Fałszywy SMS o dopłacie do paczki: jak rozpoznać smishing i co zrobić po kliknięciu w link (2026)

Czekasz na paczkę, telefon pika, a w wiadomości stoi, że przesyłka została zatrzymana i trzeba dopłacić 1,20 zł. Kwota jest śmieszna, link wygląda na pasujący, a Ty naprawdę coś zamówiłeś. Właśnie na to liczą oszuści. Ten poradnik pokazuje, jak wygląda ta metoda w 2026 roku, po czym ją poznać, co zrobić, gdy już kliknąłeś, a nawet gdy wpisałeś dane karty, oraz co w takiej sytuacji należy się Tobie od banku.

1. Jak wygląda fałszywy SMS o paczce w 2026 roku

Smishing, czyli phishing przez SMS, nie jest nową metodą, ale jego paczkowa odmiana wraca co kilka miesięcy w nowych przebraniach. W 2026 roku CERT Polska opisywał co najmniej trzy typowe warianty:

• „Nieudana próba doręczenia” (DPD, kwiecień 2026). Wiadomość mówi o niedostarczonej przesyłce i konieczności umówienia nowego terminu. Link prowadzi do strony imitującej serwis kuriera, gdzie ofiara ma podać dane kontaktowe i dane karty, rzekomo by opłacić zmianę terminu. (CERT Polska, komunikat 49/2026)

• „Potwierdź dane przesyłki” (InPost). Link otwiera fałszywy serwis, który zbiera dane osobowe oraz dane karty, wykorzystywane później do bardziej precyzyjnych ataków. (CERT Polska, komunikat 111/2026)

• Formularz „uzupełnij dane do doręczenia”. Ta kampania podszywa się pod firmy kurierskie ogólnie, a nie pod jedną markę, i kieruje do formularza z prośbą o dane. (CERT Polska, komunikat 160/2026)

Wspólny mianownik: pretekst logistyczny, link i presja czasu.

2. Dlaczego akurat teraz: nowe opłaty i psychologia małej kwoty

Od 1 lipca 2026 r. obowiązują dodatkowe opłaty dla przesyłek spoza Unii Europejskiej. Według Spider's Web to właśnie dało oszustom wymarzony pretekst: odbiorcy zamówień z zagranicznych sklepów spodziewają się dopłaty, więc prośba o nią nie budzi alarmu. Poczta Polska przypomina przy tym, że nie wysyła SMS-ów z linkami do płatności za przesyłki. Jeśli dostajesz taki SMS „od Poczty”, wiesz już, że to nie ona.

Drugi element to psychologia. Niska kwota działa jak znieczulenie: wiele osób myśli „to tylko kilka złotych” i nie zastanawia się, że prawdziwym celem nie jest ta kwota, tylko dane karty i dostęp do konta. Zwraca na to uwagę także Dziennik.pl, dodając, że numer paczki w takiej wiadomości może wyglądać wiarygodnie, a mimo to nigdy nie istnieć. Sama obecność logo kuriera, numeru przesyłki i linku niczego nie dowodzi.

3. 7 sygnałów, że SMS jest oszustwem

1. Link do płatności lub „potwierdzenia danych”. Kurierzy i Poczta Polska rozliczają dopłaty w swoich aplikacjach i na oficjalnych stronach, a nie przez link wysłany SMS-em.

2. Presja czasu: „zapłać dziś”, „paczka wróci do nadawcy”, „ostatnia próba”.

3. Dziwna domena. Fałszywe adresy często różnią się od oficjalnych drobiazgiem: dodatkowym słowem, myślnikiem, inną końcówką.

4. Niska, „niewinna” kwota dopłaty.

5. Brak konkretów. Brak nazwy sklepu, w którym coś kupiłeś, brak imienia, ogólnikowy opis.

6. Prośba o dane karty, login do banku lub kod SMS/BLIK na stronie, która ma tylko „zmienić termin dostawy”.

7. Nadawca spoza Twojej listy oczekiwanych przesyłek. Jeśli nic nie zamawiałeś lub nie wiesz, który kurier ma Twoją paczkę, to kolejna lampka ostrzegawcza.

