Fałszywe SMS-y o dopłacie do paczki: jak je rozpoznać w trzy sekundy

Jeśli masz minutę: nie płać niczego przez link z SMS-a, przekaż wiadomość na bezpłatny numer 8080 i dopiero potem ją usuń. Jeśli podałeś już dane karty albo logowania, dzwoń do banku na numer z karty. Reszta tekstu wyjaśnia, skąd te zasady.

„Twoja paczka została wstrzymana z powodu niedopłaty 1,99 zł. Opłać tutaj:” i link. Dostałem taki SMS w zeszłym tygodniu dwa razy. Raz, gdy faktycznie czekałem na przesyłkę, i to jest cały trik: oszuści wysyłają tysiące wiadomości, a przy tak wielu zakupach w sieci zawsze trafią na kogoś, kto akurat na coś czeka.

Kwota jest śmieszna, i to też jest celowe. Za 1,99 zł nikt się nie zastanawia. Tyle że nie chodzi o te dwa złote. Chodzi o dane karty albo o dostęp do bankowości, które podajesz na fałszywej stronie płatności.

Sygnał 1: link w SMS-ie prowadzi na dziwny adres

To jest najważniejsza rzecz i zajmuje sekundę. Spójrz na adres linku, zanim cokolwiek klikniesz.

Oszuści używają adresów, które przypominają prawdziwe, ale nimi nie są: z dopiskami typu „-doplata”, „-paczka”, „-pl-info”, z literówkami, z dziwnymi końcówkami. Prawdziwe firmy kurierskie i poczta nie proszą o dopłaty przez losowe strony. A większość z nich w ogóle nie wysyła linków do płatności SMS-em, tylko kieruje do swojej aplikacji albo do sklepu, w którym kupowałeś.

Prosta zasada: nie klikam linków do płatności z SMS-a. Nigdy. Jeśli naprawdę coś mam dopłacić, sprawdzam to w aplikacji kuriera albo na stronie sklepu, którą wpisuję sam.

Sygnał 2: pośpiech i groźba

„Paczka zostanie zwrócona w ciągu 24 godzin”, „ostatnie przypomnienie”, „w przeciwnym razie przesyłka zostanie zutylizowana”. Presja czasu to klasyka socjotechniki, czyli manipulowania ludźmi zamiast łamania zabezpieczeń. Chodzi o to, żebyś działał, zanim pomyślisz.

Prawdziwe firmy też mają terminy, ale rzadko straszą w pierwszym zdaniu. Jeśli wiadomość chce, żebyś się zdenerwował, to właśnie jest powód, żeby zwolnić.

Sygnał 3: nie zgadza się z tym, co wiesz

Czy w ogóle czekasz na paczkę? Od kogo? Czy ten sklep wysyła tą firmą kurierską? Czy zamówienie nie było już opłacone? W dziewięciu przypadkach na dziesięć szybka odpowiedź na te pytania kończy temat.

Uwaga na jedno: numer nadawcy niczego nie dowodzi. W SMS-ach da się podszyć pod nazwę nadawcy, więc wiadomość może przyjść jako „InPost”, „Poczta” czy „DPD” i nadal być fałszywa. Czasem wpada nawet do tego samego wątku, w którym są prawdziwe powiadomienia. Dlatego patrz na treść i link, nie na to, kto się podpisał.

Co zrobić z takim SMS-em

Nie usuwaj go od razu. Zrób dwie rzeczy:

1. Przekaż wiadomość na numer 8080. To bezpłatny numer, na który CERT Polska, czyli zespół reagowania na incydenty działający w NASK, zbiera zgłoszenia podejrzanych SMS-ów. Dzięki takim zgłoszeniom fałszywe strony trafiają na listę ostrzeżeń i są blokowane u operatorów, więc następna osoba może po prostu nie dać rady ich otworzyć.
2. Dopiero potem usuń i ewentualnie zablokuj numer.

Podejrzane strony, maile i inne incydenty można zgłaszać też przez formularz na stronie incydent.cert.pl.

Kliknąłeś? Rozróżnij trzy sytuacje

Nie panikuj, tylko sprawdź, jak daleko zaszedłeś.

Tylko otworzyłeś stronę i nic nie wpisałeś

Zamknij kartę. W większości przypadków samo otwarcie strony nie robi szkody. Zaktualizuj przeglądarkę i system telefonu, jeśli masz zaległe aktualizacje, bo to one łatają dziury.

Wpisałeś dane karty

Działaj od razu:

• zadzwoń na infolinię banku (numer z karty albo z oficjalnej strony banku, nie z SMS-a) i zastrzeż kartę, większość banków pozwala to zrobić też w aplikacji w kilka sekund,
• przejrzyj ostatnie transakcje i zgłoś te, których nie robiłeś,
• zgłoś sprawę na policję, jeśli straciłeś pieniądze.

Zalogowałeś się do banku albo podałeś kod z SMS-a

To najpoważniejsza sytuacja, bo oszust mógł przejąć dostęp do konta. Natychmiast dzwoń do banku, poproś o zablokowanie dostępu do bankowości i zmień hasło. Sprawdź, czy nikt nie dodał nowego urządzenia, odbiorcy przelewu albo nie zmienił limitów.

Przy okazji rozważ zastrzeżenie numeru PESEL, co zrobisz w aplikacji mObywatel. Utrudnia to wzięcie kredytu na twoje dane, jeśli oszust dostał ich więcej, niż myślisz.

Jak się uodpornić na przyszłość

• Menedżer haseł jako strażnik. Menedżer haseł podpowiada login tylko na prawdziwej stronie, której adres zna. Na fałszywej stronie banku nic nie podpowie i to jest sygnał alarmowy. Opisywałem to przy okazji przesiadki rodziców z zeszytu na menedżer haseł.
• Czytaj SMS-y z banku do końca. Kod autoryzacyjny zawsze ma opis operacji. Jeśli bank pisze „kod do dodania nowego urządzenia”, a ty myślałeś, że płacisz 1,99 zł za paczkę, to właśnie złapałeś oszusta za rękę.
• Aplikacje kurierów zamiast linków. Śledzenie przesyłek w oficjalnej aplikacji albo na stronie sklepu, którą otwierasz sam.
• Rozmowa z bliskimi. Moja mama dostaje więcej takich SMS-ów niż ja. Teraz, zanim kliknie, robi zrzut ekranu i wysyła mi na komunikatorze. W dziewięciu przypadkach na dziesięć odpisuję „8080 i usuń”.