AntiBaitby FluenceSecurity

Ostrzeżenie · InPost

Fałszywy SMS „od InPost”: dopłata do paczki, wstrzymana przesyłka, potwierdzenie danych

Przestępcy rozsyłają SMS-y i e-maile, które udają powiadomienia InPost. Piszą o niedopłacie, za dużej paczce albo konieczności potwierdzenia danych i dołączają link. Strona wygląda jak InPost albo bramka płatności, ale wyłudza dane karty i logowanie do banku. InPost podkreśla, że nigdy nie wysyła SMS-ów ani e-maili z prośbą o dopłatę.

Ostatnia weryfikacja:

Jak wygląda fałszywa wiadomość „od InPost”

Schematy się zmieniają, ale wracają te same motywy:

  • SMS o dopłacie do paczki — zwykle kilka złotych za „niedopłatę” albo przekroczenie wymiaru — z linkiem do zapłaty. InPost wymienia to jako typowy sygnał oszustwa: treść informuje o braku płatności lub niedopłacie i nakłania do jej uregulowania za pomocą podanego linku (InPost).
  • SMS o konieczności potwierdzenia danych przesyłki. Link prowadzi do fałszywego serwisu przygotowanego w celu wyłudzenia danych osobowych oraz danych karty płatniczej (CERT Polska).
  • Wiadomość o nieudanym doręczeniu i dopłacie za ponowne doręczenie — CERT Polska ostrzega przed nią w odniesieniu do firm kurierskich ogólnie (CERT Polska).
  • E-mail z załącznikiem albo „listem przewozowym” do otwarcia. InPost: prawdziwe maile z powiadomieniami nigdy nie zawierają załączników, a określenia „list przewozowy” InPost nie używa (InPost).
  • Na OLX i Vinted: „kupujący” przysyła link do strony z wizerunkiem InPost, przez którą rzekomo można wypłacić pieniądze. Jest tam fałszywy panel płatniczy (CERT Polska, podsumowanie 8/2026, InPost). Więcej: oszustwo „kup z OLX dostawą”.
  • Prośba o wysłanie płatnego SMS-a, żeby „pobrać informacje o paczce” (InPost).
Przykładowy schemat · SMSIlustracja, nie prawdziwa wiadomość
Od
InPost (podszyty nadawca)

Twoja paczka zostala wstrzymana z powodu niedoplaty 1,99 zl. Oplac w ciagu 24h, inaczej wroci do nadawcy: inpost-doplata[.]xyz

Przykładowy schemat · e-mailIlustracja, nie prawdziwa wiadomość
Od
InPost <powiadomienia@inpost-paczki[.]xyz>
Temat
List przewozowy do Twojej przesyłki

W załączniku przesyłamy list przewozowy. Otwórz plik, aby potwierdzić odbiór paczki.

Załącznik: list_przewozowy.zip

Typowe sztuczki

Podszyty nadawca

Nazwa „InPost” w polu nadawcy niczego nie dowodzi. CERT Polska: w polu nadawcy oszuści mogą umieścić dowolną treść, np. nazwę firmy kurierskiej (CERT Polska).

Adresy z literówką

InPost ostrzega przed fałszywymi adresami nadawcy, takimi jak @intops[.]pl, @impost[.]pl czy @inpost-eu[.]pl (InPost). Literówka albo dopisek wystarczą, by adres wyglądał „prawie” dobrze.

Mała kwota, duża strata

Dopłata ma wynosić 1–2 zł, więc trudno o czujność. CERT Polska radzi sprawdzić, czy przy zatwierdzaniu płatności nie widnieje 20 lub 200 zł (CERT Polska). Dane bankowe wpisane na fałszywej bramce trafiają bezpośrednio do przestępców (CERT Polska).

Paczka „wróci do nadawcy”

Komunikaty sugerują konieczność natychmiastowej reakcji, żeby paczka nie została odesłana (Policja). Pośpiech ma zastąpić sprawdzenie.

Fałszywa bramka płatności

Strona po kliknięciu udaje płatność online albo stronę InPost i prosi o dane karty lub logowanie do banku. InPost zapewnia, że nigdy nie kieruje użytkowników poza standardowe sposoby płatności (InPost).

Złośliwa aplikacja

Część linków z SMS-ów prowadzi do stron, które nakłaniają do instalowania złośliwych aplikacji (gov.pl, CSIRT NASK). InPost radzi pobierać aplikacje tylko ze sprawdzonych źródeł (InPost).