Bezpieczna procedura jest jedna: nie klikaj, tylko sprawdź paczkę poza SMS-em. Numer znajdziesz w mailu od sklepu, na koncie klienta lub w oficjalnej aplikacji przewoźnika, a adres kuriera wpisz w przeglądarce ręcznie.

4. Kliknąłeś w link: co realnie mogło się stać

Tu warto oddzielić dwie sytuacje, bo w sieci panuje panika, która nie pomaga. Samo kliknięcie linku nie zawsze oznacza utratę pieniędzy. Poważne ryzyko zaczyna się dopiero wtedy, gdy na fałszywej stronie podasz dane karty, login do banku lub kod SMS (podkreśla to m.in. netdiag.pl).

Przestępcy wykorzystują zebrane dane na kilka sposobów:

• Płatności kartą w sklepach internetowych, często małymi kwotami, żeby nie wzbudzić podejrzeń.

• Przejęcie dostępu do bankowości, jeśli wpisałeś login, hasło lub kod.

• Dalsze, precyzyjne ataki: telefon „z banku”, w którym konsultant zna Twoje dane. To dlatego rozmowa po takim SMS-ie jest groźniejsza niż sam SMS.

• Przejęcie numeru telefonu. Mając imię, nazwisko, PESEL czy adres, można próbować wyłudzić duplikat karty lub eSIM. Jak wygląda przejęcie numeru telefonu (SIM swap) i po czym je poznać, warto wiedzieć wcześniej, bo pierwszym sygnałem jest nagła utrata zasięgu.

5. Co robić, zależnie od tego, co zrobiłeś

Jeśli nic nie kliknąłeś, nie odpowiadaj i nie dzwoń pod numer z SMS-a: prześlij wiadomość na 8080 i usuń ją. Jeśli kliknąłeś, ale niczego nie wpisałeś, zamknij stronę, niczego nie instaluj i sprawdź, czy telefon nie pobrał pliku (np. z końcówką .apk) albo nie poprosił o instalację, a w razie wątpliwości zajrzyj do akapitu o aplikacjach poniżej. 

Jeśli wpisałeś dane karty, od razu zadzwoń do banku i zastrzeż kartę, poproś o numer zgłoszenia, sprawdź historię transakcji (także tych z autoryzacją 3D Secure) i upewnij się, że karta nie została dodana do portfela cyfrowego, którego nie rozpoznajesz. Jeśli podałeś login i hasło do banku, natychmiast zmień hasło z innego, zaufanego urządzenia, wyloguj wszystkie sesje i zablokuj dostęp do bankowości przez infolinię. Jeśli podałeś kod SMS lub BLIK, zadzwoń do banku i zgłoś transakcje nieautoryzowane, bo kod BLIK jest krótko ważny i liczy się czas. Jeśli zainstalowałeś aplikację z linku, przełącz telefon w tryb samolotowy, usuń aplikację i odbierz jej uprawnienia, pozostałe kroki wykonaj z innego urządzenia i rozważ reset fabryczny. Jeśli zadzwonił „konsultant banku”, rozłącz się i oddzwoń na numer z karty lub aplikacji banku, niczego nie instaluj i nie podawaj kodów.

Po każdym z tych scenariuszy zrób trzy rzeczy: zachowaj SMS (treść, numer nadawcy, link), obserwuj konta przez kolejne tygodnie i zgłoś sprawę. Zachowanie dowodów podkreśla też netbe.pl, bo te informacje mogą pomóc w wyjaśnieniu sprawy.

Jeśli zainstalowałeś aplikację, warto dokładnie sprawdzić, czy w telefonie nie ma aplikacji szpiegującej. Złośliwa aplikacja z linku w SMS-ie i stalkerware to różne rzeczy, ale sposób kontroli jest podobny: przegląd uprawnień administratora urządzenia, usług ułatwień dostępu i nieznanych programów. Ogólny przegląd objawów i zabezpieczeń znajdziesz w poradniku o tym, jak rozpoznać atak na smartfona i go skutecznie zabezpieczyć.

