Klienci InPost dostają niebezpieczne SMS-y. Rządowa agencja ostrzega przed kradzieżą pieniędzy

Czekasz na paczkę z InPost? Uważaj na wiadomość, która może pojawić się na Twoim telefonie. CERT Polska wydał ostrzeżenie przed kolejną kampanią cyberprzestępców podszywających się pod popularną firmę kurierską. Oszuści informują o rzekomym błędzie w adresie, problemie z doręczeniem albo konieczności ustalenia nowego terminu dostawy. Wszystko po to, aby skłonić odbiorcę do kliknięcia w link. Na końcu czeka fałszywa strona, która może posłużyć do kradzieży danych i pieniędzy. Szczególnie uważać powinny osoby, które rzeczywiście spodziewają się przesyłki.

Listopad to okres intensywnych zakupów internetowych. Przed Black Friday i zbliżającymi się świętami Polacy zamawiają elektronikę, ubrania, kosmetyki, zabawki oraz prezenty dla bliskich. Wiele osób oczekuje jednocześnie na kilka paczek i regularnie sprawdza wiadomości dotyczące ich doręczenia. Cyberprzestępcy doskonale wykorzystują tę sytuację. Wiedzą, że fałszywy komunikat o przesyłce może trafić do osoby, która właśnie czeka na kuriera i nie podejrzewa oszustwa.

CERT Polska ostrzega przed fałszywymi SMS-ami od InPost. Jest oficjalny komunikat

9 listopada 2026 roku CERT Polska opublikował komunikat bezpieczeństwa nr 211/2026 pod tytułem „Uważaj na fałszywe wiadomości o przesyłkach!”. Eksperci poinformowali o zaobserwowaniu kampanii SMS wykorzystującej wizerunek firmy InPost.

Oszuści rozsyłają wiadomości informujące o rzekomych problemach z dostarczeniem paczki. W zależności od wariantu odbiorca może dowiedzieć się, że adres dostawy jest niekompletny, konieczne jest potwierdzenie szczegółów przesyłki albo trzeba ustalić nowy termin jej doręczenia.

Każdy z tych pretekstów ma prowadzić do tego samego celu: skłonienia użytkownika do otwarcia strony internetowej wskazanej przez przestępców. Witryna została przygotowana w taki sposób, aby przypominała prawdziwy serwis firmy kurierskiej.

CERT Polska ostrzega, że formularze umieszczone na takich stronach służą do wyłudzania danych osobowych i informacji o kartach płatniczych. Osoba przekonana, że jedynie poprawia adres albo wybiera nową datę dostawy, może w rzeczywistości przekazać poufne dane cyberprzestępcom.

„Nie możemy dostarczyć Twojej paczki”. Tak oszuści próbują wywołać panikę

Mechanizm oszustwa opiera się na wykorzystaniu zwykłego problemu, z którym spotkało się wielu odbiorców przesyłek. Błąd w adresie, nieudana próba doręczenia albo konieczność kontaktu z kurierem nie są przecież czymś niezwykłym. Dlatego wiadomość może na pierwszy rzut oka wyglądać wiarygodnie.

Cyberprzestępcy informują odbiorcę, że paczka nie może zostać dostarczona z powodu brakujących danych. Mogą również sugerować, że przesyłka oczekuje na potwierdzenie szczegółów lub wyznaczenie nowego terminu doręczenia.

Najbardziej niebezpiecznym elementem wiadomości jest link. To właśnie on prowadzi do strony stworzonej przez oszustów. Jeżeli odbiorca poda tam swoje dane, mogą one zostać przechwycone i wykorzystane do kolejnych prób wyłudzenia.

Nie ma znaczenia, że SMS przyszedł w chwili, gdy faktycznie oczekujesz na paczkę. Oszuści nie muszą znać Twojego zamówienia. Wystarczy, że rozsyłają wiadomości do dużej liczby osób. Część z nich rzeczywiście będzie w tym czasie czekała na przesyłkę, co zwiększa prawdopodobieństwo, że uwierzą w fałszywy komunikat.

Strona wygląda jak prawdziwy InPost. Jeden szczegół może zdradzić oszustwo

Po kliknięciu odnośnika użytkownik może zobaczyć witrynę imitującą stronę znanego przewoźnika. Przestępcy wykorzystują wygląd serwisu, nazwy usług i elementy graficzne, które mają sprawiać wrażenie autentyczności.

Najważniejszą informacją jest jednak faktyczny adres strony. Nawet jeśli witryna przypomina prawdziwy serwis kurierski, może działać pod domeną niezwiązaną z firmą InPost. Oszuści często stosują adresy zawierające słowa kojarzące się z doręczeniem, paczką lub nazwą popularnego przewoźnika.

Nie należy również ufać stronie wyłącznie dlatego, że przeglądarka wyświetla symbol kłódki. Oznacza on zabezpieczenie połączenia, ale nie potwierdza, że witryna należy do uczciwego przedsiębiorcy.