Czego InPost nigdy nie robi

InPost wielokrotnie ostrzegał przed tym oszustwem. Z jego komunikatów:

  • „InPost NIGDY nie wysyła wiadomości SMS lub e-mail z prośbą o dopłatę do przesyłki!” (InPost, 7.12.2022).
  • „Zapewniamy, że jako InPost NIE wysyłamy SMSów o dodatkowych kosztach i nigdy NIE podajemy linków zewnętrznych.” (InPost, 21.06.2022).
  • „Wszelkie informacje na temat rozliczeń pojawiają się wyłącznie w Managerze Paczek lub na fakturze.” (InPost).
  • „Prawdziwe maile z powiadomieniami od InPost nigdy nie zawierają żadnych załączników!” (InPost).
  • „InPost nigdy nie wstrzymuje dostawy przesyłek z powodu niedopłaty!” (InPost, komunikat archiwalny).
  • Powiadomienia o paczkach InPost wysyła e-mailem na adres podany przy nadaniu, jako powiadomienia push w aplikacji InPost Mobile albo SMS-em, jeśli nie korzystasz z aplikacji (InPost). Płać tylko sprawdzonymi metodami, np. w aplikacji InPost Mobile (InPost).

Co zrobić, jeśli kliknięto link lub zapłacono

Najważniejsze jest to, co wpisano na fałszywej stronie i czy coś zainstalowano. Jeśli podano dane karty lub logowanie do banku, działaj od razu.

  1. Natychmiast zadzwoń do banku

    Jeśli na fałszywej stronie wpisano dane karty lub logowania albo zatwierdzono płatność, zadzwoń do banku od razu — na numer z odwrotu karty lub z oficjalnej strony banku — i poproś o zablokowanie karty i dostępu do konta. Kartę zastrzeżesz też pod numerem (+48) 828 828 828 (ZBP). Liczy się każda minuta.

  2. Usuń aplikację z linku

    Jeśli strona nakłoniła do instalacji aplikacji (np. „do śledzenia paczki”), odinstaluj ją. Do czasu rozmowy z bankiem nie loguj się do bankowości na tym telefonie.

  3. Zmień hasła, jeśli je podano

    Jeśli na fałszywej stronie wpisano login i hasło, od razu zmień hasło w tym serwisie i wszędzie tam, gdzie było takie samo. Włącz weryfikację dwuetapową, jeśli serwis ją oferuje.

  4. Przekaż SMS na numer 8080

    To bezpłatny numer CERT Polska do zgłaszania podejrzanych SMS-ów. Użyj opcji „Przekaż” i wyślij całą wiadomość w oryginalnej formie, bez wycinania linku. Niebezpieczne strony CERT Polska dopisuje do Listy Ostrzeżeń, z której korzysta wielu operatorów, by blokować do nich dostęp.

  5. Zgłoś wiadomość InPost

    InPost przyjmuje zgłoszenia podejrzanych wiadomości w formularzu zgłoszenia phishingu.

  6. Zgłoś stronę lub e-mail do CERT Polska

    Podejrzaną stronę zgłosisz w formularzu incydent.cert.pl/phishing, a e-mail możesz przesłać na adres [email protected].

  7. Zgłoś oszustwo na policji

    Jeśli doszło do straty, złóż zawiadomienie w dowolnej jednostce policji albo w prokuraturze (gov.pl: Zgłoś przestępstwo). Zachowaj SMS-y, e-maile, zrzuty ekranu i potwierdzenia przelewów.

Więcej w poradnikach: co zrobić po kliknięciu linku phishingowego, jak zgłosić phishing.

Sprawdź, zanim klikniesz

Masz podejrzany e-mail? Sprawdź go w AntiBait.

Wklej źródło wiadomości albo prześlij plik .eml lub .msg. AntiBait sprawdzi nadawcę, SPF, DKIM i DMARC, linki oraz załączniki i wyjaśni werdykt. Podejrzany SMS przekaż na numer 8080.

Sprawdź e-mailWszystkie ostrzeżenia

Źródła

Opis oparty na publicznych komunikatach CERT Polska, instytucji i firm, pod które podszywają się przestępcy. Wymienione firmy i instytucje nie są nadawcami tych wiadomości — przestępcy podszywają się pod nie.

Inne ostrzeżenia