Dopłata do paczki: jak rozpoznać fałszywy SMS od kuriera

SMS o dopłacie do paczki to jedno z najczęstszych oszustw w Polsce. Wiadomość podszywa się pod InPost, Pocztę Polską, DPD albo inną firmę i prosi, żebyś kliknął link, bo paczka czeka na niewielką dopłatę, ma błędny adres albo zostanie zwrócona. Strona z linku wyłudza dane karty albo logowania do banku. Nie klikaj, sprawdź przesyłkę w aplikacji przewoźnika, którą otworzysz sam, a podejrzany SMS przekaż bezpłatnie na numer 8080.

Takie wiadomości działają, bo prawie każdy czeka akurat na jakąś paczkę, a kwota wydaje się śmieszna. Operator BLIK cytuje typowy przykład: „Twoja paczka czeka, dopłać 0,20 zł”. W KatiTrust budujemy aplikację aparatu, która nadaje zdjęciom kod do sprawdzenia w chwili wykonania, więc dużo zajmujemy się tym, jak oszuści podrabiają wiadomości i strony. Ten poradnik opisuje, jak działają fałszywe SMS-y, jak sprawdzić przesyłkę i co zrobić, jeśli już kliknąłeś.

Dopłata do paczki: jak działają fałszywe SMS-y

Oszuści wysyłają SMS-y hurtowo, bez wiedzy, kto naprawdę czeka na paczkę. Treść jest zawsze podobna: paczka nie może zostać doręczona, dopóki nie zapłacisz drobnej kwoty, nie potwierdzisz adresu albo nie odbierzesz jej w ciągu kilku godzin. Link prowadzi na stronę, która wygląda jak strona przewoźnika, a potem na fałszywą bramkę płatności.

Polskie prawo ma na to nawet nazwę. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej definiuje smishing jako wysłanie SMS-a, w którym nadawca podszywa się pod inny podmiot, żeby nakłonić odbiorcę na przykład do przekazania danych, niekorzystnego rozporządzenia mieniem, otwarcia strony albo instalacji oprogramowania. Fałszywa dopłata do paczki spełnia wszystkie te warunki.

Skala jest duża. Według raportu CERT Polska za 2025 rok na numer 8080 trafiło w 2025 roku ponad 350 tysięcy SMS-ów, z czego ponad 80 tysięcy było szkodliwych, a operatorzy zablokowali 1,88 miliona niebezpiecznych wiadomości.

Czy kurierzy wysyłają SMS-y? Jak wyglądają prawdziwe wiadomości

Tak, prawdziwe firmy kurierskie i Poczta Polska wysyłają SMS-y. Informują o nadaniu paczki, terminie doręczenia, kodzie odbioru z Paczkomatu albo o tym, że paczka czeka w punkcie. To właśnie dlatego fałszywe wiadomości są tak skuteczne: wyglądają jak coś, co i tak dostajesz.

Różnica tkwi w tym, czego wiadomość od ciebie chce. Prawdziwy SMS o przesyłce zwykle niczego nie każe ci płacić przez link. Jeśli rzeczywiście trzeba coś dopłacić, na przykład przy pobraniu albo opłatach celnych za paczkę spoza Unii Europejskiej, zobaczysz to w aplikacji przewoźnika, w historii przesyłki albo u sprzedawcy. Operator BLIK radzi w razie wątpliwości skontaktować się z firmą bezpośrednio, przez oficjalny numer telefonu albo adres e-mail.

Uważaj też na nazwę nadawcy. Nazwę wyświetlaną zamiast numeru da się podrobić, a fałszywy SMS może nawet trafić do tego samego wątku co prawdziwe wiadomości. Ustawa o zwalczaniu nadużyć wprowadza rejestr chronionych nazw dla instytucji publicznych, ale nazwa nadawcy sama w sobie nie dowodzi, że wiadomość jest prawdziwa.

