Fałszywy SMS od kuriera, banku lub o dopłacie: co zrobić

SMS o dopłacie do paczki, zablokowanym koncie w banku albo zaległym rachunku, z linkiem „zapłać teraz”, to niemal na pewno oszustwo. Fachowo nazywa się to smishing, czyli phishing wysyłany SMS-em: wiadomość ma Cię zaprowadzić na podrobioną stronę, która wyłudzi dane karty lub login do banku. Prawdziwy kurier ani bank nie proszą o dopłatę ani o dane przez link. Co zrobić: nie klikać, nic nie wpisywać, a wiadomość przekazać na bezpłatny numer 8080 prowadzony przez CERT Polska. Jeśli dane zostały już podane, pierwszy telefon jest do banku.

To nie jest rzadki przypadek. CERT Polska zarejestrował w 2025 r. 260 783 incydenty, z czego 97% to oszustwa komputerowe, a 78 391 to phishing, czyli wyłudzanie loginów, haseł i danych kart. Na numer 8080 trafiło w tym roku 295 169 zgłoszeń podejrzanych SMS-ów (CERT Polska, raport 2025). Takie same wiadomości przychodzą na telefon dziecka i działają na nie te same zasady rozpoznawania.

Jak wygląda fałszywy SMS

Treść się zmienia, mechanizm nie: krótka wiadomość, drobna kwota albo pilna sprawa i link. Najczęstsze scenariusze:

Dopłata do paczki. „Twoja przesyłka czeka na dopłatę”, „nieudana próba doręczenia”, „opłata celna”. Oszuści szczególnie często podszywają się pod InPost i Pocztę Polską (CERT Polska, raport 2025). InPost pisze wprost: „InPost nigdy nie wysyła SMS-ów z informacją o dopłatach” (InPost). W lipcu 2026 r. Poczta Polska ostrzegała przed falą SMS-ów o dopłacie 3 euro, która podpięła się pod zmianę przepisów celnych; przypomniała, że nie wysyła SMS-ów z linkami do płatności za przesyłki (direct.money.pl).

Zablokowane konto w banku. „Twoje konto zostało zawieszone, potwierdź tożsamość”. Link prowadzi do podrobionej strony logowania, a wpisane tam dane trafiają do oszustów. Według CERT Polska wyłudzanie loginów i haseł do serwisów bankowych to jedna z głównych odmian phishingu (CERT Polska, raport 2025).

Niedopłata za prąd lub gaz. Wiadomość o konieczności uregulowania rachunku, czasem z groźbą odcięcia dostaw. Ministerstwo Cyfryzacji wymienia ten motyw obok paczek, zwrotu podatku i wygranej w konkursie jako typowe przynęty (gov.pl).

„Mamo, mam nowy numer”. SMS lub wiadomość na WhatsAppie od „dziecka”: telefon wpadł do wody, karta SIM nie działa, proszę pisać na nowy numer. Po chwili pojawia się prośba o pieniądze. CERT Polska odnotował w 2025 r. coraz więcej wiadomości, w których SMS jest tylko zachętą do kontaktu przez inny komunikator (CERT Polska, raport 2025). Policja z Łęcznej opisała przypadek 65-latki, która po wiadomości „Cześć mamo. To mój nowy numer” przelała ok. 2500 zł (Telepolis za KWP Lublin). To bliski kuzyn oszustwa z podrobionym głosem przez telefon, tyle że pisany.

Wygrana, kupon, zwrot podatku. „Odebierz nagrodę”, „czeka na Ciebie zwrot nadpłaty”. Zwrot podatku to według CERT Polska jeden z najpopularniejszych scenariuszy; strona „do zatwierdzenia zwrotu” wyłudza login do banku i dane karty (CERT Polska, raport 2025).

„Kupujący” z OLX lub Vinted. Tu ofiarą jest sprzedający. Ktoś chce kupić od razu, przenosi rozmowę na WhatsApp i wysyła link „potwierdzający przekazanie pieniędzy”. Strona udaje panel banku i prosi o zalogowanie, żeby „odebrać” przelew (instalki.pl za CERT Orange Polska). Phishing na wizerunek OLX to w 2025 r. 28 462 incydenty (CERT Polska, raport 2025).

