Oszustwo na InPost – jak rozpoznać fałszywe wiadomości?

Fałszywe wiadomości podszywające się pod InPost najłatwiej rozpoznać po linku prowadzącym do podejrzanej domeny, prośbie o dopłatę lub podaniu danych karty. Prawdziwy InPost nigdy nie wysyła SMS-ów z informacją o dopłatach ani nie żąda logowania do banku przez przesłany link. W dalszej części artykułu wyjaśniamy dokładne schematy działania oszustów i podpowiadamy, jak się bronić.

Jak działa oszustwo na przesyłkę InPost?

Oszustwo na przesyłkę to jedna z najczęstszych kampanii phishingowych w Polsce. Cyberprzestępcy masowo rozsyłają wiadomości SMS, w których podszywają się pod firmę InPost lub Pocztę Polską. Treść komunikatu zwykle informuje o wstrzymaniu paczki z powodu braku numeru ulicy albo konieczności uzupełnienia danych adresowych.

W wiadomości znajduje się link, który prowadzi na fałszywą stronę łudząco podobną do prawdziwej witryny firmy kurierskiej. Tam użytkownik proszony jest o dopłatę za ponowną dostawę, a do sfinalizowania operacji musi wpisać dane karty płatniczej. W rzeczywistości dane te trafiają prosto do przestępców, którzy wypłacają pieniądze z konta ofiary.

Jak ostrzega CSIRT NASK, kampania nasila się szczególnie w okresie przedświątecznym. Przykładowa fałszywa wiadomość zawiera adres w rodzaju inpost.pl-admin.cyou. Już sama końcówka domeny .cyou powinna wzbudzić podejrzenia, bo nie należy ona do firmy InPost.

Jak rozpoznać fałszywy SMS lub e-mail?

Pierwszym sygnałem ostrzegawczym jest sam kanał kontaktu. InPost nie wysyła wiadomości z prośbą o dopłaty ani nie prosi o potwierdzanie danych przez linki w SMS-ach. Wszelkie informacje o rozliczeniach trafiają wyłącznie do Managera Paczek lub na fakturę.

W fałszywych e-mailach bardzo często pojawiają się literówki w adresie nadawcy. Przestępcy używają adresów takich jak @intops.pl, @impost.pl czy @inpost-eu.pl. Oryginalne powiadomienia InPost nie zawierają też żadnych załączników. Jeżeli wiadomość ma w załączniku plik .doc, .zip lub PDF, pod żadnym pozorem nie należy go otwierać.

InPost nigdy nie wysyła SMS-ów z informacją o dopłatach ani nie prosi o podanie danych karty płatniczej przez link w wiadomości.

Typowe elementy fałszywej wiadomości

Wiadomości phishingowe bazują na emocjach i presji czasu. Oszuści chcą, aby ofiara działała szybko, bez głębszego zastanowienia. W treści pojawia się najczęściej kilka powtarzalnych elementów:

• groźba zwrotu paczki do nadawcy, jeśli nie uzupełnisz danych,
• niewielka kwota dopłaty, najczęściej kilka złotych,
• link do strony z nietypową końcówką domeny,
• prośba o podanie danych karty lub logowania do banku,
• dziwny adres e-mail nadawcy z literówkami.

W wariancie SMS-owym oszuści proszą też o przesłanie całej wiadomości dalej lub skopiowanie linku do formularza. Tego typu działanie ma na celu obejście filtrów antyspamowych i dotarcie do większej liczby potencjalnych ofiar.

Czym się różni phishing od smishingu?

Phishing to ogólna nazwa metody wyłudzania poufnych danych przez podszywanie się pod instytucję lub osobę. Najczęściej wykorzystuje e-mail. Natomiast smishing to odmiana phishingu prowadzona za pomocą wiadomości SMS. W obu przypadkach cel jest ten sam – skłonienie ofiary do kliknięcia w link i podania danych na fałszywej stronie.

Zdarza się również spoofing, czyli podszywanie się pod numer telefonu lub adres e-mail. Dzięki temu wiadomość może wyglądać, jakby naprawdę pochodziła od kuriera. Spoofing bywa trudny do wykrycia gołym okiem, dlatego zawsze warto weryfikować nadawcę przez oficjalny kanał firmy.

Jak wygląda oszustwo przy sprzedaży na OLX i Vinted?

Osobny wariant tego procederu uderza w osoby sprzedające przedmioty w serwisach ogłoszeniowych. Oszuści kontaktują się przez WhatsApp lub komunikator platformy, deklarują chęć zakupu i proponują rzekomo nową usługę o nazwie „InPost dostawa”. W rzeczywistości taka usługa nie istnieje.