Fałszywa dopłata do paczki: co piszą oszuści

Treści zmieniają się co kilka tygodni, ale schematy się powtarzają. Najczęściej spotkasz takie wersje:

• Mała dopłata: „Twoja paczka czeka, dopłać 0,20 zł” albo kilka złotych za „brakujące znaczki” czy „opłatę magazynową”.
• Błędny adres: paczki nie da się doręczyć, bo adres jest niepełny, więc trzeba go „zaktualizować”.
• Cło i podatek: paczka z zagranicy czeka na opłatę celną, płatną od razu przez link.
• Zwrot do nadawcy: paczka wróci do nadawcy, jeśli nie potwierdzisz odbioru w ciągu kilku godzin.
• Aplikacja „do śledzenia”: masz zainstalować aplikację spoza oficjalnego sklepu, żeby śledzić paczkę.

Ostatnia wersja jest szczególnie groźna. InPost w poradniku o bezpieczeństwie radzi instalować aplikacje mobilne tylko z oficjalnych sklepów, bo cyberprzestępcy zachęcają do pobierania nieautoryzowanych aplikacji, żeby wykradać dane, zdjęcia i pieniądze.

Jak rozpoznać, że dopłata do paczki to oszustwo: sześć sygnałów

Fałszywy SMS rzadko zdradza się czymś jednym, ale kilka sygnałów pojawia się niemal zawsze:

1. Link do płatności: Wiadomość chce, żebyś zapłacił albo podał dane przez link, a nie w aplikacji przewoźnika.
2. Pośpiech: „W ciągu 24 godzin”, „dziś ostatni dzień”, „paczka zostanie zwrócona”.
3. Dziwny adres strony: Literówki, dodatkowe słowa albo nietypowe końcówki zamiast oficjalnej domeny przewoźnika.
4. Paczka, na którą nie czekasz: Albo paczka bez nazwy sklepu, numeru przesyłki czy innych szczegółów.
5. Śmiesznie niska kwota: Kilkadziesiąt groszy ma uśpić czujność. Oszustom chodzi o dane karty, a nie o kwotę.
6. Prośba o kod: Strona prosi o kod BLIK, kod z SMS-a albo pełne dane karty z kodem CVV.

InPost przypomina, że wiadomości phishingowe zawsze zawierają link do fałszywej strony, i radzi nie klikać w podejrzane linki, zwłaszcza skrócone. Jeśli nie masz pewności, czy wiadomość jest prawdziwa, przyjmij, że nie jest, i sprawdź przesyłkę sam.

Jak bezpiecznie sprawdzić przesyłkę

Najprostsza zasada: nie odpowiadaj na SMS i nie klikaj w link, tylko sprawdź przesyłkę drogą, którą wybierasz sam.

1. Otwórz aplikację przewoźnika: InPost, Poczta Polska, DPD czy inne firmy mają oficjalne aplikacje i strony do śledzenia przesyłek.
2. Użyj numeru z zamówienia: Numer przesyłki znajdziesz w e-mailu ze sklepu albo w historii zamówienia, a nie w podejrzanym SMS-ie.
3. Wpisz adres strony sam: Jeśli wolisz przeglądarkę, wpisz adres przewoźnika ręcznie albo użyj zapisanej zakładki.
4. Zapytaj sklep: Jeśli coś się nie zgadza, napisz do sklepu, w którym kupiłeś, przez jego stronę.
5. Sprawdź opłaty u źródła: Prawdziwe pobranie albo opłaty celne zobaczysz w statusie przesyłki u przewoźnika.

Czy paczka naprawdę jest w drodze, sprawdzasz numerem przesyłki ze swojego zamówienia, a nie linkiem z wiadomości. To jedno przyzwyczajenie powstrzymuje prawie każdą wersję tego oszustwa.

