Dostajesz SMS: „Twoja przesyłka czeka w magazynie. Dopłata 3,99 zł za odprawę celną. Sprawdź i zapłać: [link]”. Nadawca w telefonie wyświetla się jako „DPD”, „InPost” albo „Poczta Polska”. Wygląda wiarygodnie. To jednak jeden z najczęstszych sposobów, w jaki oszuści próbują ukraść dane Twojej karty płatniczej albo dane do logowania w banku. W tym poradniku wyjaśniamy, jak rozpoznać taki SMS, zanim klikniesz link, i co zrobić, jeśli już kliknąłeś albo kliknęłaś.
Jak działa to oszustwo
Oszuści wysyłają masowo SMS-y do przypadkowych numerów telefonów. Nie muszą wiedzieć, czy naprawdę czekasz na paczkę – wystarczy, że część odbiorców akurat coś zamówiła i uwierzy, że SMS dotyczy właśnie ich przesyłki. Wiadomość zawiera link. Po kliknięciu otwiera się strona, która wygląda jak strona firmy kurierskiej albo Poczty Polskiej. Strona prosi o „dopłatę” – najczęściej kilka złotych. Żeby zapłacić, trzeba podać numer karty płatniczej, datę ważności, kod CVV z tyłu karty, a czasem także zalogować się do bankowości internetowej przez fałszywy formularz.
Prawdziwa dopłata celna czy magazynowa, jeśli w ogóle jest potrzebna, nigdy nie jest załatwiana przez link w SMS-ie. Firmy kurierskie i Poczta Polska informują o dopłatach inaczej, zwykle przez kuriera przy doręczeniu albo w aplikacji, do której logujesz się samodzielnie – nie przez link z wiadomości tekstowej.
Sygnały ostrzegawcze – na co zwrócić uwagę
- Presja czasu. SMS straszy, że paczka wróci do nadawcy albo zostanie zniszczona, jeśli nie zapłacisz w ciągu kilkunastu godzin. Oszuści chcą, żebyś działał/działała szybko, bez zastanowienia.
- Bardzo niska kwota. Kwota 1–5 zł jest tak niska, że łatwiej kliknąć „zapłać”, niż się zastanawiać. To nieprzypadkowe – niska kwota ma uśpić czujność.
- Nie zamawiałeś/zamawiałaś żadnej przesyłki. Jeśli nic nie kupowałeś/kupowałaś i nikt nie powinien Ci niczego wysyłać, SMS na pewno nie dotyczy Ciebie, nawet jeśli nazwa firmy kurierskiej wygląda znajomo.
- Podejrzany adres w linku. Adres strony w fałszywym SMS-ie często tylko przypomina adres prawdziwej firmy kurierskiej – ma dodatkowe literki, inny myślnik albo inną końcówkę domeny. Jeśli nie masz stu procent pewności, nie klikaj – status przesyłki sprawdź, wpisując adres firmy samodzielnie albo przez aplikację, którą sam/sama zainstalowałeś/zainstalowałaś.
- Strona prosi o zalogowanie się do bankowości internetowej. To największy sygnał alarmowy. Żadna firma kurierska nie ma powodu, żebyś logował/logowała się na jej stronie danymi ze swojego banku.
Co zrobić, jeśli SMS właśnie dostałeś/dostałaś
Nie klikaj linku. Jeśli nie jesteś pewien/pewna, czy przesyłka jest prawdziwa, nie korzystaj z linku z SMS-a w ogóle. Otwórz samodzielnie aplikację albo stronę firmy kurierskiej, wpisując adres z pamięci albo wyszukując go w internecie, i sprawdź numer przesyłki tam. Możesz też po prostu usunąć SMS. Jeśli masz wątpliwości, zapytaj kogoś z rodziny albo znajomego, zanim podejmiesz jakąkolwiek decyzję – nie musisz radzić sobie z tym sam/sama.
Co zrobić, jeśli już doszło do oszustwa
Kliknąłeś/kliknęłaś link, ale nic więcej nie wpisałeś/wpisałaś
Jeśli tylko otworzyłeś/otworzyłaś stronę, ale nie podałeś/podałaś żadnych danych i niczego nie zapłaciłeś/zapłaciłaś, prawdopodobnie nic się nie stało. Zamknij przeglądarkę i nie wracaj na tę stronę. Warto jednak obserwować konto bankowe przez kilka najbliższych dni.
Podałeś/podałaś dane karty płatniczej
Zadzwoń natychmiast do swojego banku. Numer telefonu do banku znajdziesz na odwrocie karty płatniczej albo na oficjalnej stronie banku – nigdy nie korzystaj z numeru podanego w SMS-ie czy na stronie, na którą kliknąłeś/kliknęłaś. Poproś o zablokowanie karty. Bank może ją zablokować od razu i wydać nową. Sprawdź też historię transakcji na koncie i zgłoś bankowi każdą operację, której nie rozpoznajesz.
Zalogowałeś/zalogowałaś się do bankowości internetowej przez fałszywy link
To sytuacja, w której trzeba działać najszybciej. Zadzwoń do banku od razu, korzystając z numeru z karty płatniczej albo z oficjalnej strony banku. Poproś o zablokowanie dostępu do bankowości internetowej i zmianę danych do logowania. Jeśli bank ma taką możliwość, poproś także o zablokowanie możliwości zakładania nowych przelewów stałych i zleceń, dopóki sytuacja się nie wyjaśni.
Już zapłaciłeś/zapłaciłaś, a pieniądze zostały pobrane z konta
Zgłoś to bankowi jak najszybciej – najlepiej tego samego dnia. Bank może spróbować zatrzymać albo wycofać transakcję, ale szanse na to są dużo większe, gdy zgłoszenie następuje w ciągu kilku godzin, a nie dni. Zgłoś sprawę także na policji – możesz to zrobić na najbliższym komisariacie albo przez internet. Zachowaj SMS i zrzut ekranu fałszywej strony – to dowody, które pomogą w postępowaniu.
Czego nigdy nie robić
Nigdy nikomu nie podawaj kodu SMS, który przyszedł z banku w celu potwierdzenia operacji – ani przez telefon, ani w żadnym formularzu. Kod ten służy tylko do potwierdzenia Twojej własnej operacji w aplikacji banku. Jeśli ktoś, podając się za bank, policję albo kuriera, prosi Cię o przeczytanie takiego kodu na głos, to zawsze oszustwo – odłóż słuchawkę.