przed zatwierdzeniem formularza. Oznacza to, że takie przechwycenie jest możliwe; nie dowodzi, że występuje na każdej podejrzanej stronie.

Zmień również hasła do innych kont, jeśli były takie same. W pierwszej kolejności zabezpiecz skrzynkę pocztową, gdy używano w niej ujawnionego hasła, ponieważ poczta może służyć do odzyskiwania dostępu do pozostałych usług.

Sprawdź aktywne sesje, dane odzyskiwania konta i dostępne uwierzytelnianie wieloskładnikowe. W przypadku hasła do bankowości skontaktuj się także z bankiem.

Podano dane karty, kod lub zatwierdzono operację

Jeśli na podejrzanej stronie wpisano dane karty albo dane do bankowości, pilnie skontaktuj się z bankiem — także wtedy, gdy nie widać jeszcze obciążenia. Skorzystaj z numeru na karcie lub oficjalnej aplikacji. PKO Bank Polski w instrukcji „Jak zgłosić oszustwo?” wskazuje podanie danych na fałszywej stronie oraz ujawnienie danych logowania, kodów autoryzacyjnych i danych karty jako sytuacje wymagające zgłoszenia bankowi.

Powiedz dokładnie, co ujawniono: numer karty, kod zabezpieczający, login, hasło, kod SMS czy potwierdzenie w aplikacji. Bank dobierze działania do sytuacji, w tym zabezpieczenie karty lub dostępu do rachunku. Po ujawnieniu danych karty niezwłocznie ją zastrzeż zgodnie z instrukcją swojego banku — takie zalecenie podaje również PKO Bank Polski w instrukcji „Jak zastrzec kartę?”. Jeśli od razu dostępna jest czasowa blokada karty, możesz jej użyć, ale nie traktuj jej jako zakończenia sprawy. Zastrzeżenie lub blokada karty dotyczy karty; jeśli ujawniono także login, hasło lub kody, zgłoś bankowi również zagrożenie dostępu do konta.

Przykładowo: strona może obiecywać dopłatę kilku złotych, a komunikat autoryzacyjny dotyczyć innej kwoty lub dodania karty do portfela cyfrowego. Zawsze liczy się treść zatwierdzanej operacji, nie opis na stronie.

Nie zatwierdzaj kolejnych poleceń przedstawianych jako „anulowanie płatności” lub „zwrot środków”. Jeśli pieniądze zostały pobrane, zgłoś bankowi podejrzaną transakcję i zapytaj o właściwą procedurę reklamacyjną. Odzyskanie środków zależy od okoliczności; nie można go z góry zagwarantować.

Zainstalowano aplikację lub nadano jej uprawnienia

Po instalacji podejrzanej aplikacji skorzystaj z oficjalnej pomocy producenta urządzenia lub systemu dotyczącej usuwania niebezpiecznego oprogramowania. Dla Androida Google opisuje sprawdzenie ochrony Play Protect, aktualizację systemu oraz usunięcie niezaufanych aplikacji. Jeśli programu nie można odinstalować lub niepokojące objawy się utrzymują, skorzystaj z pomocy technicznej.

Szkodliwe aplikacje mobilne mogą uzyskiwać dostęp do wrażliwych informacji lub umożliwiać przejęcie urządzenia. Takie możliwości opisuje poradnik CISA i agencji współautorskich „Mitigating Cyber Threats with Limited Resources” z maja 2024 roku. Dokument dotyczy ukierunkowanych kampanii, w tym działań podmiotów państwowych; potwierdza istnienie takich zagrożeń, ale nie pozwala przypisać tych możliwości każdej aplikacji z linku w SMS-ie.

Usunięcie samej ikony z ekranu nie jest odinstalowaniem aplikacji. Google wskazuje, że przy utrzymujących się oznakach szkodliwego oprogramowania na Androidzie może być potrzebne przywrócenie ustawień fabrycznych lub pomoc producenta. Reset nie jest uniwersalnym pierwszym krokiem po instalacji podejrzanej aplikacji. Przed resetem ustal z pomocą techniczną, jak zabezpieczyć dane i dowody; przy odtwarzaniu telefonu nie instaluj ponownie podejrzanego programu.

Jak zgłosić wiadomość i zachować przydatne dowody

Podejrzany SMS można zgłosić do CERT Polska, korzystając z instrukcji znalezionej samodzielnie w oficjalnym serwisie instytucji. Zgłoszenie wiadomości nie zastępuje pilnego kontaktu z bankiem ani pomocy technicznej, jeśli ujawniono dane lub zainstalowano aplikację.

Zachowaj treść SMS-a, widocznego nadawcę, datę oraz adres strony, o ile możesz go skopiować bez ponownego otwierania. Przy stracie finansowej przydatne będą także potwierdzenia operacji i korespondencja. Nie odwlekaj zabezpieczenia konta tylko po to, by zebrać pełną dokumentację.

Jeżeli doszło do kradzieży pieniędzy, wykorzystania danych lub przejęcia konta, zgłoś sprawę policji. Podejrzanego linku nie przesyłaj bliskim jako aktywnego odnośnika — do ostrzeżenia zwykle wystarczy zrzut ekranu z zasłoniętymi danymi osobowymi.

O autorce

Emilia Rudzińska

Emilia Rudzińska — redaktorka Ellie.pl. Opracowuje artykuły o pielęgnacji, modzie i codziennych wyborach. Porządkuje informacje o produktach, materiałach i sposobach użytkowania oraz wskazuje źródła, które pomagają lepiej zrozumieć temat.

Wszystkie artykuły autorki →