Kliknąłeś link w SMS-ie o dopłacie do paczki? Co zrobić teraz

Samo otwarcie strony zwykle jeszcze nie oznacza straty, ale nie wpisuj niczego więcej. To, co zrobić dalej, zależy od tego, co podałeś:

1. Podałeś dane karty: Od razu zadzwoń do banku na numer z karty albo ze strony banku i zablokuj kartę. Sprawdź historię rachunku.
2. Zalogowałeś się do banku przez link: Zadzwoń do banku, zmień hasło w oficjalnej aplikacji i sprawdź, czy nie ma nieznanych przelewów albo nowych urządzeń.
3. Podałeś kod BLIK albo zatwierdziłeś płatność: Zgłoś to od razu w banku i zapytaj o reklamację.
4. Zainstalowałeś aplikację: Odinstaluj ją, nie loguj się z tego telefonu do banku, dopóki go nie sprawdzisz, i zmień hasła z innego urządzenia.
5. Podałeś dane osobowe: Zastrzeż PESEL, na przykład w aplikacji mObywatel, jeśli go podałeś.

Jeśli z twojej karty pobrano pieniądze, których nie zleciłeś, to transakcja nieautoryzowana. Według art. 46 ustawy o usługach płatniczych bank musi co do zasady zwrócić jej kwotę najpóźniej do końca następnego dnia roboczego po zgłoszeniu. Wyjątek: ma uzasadnione podejrzenie oszustwa ze strony klienta i zawiadomi organy ścigania. Płatność, którą sam zatwierdziłeś w aplikacji banku, bank może jednak uznać za autoryzowaną, dlatego złóż reklamację na piśmie i opisz, jak doszło do zdarzenia.

Jak zgłosić fałszywy SMS o dopłacie do paczki

Zgłoszenie zajmuje chwilę i naprawdę chroni innych. Najważniejsza jest jedna droga: przekaż SMS bezpłatnie na numer 8080. Według art. 5 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej CSIRT NASK przyjmuje pod tym numerem zgłoszenia wiadomości, które mogą być smishingiem. Na tej podstawie tworzy wzorce wiadomości, a operatorzy telekomunikacyjni muszą blokować SMS-y zgodne z tymi wzorcami.

Fałszywą stronę z linku zgłoś do CERT Polska przez incydent.cert.pl, żeby trafiła na Listę Ostrzeżeń. Wielu operatorów blokuje strony z tej listy automatycznie. InPost ma też własny formularz do zgłaszania wyłudzeń i podszyć pod firmę z użyciem linku.

Jeśli straciłeś pieniądze, złóż zawiadomienie na Policji. Listę przydatnych informacji publikuje Centralne Biuro Zwalczania Cyberprzestępczości na stronie Zgłoś cyberoszustwo, a kroki po oszustwie w sklepie opisujemy w poradniku o tym, co zrobić, gdy trafiłeś na fałszywy sklep internetowy. Potem usuń wiadomość i zablokuj numer.

Ta sama sztuczka w innych wersjach

Fałszywe dopłaty do paczek to tylko jedna odmiana. Podobnie działają fałszywe wiadomości od „znajomych” z prośbą o kod, które opisujemy w tekście o oszustwie na BLIKa. Oszuści podszywają się w ten sam sposób pod dostawców prądu, operatorów komórkowych, urzędy i banki. Schemat jest zawsze ten sam: pilna wiadomość, drobna kwota albo problem do rozwiązania i link do strony, która wyłudza dane.

Ta sama sztuczka pojawia się też przy sprzedaży w internecie. Fałszywi kupujący na OLX i Vinted przysyłają linki do „odbioru płatności” albo „zamówienia kuriera”, które wyglądają jak strony firm kurierskich. Opisujemy to w poradniku o oszustwie OLX na kuriera. A jeśli zamówiłeś coś w podejrzanym sklepie i paczka nie przychodzi, sprawdź, czy sklep internetowy jest wiarygodny.

Pomaga jedna zasada, bez względu na to, kto się podaje za nadawcę: płatności i dane podajesz tylko w aplikacji albo na stronie, którą otwierasz sam. Żadna prawdziwa firma nie obrazi się, że sprawdzasz.

Zdjęcia, które da się sprawdzić

Przy zakupach od osób prywatnych fałszywe SMS-y i fałszywe zdjęcia często idą w parze: ktoś pokazuje towar, którego nie ma, a potem przysyła link do „dopłaty za wysyłkę”. W KatiTrust sprzedawca robi zdjęcia albo krótki film przedmiotu bezpośrednio w aplikacji, bez wgrywania z galerii, a każde ujęcie dostaje kod weryfikacyjny.

