Dzień: 2026-08-06

Fałszywy SMS o przesyłce może wyglądać jak zwykła wiadomość od firmy kurierskiej. Informuje o problemie z dostawą, konieczności potwierdzenia danych albo niewielkiej dopłacie. Link może jednak prowadzić do podrobionej strony służącej do wyłudzenia danych osobowych lub danych karty.

7 lipca 2026 roku CERT Polska ostrzegł przed kampanią SMS podszywającą się pod InPost. Wiadomości informowały o rzekomej konieczności potwierdzenia danych przesyłki.

Jak działa oszustwo na przesyłkę?

Wiele osób oczekuje na paczki, dlatego fałszywa wiadomość może trafić w odpowiednim momencie i wyglądać wiarygodnie. Może zawierać nazwę znanej firmy i profesjonalnie przygotowaną grafikę. Podrobiona nazwa nadawcy może też sprawić, że SMS pojawi się w dotychczasowym wątku prawdziwych wiadomości.

Link może prowadzić do strony imitującej serwis firmy kurierskiej lub operatora płatności. Konsument jest proszony o podanie danych osobowych, danych karty albo kodu jednorazowego.

Sprawdź, jaką operację zatwierdza kod przesłany przez bank. W niektórych wariantach może chodzić o dodanie karty do portfela cyfrowego kontrolowanego przez przestępcę. Pozyskane dane mogą także zostać wykorzystane w kolejnym etapie oszustwa, np. przez osobę podszywającą się pod pracownika banku.

Przestępcy wykorzystują coraz więcej sposobów uwiarygodnienia kontaktu. Mogą posługiwać się nie tylko SMS-em, lecz także znanym numerem telefonu, a nawet wygenerowanym przez AI głosem bliskiej osoby. Więcej o takich metodach przeczytasz w artykule: Dzwoni bliska osoba i prosi o pieniądze? Uważaj na nowe oszustwa z AI i nie tylko.

Oszustwa działają na dużą skalę

Gotowe zestawy phishingowe pozwalają tworzyć fałszywe strony i prowadzić kampanie również osobom bez zaawansowanej wiedzy technicznej.

Według ustaleń międzynarodowego śledztwa opisanych przez Which? system Magic Cat miał w ciągu siedmiu miesięcy zebrać dane około 884 tys. kart płatniczych na świecie.

W Polsce w 2025 roku CERT Polska zarejestrował 295,2 tys. zgłoszeń podejrzanych SMS-ów. Na podstawie przygotowanych wzorców operatorzy zablokowali łącznie 1,9 mln fałszywych wiadomości.

Jak rozpoznać podejrzaną wiadomość?

Zwróć uwagę na:

• żądanie pilnej dopłaty lub potwierdzenia danych,
• presję na szybkie działanie,
• adres różniący się od oficjalnej domeny,
• prośbę o dane karty albo instalację aplikacji,
• błędy językowe i nietypowe sformułowania.

Presja czasu pojawia się także w innych schematach. Przykładem jest oszustwo wykorzystujące niespodziewany przelew BLIK i prośbę o jego szybki zwrot. Wspólny mechanizm jest podobny: skłonić Cię do działania, zanim spokojnie sprawdzisz sytuację.

Brak błędów nie potwierdza autentyczności wiadomości. Nie korzystaj z przesłanego linku. Sprawdź paczkę bezpośrednio w oficjalnej aplikacji lub serwisie przewoźnika.

Jak zgłosić fałszywy SMS?

Przekaż całą wiadomość do CERT Polska na bezpłatny numer 8080. Najlepiej użyj funkcji „Przekaż” lub „Prześlij dalej”. Nie usuwaj treści ani znajdującego się w niej linku.

Zgłoszenia służą do tworzenia wzorców, na podstawie których operatorzy mogą blokować podobne wiadomości.

Co zrobić po podaniu danych lub utracie pieniędzy?

Działaj możliwie szybko:

1. Skontaktuj się z bankiem i zablokuj zagrożoną kartę.
2. Zgłoś transakcje, na które nie wyraziłeś zgody, i zażądaj zwrotu pieniędzy.
3. Zachowaj SMS, adres strony, korespondencję i potwierdzenia transakcji.
4. Złóż zawiadomienie w jednostce Policji.
5. Jeżeli przekazałeś dane umożliwiające kradzież tożsamości, zastrzeż numer PESEL.

Przy nieautoryzowanej transakcji bank co do zasady powinien zwrócić pieniądze do końca następnego dnia roboczego. Zasada ta może nie mieć zastosowania, jeżeli konsument sam zatwierdził przelew pod wpływem manipulacji.

Bank może wstrzymać zwrot, jeżeli ma uzasadnione podstawy, aby podejrzewać oszustwo ze strony klienta, i zawiadomi organy ścigania. Zwrot może nie przysługiwać również wtedy, gdy transakcja zostanie zgłoszona po upływie 13 miesięcy.

Jeżeli bank odrzuci reklamację, sprawdź także: Bank odmówił zwrotu po oszustwie internetowym? Ważna opinia rzecznika TSUE dla klientów.

Podsumowanie

Nie klikaj w link z podejrzanej wiadomości. Sprawdź paczkę w oficjalnej aplikacji przewoźnika, a SMS przekaż do CERT Polska na numer 8080. Jeśli podałeś dane lub straciłeś pieniądze, jak najszybciej skontaktuj się z bankiem i Policją.

Źródła

• Which? – How fake delivery texts fuel a fraud empire
• CERT Polska – Wiadomość o konieczności potwierdzenia danych przesyłki?
• Gov.pl – Jak zgłosić podejrzany SMS do CERT Polska
• Centralne Biuro Zwalczania Cyberprzestępczości – Zgłoś cyberoszustwo
• Rzecznik Finansowy – Transakcje nieautoryzowane
• CERT Polska – Raport roczny za 2025 rok