Fałszywe wiadomości SMS: dopłata do paczki, zwrot podatku, „pracownik banku” i kod BLIK

Fałszywe wiadomości działają, bo wyglądają jak to, co dostajesz na co dzień: informacja o paczce, zwrot podatku, ostrzeżenie z banku, prośba znajomego. Pułapką jest link, kod albo płatność: link prowadzi do wiernej kopii prawdziwej strony, która prosi o „drobną dopłatę”, dane karty albo login do banku. Według CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania wiadomości. W 2025 roku zespół przyjął 295 169 zgłoszeń podejrzanych SMS-⁠ów, a operatorzy zablokowali na podstawie jego wzorców 1 883 610 złośliwych wiadomości.

Co naprawdę robią instytucje, a czego nie robią?

• Urzędy skarbowe nie wysyłają podatnikom żadnych SMS-⁠ów, przypomina Krajowa Administracja Skarbowa. SMS o „zwrocie podatku” z linkiem to oszustwo.
• Poczta Polska prosi, by za usługi pocztowe płacić wyłącznie przez oficjalne kanały. Jej prawidłowy adres to poczta-polska.pl, a przesyłki śledzi się na emonitoring.poczta-polska.pl i pocztex.pl.
• Policja nigdy nie prosi o przekazanie pieniędzy, nie informuje telefonicznie o „akcjach policyjnych” i nie wymaga żadnych przelewów.
• Pracownicy banku nigdy nie przejmują zdalnie kontroli nad komputerem klienta, przypomina CERT Polska. Nie instaluj oprogramowania na prośbę osoby, która do Ciebie dzwoni.
• Kod BLIK służy do autoryzacji transakcji: podając go, nie da się nikomu przesłać pieniędzy. Dlatego BLIK radzi nie udostępniać kodu nikomu, nawet znajomemu w mediach społecznościowych ani sprzedawcy na portalu ogłoszeniowym.

Jak działają najczęstsze oszustwa?

• Dopłata do przesyłki: SMS o „zatrzymanej” paczce i drobnej dopłacie, np. 2,99 zł, z terminem „24 godziny”. Według CERT Polska oszuści szczególnie często podszywają się pod InPost i Pocztę Polską. Link prowadzi do fałszywej bramki płatności, która wyłudza dane karty lub logowania do banku.
• Zwrot podatku: e-mail lub SMS w imieniu Ministerstwa Finansów albo e-Urzędu Skarbowego o zwrocie „czekającym na zatwierdzenie”. Fałszywa strona wyłudza login do banku i dane karty.
• Opłata e-TOLL: wiadomość o rzekomo nieopłaconym przejeździe. CERT Polska opisuje stronę, która najpierw wyłudza dane osobowe z numerem dowodu osobistego, a potem dane karty z kodem CVV.
• „Na pracownika banku”: ktoś dzwoni, czasem z numeru, który wygląda jak numer banku, mówi o zagrożonych oszczędnościach i namawia do przelewu na „bezpieczne konto” albo do instalacji aplikacji do zdalnego pulpitu. Wyświetlany numer i nazwę dzwoniącego da się sfałszować.
• „Na policjanta”: po rozmowie z „pracownikiem banku” dzwoni „policjant”, który twierdzi, że to była próba oszustwa, i każe przelać pieniądze na specjalne konto albo przekazać gotówkę. Policja nigdy o to nie prosi.
• Kod BLIK „dla znajomego”: ktoś przejmuje konto znajomego w komunikatorze lub mediach społecznościowych i prosi o kod BLIK. Zadzwoń do tej osoby, zanim cokolwiek zrobisz.

Jak sprawdzić wiadomość bez klikania?

1. Nie klikaj w link, nie odpowiadaj i nie dzwoń pod numer z wiadomości. CERT Polska opisuje kampanie, w których już sama odpowiedź na SMS ułatwia otwarcie linku.
2. Otwórz samodzielnie oficjalną aplikację lub stronę banku, przewoźnika czy urzędu i sprawdź, czy ta sama sprawa jest tam widoczna.
3. Sprawdź domenę w pasku adresu: oszuści tworzą adresy łudząco podobne do prawdziwych. Poczta Polska podaje przykłady takie jak pocztex-doplata.com czy poczta-polskapl.info.
4. Rozmówcę z „banku” zweryfikuj: rozłącz się i zadzwoń na numer z oficjalnej strony banku. Część banków pozwala też potwierdzić konsultanta w aplikacji.
5. Zanim zatwierdzisz cokolwiek w aplikacji banku, przeczytaj typ operacji i kwotę. Jeśli zamiast symbolicznej dopłaty widzisz inną kwotę albo dodanie odbiorcy zaufanego, ktoś próbuje Cię oszukać, ostrzega CERT Polska.
6. Podejrzanego SMS-⁠a prześlij bezpłatnie na numer 8080: CERT Polska przeanalizuje zgłoszenie i może zablokować stronę oszustów. Wiadomość podszywającą się pod Pocztę Polską lub Pocztex możesz też przekazać na adres [email protected].

Co zrobić po kliknięciu w link lub podaniu danych?

1. Podane dane karty, login do bankowości albo wykonany przelew? Natychmiast skontaktuj się z bankiem, żeby zablokować dostęp do konta i środków. Kartę możesz też zastrzec pod numerem 828 828 828.
2. Hasło wpisane na fałszywej stronie? Zmień je wszędzie, gdzie go używasz, i włącz weryfikację dwuetapową.
3. Aplikacja zainstalowana z linku albo zgoda na sterowanie telefonem? Powiedz o tym bankowi i usuń aplikację, zanim znów zalogujesz się do bankowości.
4. Zanim usuniesz wiadomość, zachowaj dowody: numer nadawcy, treść, zrzut ekranu i adres strony, do której prowadził link, radzi Poczta Polska.
5. Zgłoś sprawę na policji lub w prokuraturze, zwłaszcza gdy doszło do utraty pieniędzy. W nagłej sytuacji dzwoń pod 112.
6. Jeśli oszuści zdobyli dane z dowodu osobistego, zastrzeż dokument i numer PESEL: nasz poradnik o wycieku danych wyjaśnia, jak to zrobić.

Czy antywirus pomaga?

Częściowo. Na telefonie niektóre pakiety dodają sprawdzanie linków i wiadomości, a sam Google Play Protect może uniemożliwić instalację niezweryfikowanej aplikacji, która korzysta z newralgicznych uprawnień, często wykorzystywanych w oszustwach finansowych. Wielu użytkowników w Polsce korzysta też, nie wiedząc o tym, z Listy Ostrzeżeń CERT Polska: operatorzy telekomunikacyjni blokują dzięki niej wejścia na znane szkodliwe strony. To przydatna siatka bezpieczeństwa, ale nic nie zastąpi nawyku sprawdzania sprawy w oficjalnej aplikacji.

To nie wiadomość jest oszustwem, tylko link, kod i przelew. Do oficjalnego kanału zawsze przechodź samodzielnie.