Przestępcy przesyłają spreparowaną grafikę stylizowaną na InPost i proszą o podanie danych osobowych oraz numeru konta. Kolejnym krokiem jest przekierowanie sprzedającego na fałszywą stronę, gdzie wymagane jest podanie danych logowania do banku. W niektórych wariantach ofiara proszona jest o wpisanie kodu BLIK, po czym oszuści mają zaledwie 4 sekundy na zatwierdzenie wypłaty w bankomacie.

Niektórzy przestępcy wykorzystują również automatyczne pobieranie danych z ogłoszeń, czyli web scraping. Dzięki temu szybko znajdują świeże oferty i kontaktują się z wieloma sprzedającymi jednocześnie. Numer telefonu, z którego dzwonią lub piszą, często ma zagraniczny kierunkowy, na przykład +38 wskazujący na Słowenię.

Jak nie dać się oszukać przy sprzedaży?

Sprzedając cokolwiek przez internet, warto kierować się kilkoma prostymi zasadami. Przede wszystkim nigdy nie należy podawać danych logowania do banku ani kodów BLIK w odpowiedzi na wiadomość od nieznajomego. Żadna firma kurierska nie wymaga takich informacji, aby przelać pieniądze sprzedającemu.

Oto najważniejsze kroki, które warto podjąć, aby uniknąć tego typu oszustwa:

• sprawdzaj, czy kupujący kontaktuje się przez oficjalny kanał platformy,
• nie klikaj w linki przesyłane poza serwisem ogłoszeniowym,
• weryfikuj, czy dana usługa istnieje na oficjalnej stronie InPost,
• nie podawaj nikomu PIN-u do aplikacji mobilnej ani hasła do banku,
• zwracaj uwagę na literówki i nietypowe końcówki adresów www.

Warto pamiętać, że oszuści potrafią być bardzo cierpliwi. Piszą o różnych porach dnia i nocy, licząc na chwilową nieuwagę. Statystycznie im więcej prób podejmą, tym większa szansa, że ktoś kliknie w link i poda dane wrażliwe.

Jakie inne metody wykorzystują cyberprzestępcy?

Oprócz phishingu i smishingu istnieje kilka innych technik, o których warto wiedzieć. Pharming polega na przekierowaniu użytkownika na fałszywą stronę nawet wtedy, gdy wpisał poprawny adres w przeglądarce. Dzieje się tak na skutek wcześniejszego zainfekowania urządzenia złośliwym oprogramowaniem.

Malware to szkodliwe oprogramowanie, które może przybierać postać spyware, rootkitów, trojanów lub keyloggerów. Najczęściej trafia na komputer przez załącznik e-mail. Z kolei ransomware blokuje dostęp do systemu i żąda okupu, który potrafi sięgać nawet kilku tysięcy dolarów.

W kontekście fałszywych przesyłek pojawia się też klasyczny wariant z płatnym SMS-em. Oszuści proszą o wysłanie wiadomości, aby „pobrać informacje o paczce”. Wysłanie SMS-a nalicza wysoką opłatę, która trafia na konto przestępców. InPost jednoznacznie ostrzega przed takimi wiadomościami.

Jak wygląda atak ransomware?

Atak ransomware zwykle zaczyna się od kliknięcia w złośliwy załącznik lub link. Zainfekowany komputer zostaje zablokowany, a na ekranie pojawia się żądanie zapłaty. Przestępcy grożą, że bez okupu nie odblokują plików lub usuną dane.

Skutki takiego ataku bywają bardzo poważne, ponieważ kwoty żądane przez hakerów dochodzą nawet do kilku tysięcy dolarów. Coraz częściej pojawia się też forma szantażu polegająca na groźbie upublicznienia prywatnych danych ofiary.

Podstawową ochroną przed ransomware są kopie zapasowe danych na dysku zewnętrznym. Dzięki nim nawet po zablokowaniu komputera można odzyskać najważniejsze pliki bez płacenia okupu. Sprawę należy też jak najszybciej zgłosić na policję.

Co zrobić, gdy padłeś ofiarą oszustwa?

Jeżeli podałeś dane karty płatniczej na fałszywej stronie, pierwszym krokiem jest natychmiastowy kontakt ze swoim bankiem. Tylko szybka reakcja daje szansę na zablokowanie transakcji i zabezpieczenie środków na koncie. Bank może również zalecić zastrzeżenie karty.

Następnie warto poinformować firmę, pod którą podszywali się oszuści. InPost przyjmuje zgłoszenia na adres [email protected], a w wiadomości najlepiej podać numer telefonu lub e-mail, na który przyszło fałszywe powiadomienie. Można też wypełnić specjalny formularz na stronie firmy.

Każdą podejrzaną wiadomość SMS warto przekazać do CERT Polska. Służy do tego bezpłatny numer 8080, działający od 22 listopada 2023 roku. Wystarczy użyć opcji „Przekaż” lub skopiować treść wiadomości i wysłać ją pod ten numer. Podejrzane e-maile można zgłaszać przez stronę incydent.cert.pl lub adres [email protected].