Po czym poznać oszustwo

• Presja czasu. „Paczka wróci do nadawcy za 24 godziny”, „konto zostanie zamknięte dzisiaj”. CERT Polska podaje, że większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania wiadomości (CERT Polska, raport 2025). Oszustwo działa, dopóki się nie zastanawiasz.
• Link do dziwnej lub skróconej domeny. Prawdziwe adresy Poczty Polskiej to poczta-polska.pl i emonitoring.poczta-polska.pl (Poczta Polska). InPost radzi sprawdzać adres przed kliknięciem i uważać na skrócone linki (InPost). Jeśli domena jest „podobna, ale nie ta”, to nie ta.
• Prośba o dane karty, login do banku albo kod BLIK. Żadna legalna sprzedaż nie wymaga logowania do banku, żeby „odebrać pieniądze” (instalki.pl). Kurier też nie potrzebuje numeru karty, żeby dostarczyć paczkę.
• Nazwa nadawcy nic nie gwarantuje. Zamiast numeru możesz widzieć napis, np. nazwę firmy. CERT Polska prowadzi wykaz takich nazw (nadpisów) zastrzeżonych dla instytucji publicznych; wiadomość z zastrzeżonym nadpisem od innego nadawcy jest blokowana (CERT Polska, raport 2025, gov.pl). Poza tym wykazem sama nazwa nie dowodzi, że pisze firma. Zagraniczny numer też powinien zapalić lampkę; Poczta Polska opisywała kampanię z numerów brytyjskich i tajskich (Poczta Polska).
• Błędy językowe, brak polskich znaków, dziwna składnia (gov.pl). Brak błędów niczego jednak nie dowodzi.

Co zrobić, jeśli link został kliknięty

Spokojnie. Samo otwarcie strony zwykle nie jest jeszcze stratą; strata przychodzi po wpisaniu danych albo zainstalowaniu aplikacji. Kolejność kroków:

1. Nic nie wpisuj i zamknij stronę. Prośba o login, numer karty, kod SMS albo BLIK to moment, w którym jeszcze nic się nie stało.
2. Jeśli dane logowania lub karty zostały wpisane, od razu dzwoń do banku. Poproś o zastrzeżenie karty i zablokowanie dostępu do bankowości, a potem zmień hasło. Rzecznik Finansowy przypomina, że masz obowiązek niezwłocznie zgłosić bankowi nieuprawnione użycie karty lub bankowości, i że „im szybciej, tym lepiej dla Ciebie” (Rzecznik Finansowy).
3. Zmień to samo hasło wszędzie, gdzie go używasz. Jedno hasło do banku i poczty to dwa klucze w rękach oszusta.
4. Sprawdź, czy nic się nie zainstalowało. Linki z takich SMS-ów mogą prowadzić do instalacji szkodliwego oprogramowania (FinCERT.pl i KGP za bank.pl). Nieznaną aplikację pobraną w ostatnich minutach usuń.
5. Jeśli podany był PESEL lub zdjęcie dowodu, zastrzeż PESEL. Robi się to bezpłatnie i od razu na mObywatel.gov.pl albo w dowolnym urzędzie gminy. Od 1 czerwca 2024 r. instytucje finansowe muszą sprawdzać zastrzeżenie przed udzieleniem kredytu (gov.pl). Zastrzeżenie da się później cofnąć.
6. Przekaż SMS na 8080, nawet jeśli dane nie wyciekły. Dzięki temu podobna wiadomość może zostać zablokowana, zanim dojdzie do kogoś innego.
7. Jeśli pieniądze zniknęły: bank, potem policja. Zgłoś nieautoryzowaną transakcję w banku i złóż zawiadomienie na policji; Rzecznik Finansowy radzi wziąć z komendy zaświadczenie (Rzecznik Finansowy). Zachowaj zrzuty ekranu.

Jak zgłosić

Numer 8080 (SMS). Wybierz w wiadomości opcję „Przekaż” (czasem „Prześlij dalej”) i wyślij ją na 8080. Jeśli telefon nie ma takiej opcji, skopiuj całą treść i wyślij ją jako nowy SMS. Nie wycinaj linku ani fragmentów. Zgłaszać można też wiadomości bez linku. W Polsce jest to bezpłatne (gov.pl). Numer działa od listopada 2023 r. i pozostaje głównym kanałem zgłaszania SMS-ów (CERT Polska, raport 2025).

Co się potem dzieje? Ze zgłoszeń CERT Polska tworzy wzorce wiadomości, które operatorzy pobierają w ciągu 5 minut i mają obowiązek blokować każdy pasujący SMS. W 2025 r. 790 wzorców zatrzymało 1 883 610 złośliwych SMS-ów, a na Listę Ostrzeżeń trafiło prawie 245 tys. domen (CERT Polska, raport 2025). Jedno przekazanie realnie chroni innych.

Inne kanały: formularz na incydent.cert.pl (strony, e-maile, inne zdarzenia), usługa „Bezpiecznie w sieci” w aplikacji mObywatel oraz e-mail cert@cert.pl (CERT Polska, raport 2025). Podszycie się pod InPost możesz zgłosić także przez formularz InPost (InPost).