Kod sprawdzisz bezpłatnie w przeglądarce, bez zakładania konta, i zobaczysz, że plik nie zmienił się od wykonania, a do tego czas wykonania i przybliżoną lokalizację z dokładnością około 10 km. Czy SMS jest prawdziwy, tego kod nie powie, i nie zastąpi sprawdzenia przesyłki u przewoźnika. Aplikacja na Androida czeka w Google Play, wersja na iPhone'a pojawi się wkrótce.

Najczęściej zadawane pytania o dopłatę do paczki

Czy SMS o dopłacie do paczki to oszustwo?

Prawie zawsze, jeśli każe ci zapłacić albo podać dane przez link. Prawdziwe dopłaty, takie jak pobranie albo opłaty celne, zobaczysz w aplikacji przewoźnika albo u sprzedawcy. Nie klikaj w link, sprawdź przesyłkę numerem z zamówienia i przekaż SMS na 8080.

Czy InPost i Poczta Polska wysyłają SMS-y?

Tak, wysyłają informacje o nadaniu, doręczeniu i kodach odbioru. Nie znaczy to jednak, że każdy SMS z ich nazwą jest prawdziwy, bo nazwę nadawcy da się podrobić. Jeśli wiadomość prosi o płatność albo dane przez link, sprawdź przesyłkę w oficjalnej aplikacji, którą otworzysz sam.

Co zrobić, gdy kliknąłem link w fałszywym SMS-ie?

Gdy niczego nie wpisałeś, zamknij stronę i usuń wiadomość. Podałeś dane karty albo zalogowałeś się do banku? Od razu zadzwoń do banku, zablokuj kartę i zmień hasło. Po instalacji aplikacji odinstaluj ją i zmień hasła z innego urządzenia. Na koniec przekaż SMS na 8080.

Jak zgłosić fałszywy SMS?

Przekaż go bezpłatnie na numer 8080. CSIRT NASK analizuje takie zgłoszenia, a operatorzy blokują wiadomości zgodne ze wzorcami. Fałszywą stronę zgłoś do CERT Polska przez incydent.cert.pl, a jeśli straciłeś pieniądze, złóż zawiadomienie na Policji.

Czy bank odda pieniądze po fałszywej dopłacie do paczki?

Jeśli oszuści pobrali pieniądze bez twojej zgody, na przykład po wpisaniu danych karty, to transakcja nieautoryzowana, a bank musi co do zasady zwrócić kwotę do końca następnego dnia roboczego po zgłoszeniu. Gdy sam zatwierdziłeś płatność w aplikacji, bank może odmówić. Zgłoś sprawę od razu i złóż reklamację na piśmie.

Dostałem paczkę, której nie zamawiałem. Czy to też oszustwo?

Może być. Czasem to pomyłka, a czasem element oszustwa, na przykład gdy ktoś chce, żebyś zapłacił za pobranie albo żeby potem zażądać zwrotu pieniędzy. Nie płać za paczkę, której nie zamawiałeś, i sprawdź nadawcę u przewoźnika. Jeśli przyszła na twoje dane, a wcześniej podałeś je na podejrzanej stronie, zastrzeż PESEL.

Wnioski: dopłatę do paczki sprawdzaj w aplikacji, nie w SMS-ie

Fałszywa dopłata do paczki działa, bo trafia w moment, gdy naprawdę na coś czekasz, i prosi o kwotę, która wydaje się bez znaczenia. Oszustom nie chodzi jednak o kilkadziesiąt groszy, tylko o dane karty, logowanie do banku albo zainstalowanie aplikacji na twoim telefonie.

Najlepiej chroni cię jedna zasada: nigdy nie rozwiązuj problemu z przesyłką przez link z SMS-a. Sprawdzaj paczki w aplikacji przewoźnika numerem z zamówienia, przekazuj podejrzane wiadomości na 8080, a gdy coś już się stało, od razu dzwoń do banku.