Nowa fala oszustw kurierskich. Fałszywe SMS-y i iMessage znów w natarciu

Polscy użytkownicy telefonów znów padają ofiarą przestępców podszywających się pod firmy kurierskie. Tym razem chodzi o klasyczny atak typu smishing – czyli próbę wyłudzenia danych przez fałszywe wiadomości SMS i iMessage. W treści wiadomości pojawia się informacja o rzekomo zatrzymanej przesyłce „z powodu niejasnego adresu”, a odbiorca jest proszony o kliknięcie w link i potwierdzenie danych w ciągu 12 godzin.

Brzmi znajomo? To niestety coraz bardziej powszechny schemat działania cyberprzestępców. Czasem wiadomość sugeruje, że wystarczy wpisać dane lub „odpowiedzieć Y”, by paczka mogła zostać doręczona. Taka presja czasu ma zmusić odbiorcę do działania bez zastanowienia.

Po kliknięciu w link użytkownik trafia na stronę, która do złudzenia przypomina serwis np. InPostu. Tam, nieświadomy zagrożenia, może wpisać dane logowania, numer karty płatniczej albo – co równie groźne – pobrać złośliwe oprogramowanie. To może skutkować kradzieżą środków z konta, przejęciem tożsamości lub trwałym naruszeniem prywatności.

Przestępcy są coraz sprytniejsi – manipulują adresem strony, stosują sugestywne komunikaty („Otwórz link w Safari”, „Odpowiedz Y”) i wykorzystują fałszywe domeny, np. inposthsi.top. W żadnym wypadku nie należy ufać tego typu linkom.

Eksperci przestrzegają przed pochopnym działaniem. Prawdziwe firmy kurierskie: nie grożą natychmiastową blokadą paczki bez wcześniejszego kontaktu, nie proszą o dane przez podejrzane linki, nie wysyłają wiadomości z błędami językowymi, korzystają z oficjalnych aplikacji i zweryfikowanych numerów.

W przypadku wątpliwości należy sprawdzić status przesyłki tylko przez oficjalną aplikację lub stronę firmy kurierskiej. W żadnym razie nie wolno odpowiadać na podejrzane SMS-y – nawet „odpowiedź N” czy „Y” może posłużyć oszustom do potwierdzenia, że numer telefonu jest aktywny.

Co zrobić, jeśli dostaniemy podejrzaną wiadomość? Oznacz wiadomość jako spam – większość telefonów pozwala to zrobić z poziomu aplikacji do SMS-ów. Zgłoś incydent na platformie OPSI (https://incydent.cert.pl) – to polska platforma do zgłaszania cyberzagrożeń. Jeśli doszło do wyłudzenia pieniędzy – zgłoś sprawę na policję.

Najważniejsza zasada: nie działaj pod wpływem presji. Jeśli wiadomość budzi niepokój, zanim podejmiesz jakiekolwiek działania, skontaktuj się z infolinią firmy kurierskiej lub z policją. Zbyt pochopna reakcja może mieć poważne konsekwencje.