Jeśli podałeś dane karty lub logowania na fałszywej stronie, natychmiast skontaktuj się ze swoim bankiem i zastrzeż kartę.

Gdzie zgłosić oszustwo internetowe?

Oprócz zgłoszenia w banku i do CERT Polska sprawę można skierować na policję. Zgodnie z art. 190a § 2 kodeksu karnego za podszywanie się pod inną osobę lub organizację i wykorzystanie jej wizerunku grozi kara do trzech lat więzienia. Warto zebrać dowody, takie jak zrzuty ekranu, treść wiadomości i linki.

Pomocne jest również ostrzeżenie innych użytkowników. Jeśli do próby oszustwa doszło na platformie sprzedażowej, warto zgłosić to administratorom serwisu. Dzięki temu szybciej zablokują konto przestępcy i ostrzegą innych.

Poniżej przedstawiamy najważniejsze kanały zgłaszania incydentów związanych z fałszywymi wiadomościami:

Jak chronić się przed oszustwami w sieci?

Podstawą jest zasada ograniczonego zaufania do wszystkich wiadomości przychodzących. Nawet jeśli komunikat wygląda na wiarygodny, warto sprawdzić go u źródła. Najlepiej wejść na oficjalną stronę firmy i skontaktować się przez podany tam numer telefonu lub formularz.

Przed każdą płatnością online sprawdzaj adres strony. Prawidłowa witryna powinna mieć protokół HTTPS i poprawnie zapisaną domenę. Oszuści często używają domen z końcówkami .cc lub .cyou, które nie mają nic wspólnego z polskimi firmami kurierskimi.

Warto też włączyć weryfikację dwuetapową wszędzie tam, gdzie to możliwe. Dzięki niej samo hasło nie wystarczy do zalogowania się na konto. Nawet jeśli przestępcy przechwycą dane logowania, nie uzyskają pełnego dostępu bez drugiego składnika uwierzytelnienia.

Nie należy też podłączać do komputera przypadkowo znalezionych nośników USB ani korzystać z niezaufanych, publicznych sieci Wi-Fi. Nazwa takiej sieci może sugerować, że należy do centrum handlowego, ale w rzeczywistości może być wystawiona przez hakerów w celu przechwytywania danych.

Bezpieczne nawyki przy logowaniu i płatnościach

Kilka prostych nawyków potrafi skutecznie utrudnić zadanie cyberprzestępcom. Należy logować się wyłącznie bezpośrednio na stronie banku, a nie przez linki otrzymane w wiadomościach. Aplikacje warto pobierać tylko z Google Play lub App Store.

Warto również dokładnie czytać SMS-y autoryzacyjne z banku. To w nich widać, jaką transakcję faktycznie się potwierdza. Jeżeli kwota lub odbiorca się nie zgadza, nie należy zatwierdzać operacji.

Przydatną czynnością jest też sprawdzenie, czy nasz adres e-mail nie wyciekł z jakiegoś serwisu. Na stronie haveibeenpwned.com można bezpłatnie i bezpiecznie zweryfikować, czy dane logowania znajdują się w rękach hakerów.

Dobre praktyki w zakresie bezpieczeństwa obejmują również:

• regularną aktualizację systemu operacyjnego i aplikacji,
• ustawianie blokady ekranu telefonu hasłem lub odciskiem palca,
• unikanie otwierania załączników z nieznanych źródeł,
• sprawdzanie pełnego adresu strony przed podaniem danych,
• zachowanie ostrożności wobec wiadomości wzbudzających pilność lub strach.

Jak bezpiecznie korzystać z usług InPost?

Firma InPost rekomenduje korzystanie z aplikacji InPost Mobile, która pozwala śledzić paczki w bezpieczny sposób. Wszelkie informacje o przesyłce i ewentualnych płatnościach pojawiają się tam lub w Managerze Paczek. Płatności można realizować również przez InPost Pay, co zwiększa bezpieczeństwo zakupów.

Trzeba pamiętać, że prawdziwe powiadomienia InPost nie zawierają załączników ani linków do zewnętrznych formularzy płatności. Firma nie wysyła też SMS-ów z prośbą o dopłatę ani nie wymaga instalowania dodatkowych aplikacji z podejrzanych źródeł.

Jeżeli jakakolwiek wiadomość wydaje się podejrzana, najlepiej od razu skontaktować się z biurem obsługi InPost. Szybkie zgłoszenie może uchronić innych użytkowników przed stratą pieniędzy. Od 2022 roku CERT Polska odnotował ponad 322 tysiące ataków, a ich liczba wciąż rośnie – w stosunku do 2021 roku wzrosła o jedną trzecią.