„Dopłać 2,99 zł do paczki” — anatomia smishingu kurierskiego

„Twoja paczka czeka na doręczenie. Wymagana dopłata 2,99 zł.” Ten SMS zna dziś chyba każdy. To jeden z najbardziej masowych scenariuszy smishingu w Polsce — i choć wygląda banalnie, jego konstrukcja jest przemyślana w każdym detalu.

Dlaczego kwota jest tak niska

Dwa–trzy złote to nie przypadek. Chodzi o wyłączenie czujności. Przy 2,99 zł nikt nie analizuje transakcji tak, jak przy 500 zł. Ofiara myśli „szkoda czasu, dopłacę”, klika i wpisuje dane karty na fałszywej bramce płatności. A prawdziwym celem nigdy nie była ta drobna kwota — jest nim przechwycenie danych karty albo, jak w nowszych wariantach, dodanie karty do portfela cyfrowego przestępcy.

Mała kwota pełni jeszcze jedną funkcję: obniża prawdopodobieństwo, że bank oznaczy transakcję jako podejrzaną.

Elementy, które się powtarzają

Kampanie kurierskie różnią się szyldem (InPost, DHL, Poczta Polska, „kurier”), ale mechanika jest wspólna:

• Pretekst logistyczny — coś, czego wielu ludzi faktycznie się spodziewa (paczka w drodze).
• Presja — „przesyłka wróci do nadawcy”, „ostatnia próba doręczenia”.
• Link do domeny udającej firmę kurierską, często z drobną literówką lub dodatkowym członem (inpost-doplata.info zamiast oficjalnej domeny).
• Fałszywa bramka płatności imitująca Przelewy24 czy PayU.

Jak odróżnić prawdziwe powiadomienie

Firmy kurierskie komunikują dopłaty i cła w aplikacji lub e-mailem z konta, a nie przez losowy SMS z linkiem do płatności kartą. Numer przesyłki zawsze można sprawdzić samodzielnie — wchodząc na oficjalną stronę przewoźnika wpisaną ręcznie, nie z linka.

Praktyczny test: zanim klikniesz, przeczytaj pełną domenę w adresie. Wszystko przed pierwszym pojedynczym / po https:// musi kończyć się prawdziwą nazwą firmy. inpost.pl.track-id.co to domena track-id.co, nie InPost.

Ściślej: liczy się domena rejestrowalna, a nie dowolny fragment adresu. W inpost.pl.track-id.co właściciel kontroluje track-id.co; nazwa InPost jest tylko subdomeną. Skracacze, literówki i znaki podobne wizualnie dodatkowo utrudniają ocenę. Najbezpieczniej nie analizować linku z SMS-a, lecz samodzielnie otworzyć aplikację przewoźnika i wpisać numer przesyłki.

Obrona w praktyce

Zasada jest prosta i skuteczna: nie płać z linku w SMS-ie. Jeśli spodziewasz się paczki, wejdź do aplikacji przewoźnika. Włącz powiadomienia push i limity w banku, korzystaj z kart wirtualnych do płatności internetowych (łatwo je zastrzec), a podejrzane wiadomości przekazuj pod numer 8080 do CERT Polska — dzięki temu domeny trafiają szybciej na listę ostrzeżeń.

Smishing kurierski to podręcznikowy przykład tego, że socjotechnika bije technologię. Nie ma tu żadnej luki w telefonie — jest tylko dobrze dobrany pretekst i nasz pośpiech.

Co może wydarzyć się po kliknięciu

Strona może najpierw poprosić o niewielką opłatę, a potem przechwycić numer karty, CVV, dane osobowe i kod autoryzacyjny. Inny wariant podszywa się pod bank lub nakłania do instalacji aplikacji spoza oficjalnego sklepu. Kwota widoczna na stronie nie musi odpowiadać operacji pokazanej przez bank, dlatego przed zatwierdzeniem zawsze czytaj komunikat w aplikacji: kwotę, odbiorcę i rodzaj czynności.

Sam fakt oczekiwania na paczkę nie potwierdza autentyczności wiadomości. Kampanie są wysyłane masowo, a część odbiorców przypadkowo rzeczywiście czeka na przesyłkę. CERT Polska odnotował w raporcie za 2025 rok spadek popularności historii paczkowych na rzecz SMS-ów zachęcających do nawiązania kontaktu. Scenariusz nadal pozostaje użytecznym przykładem, ale nie należy przedstawiać go jako niezmiennie dominującego.

Reakcja po podaniu danych

Jeżeli wpisałeś dane karty lub zatwierdziłeś operację, natychmiast skontaktuj się z bankiem oficjalnym numerem, zastrzeż kartę i zgłoś transakcję. Po podaniu hasła zmień je z zaufanego urządzenia, zakończ aktywne sesje i zabezpiecz e-mail. Aplikację zainstalowaną z linku traktuj jako potencjalnie złośliwą: odłącz telefon od sieci, użyj innego urządzenia do kontaktu z bankiem i poddaj telefon analizie lub przywróceniu zgodnie z procedurą organizacji.

Podejrzanego SMS-a przekaż na numer 8080. CERT Polska wykorzystuje zgłoszenia do tworzenia wzorców blokowanych następnie przez operatorów; w tym procesie szybkość zgłoszenia ma znaczenie. Zachowaj też adres strony i zgłoś go przez incydent.cert.pl.

Kontrole dla organizacji

Na telefonach służbowych warto połączyć filtrowanie DNS i WWW z MDM, kontrolą instalowania aplikacji oraz prostą zasadą: sprawy dotyczące przesyłek weryfikujemy w oficjalnej aplikacji, nie przez link SMS. Zespół helpdesku powinien umieć szybko zablokować konto, unieważnić sesje i przyjąć zgłoszenie bez obwiniania użytkownika. Symulacja powinna mierzyć nie tylko kliknięcia, ale też czas zgłoszenia.

Podobne kampanie regularnie trafiają też na telefony służbowe. Jeśli chcesz sprawdzić, jak Twój zespół reaguje na smishing, zobacz nasze testy socjotechniczne i szkolenia albo napisz do nas.

Źródła: CERT Polska — fałszywe SMS-y, CERT Polska — raport roczny 2025, CERT Polska — lista ostrzeżeń.