Bank i policja wchodzą do gry, gdy dane wyciekły lub pieniądze zniknęły (kroki 2 i 7 powyżej). W banku pytaj o reklamację nieautoryzowanej transakcji; bank ma 15 dni roboczych na odpowiedź, w skomplikowanych sprawach do 35 (Rzecznik Finansowy).

Jak sprawdzić, czy wiadomość od kuriera jest prawdziwa

Zasada jest jedna: nie wchodź z linku, wejdź samodzielnie.

• Otwórz aplikację kuriera albo wpisz adres jego strony ręcznie i sprawdź przesyłkę po numerze z potwierdzenia ze sklepu. FinCERT.pl i Komenda Główna Policji zalecają śledzenie paczek wyłącznie na oficjalnej stronie firmy lub w jej aplikacji (bank.pl).
• Zadaj sobie pytanie, czy w ogóle czekasz na paczkę i czy wiezie ją ta firma, a jeśli pisze „bank”: dlaczego SMS-em, a nie powiadomieniem w aplikacji (CERT Polska, raport 2025).
• W razie wątpliwości zadzwoń na infolinię z oficjalnej strony, nie na numer z wiadomości (InPost).
• Nie odpisuj. CERT Polska opisuje wariant, w którym odpowiedź na SMS aktywuje link, omijając zabezpieczenie telefonu przed linkami od nieznanych nadawców (CERT Polska, raport 2025).

Z bankiem tak samo: zaloguj się przez aplikację. Prawdziwą blokadę zobaczysz tam.

Dwa ustawienia, które pomagają

Android, aplikacja Wiadomości Google. Stuknij swoje zdjęcie profilowe, potem „Ustawienia Wiadomości”, „Ochrona i bezpieczeństwo” i „Ochrona przed spamem i oszustwami”. Standardowa ochrona jest włączona domyślnie; możesz przełączyć na „Silniejsza ochrona” (Google).

iPhone. W Ustawieniach wejdź w „Aplikacje”, potem „Wiadomości” i przewiń do sekcji „Nieznani nadawcy”. W iOS 26 opcja nazywa się „Klasyfikuj nieznanych nadawców”, w iOS 18 „Filtruj nieznanych nadawców”. Wiadomości od numerów spoza kontaktów trafiają wtedy do osobnej listy „Nieznani nadawcy” (Apple). Nadawcę możesz też zablokować przyciskiem „Blokuj kontakt” (Apple).

Fałszywym SMS-om i mailom poświęcamy osobną lekcję („Fałszywe SMS-y i maile: kurier, bank, dopłata”) w module 6 „Twoje bezpieczeństwo w sieci” kursu „Sztuczna inteligencja dla rodziców”.

Najczęstsze pytania

Czy samo kliknięcie w link już coś robi?

Zwykle nie, bo większość takich stron służy do wyłudzenia danych i strata następuje dopiero po ich wpisaniu. Wyjątkiem są linki, które próbują zainstalować aplikację wykradającą dane (bank.pl). Po kliknięciu zamknij stronę, nic nie instaluj, sprawdź ostatnio dodane aplikacje i przekaż SMS na 8080.

Gdzie zgłosić fałszywy SMS?

Przekaż go na bezpłatny numer 8080 prowadzony przez CERT Polska; strony i e-maile zgłaszaj przez formularz na incydent.cert.pl albo w aplikacji mObywatel (CERT Polska, raport 2025, gov.pl). Jeśli wyciekły dane lub pieniądze, dodatkowo zgłoś sprawę do banku i na policję.

Czy da się odzyskać pieniądze?

Czasem tak, ale nie ma gwarancji; bank rozpatruje każdą sprawę osobno. Rzecznik Finansowy wskazuje, że przepisy przewidują zwrot nieautoryzowanej transakcji do końca następnego dnia roboczego po zgłoszeniu, ale bank może odmówić, jeśli udowodni rażące niedbalstwo klienta; na zgłoszenie jest maksymalnie 13 miesięcy (Rzecznik Finansowy). Zgłoś od razu, zachowaj dowody, a przy odmowie możesz zwrócić się do Rzecznika Finansowego.

Jak odróżnić prawdziwy SMS od kuriera?

Prawdziwy nie prosi o dopłatę przez link i nie żąda danych karty; InPost deklaruje, że nigdy nie wysyła SMS-ów o dopłatach (InPost). Zamiast oceniać wiadomość, sprawdź przesyłkę samodzielnie w aplikacji lub na stronie wpisanej ręcznie. Jeśli tam wszystko jest w porządku, SMS był fałszywy.