Bezpieczny Internet

SMS o niedostarczonej paczce: jak sprawdzić, czy to oszustwo, zanim podasz dane karty?

3 września, 2026 admin

Jeśli ten artykuł był dla Ciebie pomocny podziel się nim w social mediach z innymi, to pomoże nam tworzyć więcej użytecznych treści.

Najważniejsze: jeśli SMS lub e-mail informuje o niedostarczonej paczce, konieczności dopłaty albo „uzupełnienia adresu”, nie otwieraj linku z wiadomości. Samodzielnie otwórz oficjalną aplikację firmy kurierskiej albo wpisz jej adres w przeglądarce i sprawdź numer przesyłki tam. CERT Polska w 2026 r. wielokrotnie ostrzegał przed kampaniami wykorzystującymi dokładnie ten schemat.

Oszuści liczą na prostą rzecz: bardzo wiele osób naprawdę czeka na paczkę. Wiadomość nie musi więc znać Twojego konkretnego zamówienia, aby wydała się wiarygodna.

Jak działa fałszywa wiadomość o przesyłce?

CERT Polska obserwował w 2026 r. kampanie podszywające się m.in. pod firmy kurierskie. Wiadomość zwykle informuje, że:

kurier nie mógł doręczyć paczki;
brakuje fragmentu adresu;
trzeba wybrać nowy termin dostawy;
przesyłka zostanie zwrócona, jeśli szybko nie zareagujesz;
należy zapłacić małą opłatę za ponowne doręczenie.

Link prowadzi do strony podobnej wizualnie do serwisu firmy kurierskiej. Dalej pojawia się formularz z danymi kontaktowymi, a często również pole na numer karty, datę ważności i kod bezpieczeństwa.

Kwota bywa celowo bardzo mała. Człowiek łatwiej wpisze dane karty dla „1,49 zł dopłaty” niż dla przelewu na 1000 zł. Prawdziwym celem mogą być właśnie dane płatnicze, a nie drobna opłata.

Jak sprawdzić paczkę bez otwierania linku z SMS-a?

Nie klikaj linku.
Jeżeli wiadomość zawiera numer przesyłki, możesz go przepisać lub skopiować bez otwierania odnośnika.
Otwórz oficjalną aplikację przewoźnika, którą już masz zainstalowaną.
Jeżeli aplikacji nie używasz, samodzielnie wpisz nazwę firmy i wejdź na jej oficjalną stronę — nie przez link z wiadomości.
Sprawdź tracking.
Jeżeli nadal masz wątpliwości, skontaktuj się z przewoźnikiem przez dane znalezione na jego oficjalnej stronie.

To samo dotyczy wiadomości e-mail. Logo, kolor strony, imię w wiadomości czy poprawna polszczyzna nie są dowodem autentyczności.

„Strona wygląda identycznie”. Sprawdź adres, nie wygląd

Przestępca może skopiować logo, zdjęcia i układ prawdziwej strony w kilka minut. Ważniejszy jest adres domeny.

Zwróć uwagę na:

literówki w nazwie firmy;
dodatkowe słowa przed lub po nazwie;
dziwną końcówkę domeny;
ciąg przypadkowych znaków;
adres, który w ogóle nie przypomina oficjalnej domeny przewoźnika.

Kłódka i https nie oznaczają, że właściciel strony jest uczciwy. Oznaczają tylko, że połączenie z daną stroną jest szyfrowane. Strona phishingowa również może mieć certyfikat HTTPS.

Najbezpieczniejsza reguła: wiadomość może być wskazówką, ale nie jest wejściem do konta

Możesz potraktować SMS jako informację: „sprawdź, czy z paczką coś się dzieje”. Następnie otwierasz kanał niezależny od wiadomości. Ta sama reguła działa przy banku, urzędzie, operatorze telefonu i poczcie elektronicznej.

Jeżeli wiadomość wywołuje presję czasu — „zostały 2 godziny”, „paczka wróci dziś do nadawcy”, „konto zostanie zablokowane” — traktuj to jako dodatkowy sygnał ostrzegawczy.

Co zrobić, jeśli wpisałeś dane karty na podejrzanej stronie?

Nie czekaj, czy pojawi się transakcja.

Natychmiast skontaktuj się z bankiem przez oficjalną aplikację lub numer banku.
Powiedz, że dane karty mogły zostać przejęte na stronie phishingowej.
Wykonaj zalecaną przez bank blokadę/zastrzeżenie karty.
Sprawdź ostatnie operacje i oczekujące autoryzacje.
Jeżeli zatwierdziłeś coś w aplikacji bankowej lub kodem SMS/BLIK, powiedz o tym wprost konsultantowi.

Nie dzwoń na numer telefonu podany na fałszywej stronie.

Co jeśli podałeś login i hasło?

Jeżeli fałszywa strona wyłudziła dane logowania do poczty, banku lub innej usługi:

wejdź do prawdziwej usługi niezależnym kanałem;
zmień hasło z urządzenia, któremu ufasz;
wyloguj inne sesje, jeśli usługa to umożliwia;
włącz uwierzytelnianie dwuskładnikowe;
jeżeli tego samego hasła używałeś gdzie indziej, zmień je również tam;
sprawdź ustawienia odzyskiwania konta i przekierowania poczty.

Przejęta skrzynka e-mail jest szczególnie cenna, bo może służyć do resetowania haseł do innych usług.

Gdzie zgłosić fałszywy SMS?

CERT Polska wskazuje bezpłatny numer 8080 do przekazywania podejrzanych SMS-ów. Podejrzane strony, wiadomości e-mail i inne incydenty można zgłaszać przez serwis CERT Polska oraz przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel.

Zgłoszenie ma sens nawet wtedy, gdy sam nie dałeś się oszukać. Pomaga szybciej identyfikować i blokować kampanie, które trafią do kolejnych osób.

Jedna rodzinna zasada, która naprawdę działa

Ustal z bliskimi prostą regułę:

„Z wiadomości nie płacimy i nie logujemy się. Jeśli coś jest ważne, otwieramy oficjalną aplikację albo stronę sami.”

Ta zasada jest łatwiejsza do zapamiętania niż lista dziesięciu marek kurierskich i stu rodzajów phishingu. Oszuści zmieniają logo oraz historię, ale mechanizm presji i podstawionej strony pozostaje bardzo podobny.

FAQ

Czy prawdziwa firma kurierska może wysłać SMS z linkiem?

Może, ale nie musisz korzystać z tego linku. Jeśli wiadomość budzi choć cień wątpliwości, sprawdź przesyłkę przez oficjalną aplikację lub stronę otwartą samodzielnie.

Czy jeśli nie czekam na paczkę, mogę od razu usunąć wiadomość?

Tak, ale warto przekazać podejrzany SMS na 8080 przed usunięciem.

Czy mała dopłata 1–2 zł jest bezpieczna?

Nie. Niska kwota może być tylko pretekstem do zebrania danych karty.

Czy samo kliknięcie linku oznacza utratę pieniędzy?

Nie zawsze, ale nie kontynuuj. Zamknij stronę. Jeśli pobrałeś plik, zainstalowałeś aplikację, podałeś dane lub nadałeś uprawnienia, potraktuj sytuację poważniej i skontaktuj się z odpowiednią instytucją.

Źródła

Więcej spokojnych porad dotyczących telefonu i bezpieczeństwa znajdziesz na Po60.com.