CERT Polska zaleca, aby nie korzystać z linków otrzymanych w podejrzanej wiadomości. Zamiast tego należy samodzielnie otworzyć oficjalną aplikację przewoźnika albo wpisać jego prawdziwy adres w przeglądarce i tam sprawdzić status paczki.

Oszuści chcą danych karty. Nawet niewielka dopłata może okazać się pułapką

Celem aktualnej kampanii jest wyłudzanie danych osobowych i informacji dotyczących kart płatniczych. Przestępcy mogą wykorzystywać różne preteksty, aby przekonać odbiorcę, że podanie takich danych jest niezbędne do zakończenia procedury doręczenia.

Podobny mechanizm CERT Polska opisywał również w ostrzeżeniu z 28 października. W tamtej kampanii oszuści podszywali się pod InPost i informowali, że paczka zbyt długo czekała w automacie paczkowym, dlatego rozpoczęto procedurę jej zwrotu. Rzekomym sposobem na zatrzymanie zwrotu było przejście na stronę wskazaną w SMS-ie i uzupełnienie danych, w tym informacji dotyczących karty płatniczej.

W innym wariancie fałszywych powiadomień kurierskich przestępcy żądają niewielkiej dopłaty za ponowne doręczenie. Sama kwota może wyglądać niegroźnie, ale rzeczywistym celem nie jest pobranie kilku złotych, lecz uzyskanie danych, które mogą zostać wykorzystane do nieautoryzowanych transakcji.

Dlatego prośba o podanie numeru karty, daty ważności i kodu zabezpieczającego na stronie otwartej z nieoczekiwanego SMS-a powinna natychmiast wzbudzić podejrzenia.

To nie pierwszy taki atak. CERT wcześniej ostrzegał przed zwrotem paczek

Aktualny komunikat jest kolejnym sygnałem, że cyberprzestępcy regularnie wracają do oszustw związanych z dostawami zakupów internetowych. Podobne kampanie pojawiały się już wcześniej, ale ich szczegóły zmieniają się w zależności od tego, jaki pretekst może najskuteczniej skłonić odbiorców do działania.

28 października CERT Polska informował o fałszywych wiadomościach dotyczących rozpoczęcia zwrotu paczki rzekomo pozostawionej zbyt długo w paczkomacie. Z kolei 16 października eksperci opisywali inną odsłonę oszustwa, w której cyberprzestępcy proponowali wybór nowego terminu doręczenia i żądali opłaty.

Wspólnym elementem tych kampanii jest presja czasu. Odbiorca ma uwierzyć, że jeśli nie zareaguje natychmiast, przesyłka zostanie zwrócona, nie dotrze na czas albo będzie wymagała dodatkowych formalności.

Właśnie dlatego warto zachować szczególną ostrożność wobec wiadomości sugerujących, że problem z paczką trzeba rozwiązać w ciągu kilkunastu minut lub kilku godzin. Prawdziwy status przesyłki najlepiej sprawdzać niezależnie od treści SMS-a.

Co zrobić, jeśli już kliknąłeś link? Najważniejsze są kolejne kroki

Jeżeli otworzyłeś podejrzaną stronę, ale nie podałeś żadnych danych i niczego nie pobrałeś, zamknij witrynę. Samo kliknięcie nie oznacza automatycznie kradzieży pieniędzy, choć warto zwrócić uwagę, czy telefon nie pobrał nieznanych plików lub nie poprosił o instalację dodatkowej aplikacji.

Jeśli wpisałeś dane osobowe, zachowaj ostrożność wobec kolejnych wiadomości i telefonów. Przestępcy mogą próbować wykorzystać uzyskane informacje do podszywania się pod pracowników banku, firmy kurierskiej lub innych instytucji.

Najpilniejsza reakcja jest konieczna wtedy, gdy na fałszywej stronie podano dane karty płatniczej. Należy niezwłocznie skontaktować się z bankiem poprzez oficjalną aplikację lub infolinię i poinformować o możliwym wyłudzeniu. Bank może zalecić zastrzeżenie karty, sprawdzenie transakcji oraz uruchomienie odpowiednich zabezpieczeń.

Jeżeli doszło już do obciążenia rachunku bez zgody właściciela, trzeba jak najszybciej zgłosić transakcję do banku i złożyć reklamację. Warto także zachować zrzuty ekranu podejrzanej wiadomości, adres fałszywej witryny oraz dokumentację zdarzenia.

W przypadku pobrania nieznanej aplikacji lub podejrzenia zainfekowania telefonu należy zaprzestać korzystania z niego do operacji bankowych do czasu sprawdzenia bezpieczeństwa urządzenia. W poważniejszych przypadkach pomocna może być konsultacja ze specjalistą.

Jeden numer, który warto znać. Podejrzanego SMS-a wyślij na 8080

CERT Polska przypomina, że fałszywe wiadomości tekstowe można zgłaszać na bezpłatny numer 8080. Dzięki temu eksperci otrzymują informacje o aktualnie wykorzystywanych oszustwach i mogą analizować podejrzane adresy internetowe.

Najlepiej przekazać wiadomość SMS w oryginalnej postaci, korzystając z funkcji przesyłania dalej. Pozwala to zachować treść i link umieszczony przez nadawcę.

Zgłoszenia można również przesyłać za pomocą formularza na stronie incydent.cert.pl albo poprzez usługę „Bezpiecznie w sieci” dostępną w aplikacji mObywatel.

Nie trzeba stracić pieniędzy, aby zgłosić próbę wyłudzenia. Już samo otrzymanie podejrzanej wiadomości stanowi wystarczający powód, aby przekazać ją specjalistom.

Co to oznacza dla mieszkańców Warszawy i Mazowsza?

Ostrzeżenie CERT Polska dotyczy całego kraju, w tym Warszawy i województwa mazowieckiego. Mieszkańcy stolicy intensywnie korzystają z zakupów internetowych, automatów paczkowych i dostaw kurierskich. W okresie przedświątecznym część osób odbiera kilka przesyłek tygodniowo, dlatego fałszywe powiadomienie może łatwo pomylić się z prawdziwą informacją o zamówieniu.

Szczególnie narażone na pomyłkę mogą być osoby, które zamawiają towary z różnych sklepów i nie pamiętają dokładnie terminów doręczenia. Oszuści wykorzystują tę niepewność, informując o rzekomym problemie z adresem albo konieczności ponownego potwierdzenia dostawy.

Jeżeli mieszkasz na warszawskim osiedlu i regularnie korzystasz z pobliskich automatów paczkowych, warto wyrobić sobie prosty nawyk: każdą nieoczekiwaną informację o przesyłce sprawdzaj w oficjalnej aplikacji przewoźnika. Nie należy zakładać, że wiadomość jest prawdziwa tylko dlatego, że dotarła w dniu spodziewanej dostawy.

Warto ostrzec również starszych członków rodziny, którzy mogą rzadziej korzystać z aplikacji kurierskich i polegać przede wszystkim na SMS-ach. Wyjaśnienie im, że nie należy wpisywać danych karty na przypadkowej stronie, może pomóc uniknąć strat finansowych.

Pięć sygnałów, że wiadomość o paczce może być oszustwem

Pierwszy sygnał to nieoczekiwana informacja o problemie z przesyłką, szczególnie jeśli nie potrafisz przypisać jej do żadnego zamówienia. Nie oznacza to automatycznie oszustwa, ale wymaga sprawdzenia.

Drugim sygnałem jest link prowadzący poza oficjalną stronę przewoźnika. Przestępcy mogą wykorzystywać adresy łudząco przypominające prawdziwą domenę firmy.

Trzecim elementem jest żądanie natychmiastowej reakcji. Wiadomości o konieczności pilnego potwierdzenia adresu lub zmianie terminu dostawy mają skłonić odbiorcę do działania bez zastanowienia.

Czwarty sygnał to formularz wymagający podania danych karty płatniczej. Jeżeli rzekoma aktualizacja adresu wymaga wpisania numeru karty, daty ważności i kodu CVV, należy przerwać wypełnianie formularza i zweryfikować sytuację niezależnym kanałem.

Piąty sygnał to rozbieżność między wiadomością a informacjami widocznymi w aplikacji przewoźnika. Jeżeli oficjalny system nie potwierdza problemu z doręczeniem, nie należy podejmować działań na podstawie podejrzanego SMS-a.

Nie klikaj, nawet jeśli naprawdę czekasz na paczkę. CERT wydał jasne zalecenie

Najważniejszym elementem ochrony przed oszustwem jest samodzielna weryfikacja informacji. Jeżeli otrzymasz wiadomość o problemie z doręczeniem, nie korzystaj z umieszczonego w niej linku. Otwórz oficjalną aplikację przewoźnika lub samodzielnie przejdź na jego stronę internetową.

W ten sposób możesz sprawdzić rzeczywisty status przesyłki bez ryzyka przekazania danych na witrynie kontrolowanej przez przestępców. Jeśli informacje nadal budzą wątpliwości, skontaktuj się z przewoźnikiem za pomocą oficjalnych kanałów obsługi klienta.

CERT Polska ostrzega: fałszywe wiadomości wykorzystujące wizerunek InPost mogą prowadzić do wyłudzenia danych osobowych i informacji o kartach płatniczych. Nieoczekiwany SMS o problemie z paczką powinien wzbudzić czujność, a nie skłaniać do natychmiastowego podawania danych. Podejrzaną wiadomość przekaż na numer 8080 i ostrzeż bliskich.