6. Czy państwo blokuje takie SMS-y?

Częściowo. Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703) zobowiązuje operatorów do blokowania SMS-ów, które zawierają treści wyczerpujące znamiona smishingu. Wzorce takich wiadomości przekazuje operatorom zespół CSIRT NASK, który prowadzi też rejestr zastrzeżonych nadpisów, czyli nazw nadawcy zarezerwowanych dla podmiotów publicznych. Operatorzy muszą także zapewniać dostęp do bezpłatnego numeru 8080.

Jest tu jednak zastrzeżenie, o którym rzadko się mówi. Według Spider's Web ustawa skupiała się na ochronie przed podszywaniem się pod podmioty publiczne i nie miała narzędzi wymierzonych w podszywanie się pod firmy prywatne, takie jak kurierzy. Tekst pochodzi z 2024 roku, więc sprawdź, czy przepisy nie zostały od tego czasu zmienione. W praktyce oznacza to, że filtr operatora jest dodatkową warstwą, a nie gwarancją. Skoro SMS dotarł do Ciebie, nie wolno zakładać, że został uznany za bezpieczny.

Dlatego zgłoszenia pod 8080 mają realne znaczenie: pomagają szybciej rozpoznawać kampanie i blokować złośliwe domeny.

7. Czy bank odda pieniądze?

Zasada ogólna jest po Twojej stronie. W przypadku transakcji, której nie autoryzowałeś, bank powinien zwrócić środki, chyba że udowodni, że doszło do niej z Twojego rażącego niedbalstwa (tak opisuje to Super Express). Spory budzi właśnie ta granica: banki bywają skłonne zarzucać klientowi niedbalstwo, gdy sam wpisał dane na fałszywej stronie.

Co możesz zrobić, żeby wzmocnić swoją pozycję:

• zgłoś sprawę natychmiast i zaznacz, że chodzi o transakcje nieautoryzowane,

• poproś o numer zgłoszenia i złóż reklamację na piśmie,

• zachowaj SMS, zrzuty ekranu strony, powiadomienia i historię transakcji,

• zgłoś sprawę na policji,

• jeśli bank odmawia, możesz zwrócić się do Rzecznika Finansowego lub rozważyć drogę sądową.

To informacja ogólna, a nie porada prawna. W konkretnej sprawie warto skonsultować się z prawnikiem.

8. Gdy podejrzenia sięgają dalej niż anonimowy oszust

Większość fałszywych SMS-ów o paczkach to masowa wysyłka do przypadkowych numerów. Zdarza się jednak, że po incydencie okazuje się, że ktoś znał Twoje hasła, miał dostęp do odblokowanego telefonu albo śledził Twoje konta. Gdy w grę wchodzi bliska osoba, mówimy już o czymś innym niż smishing. Jeśli ten wątek Cię dotyczy, przeczytaj o tym, jak rozpoznać przemoc cyfrową w związku i zabezpieczyć dowody. Najpierw bezpieczeństwo i dowody, dopiero potem zmiany w telefonie.

9. Jak zgłosić oszustwo

• SMS: prześlij całą treść wiadomości na bezpłatny numer 8080 (CERT Polska).

• Strony i maile: formularze na stronie CERT Polska (incydent.cert.pl).

• Policja lub prokuratura: gdy poniosłeś stratę lub ujawniłeś dane.

• Bank: zawsze, gdy podałeś dane karty, logowania lub kody.

• Firma kurierska: możesz poinformować przewoźnika, pod którego markę podszyli się oszuści.

10. FAQ

Czy sam SMS z linkiem może zainfekować telefon? Samo otrzymanie wiadomości nie wystarcza. Ryzyko zaczyna się po kliknięciu, a największe po wpisaniu danych lub zainstalowaniu pliku.

Czy mogę oddzwonić lub odpisać „STOP”? Nie. Odpowiedź potwierdza, że numer jest aktywny, i może prowadzić do kolejnych prób kontaktu.

Czy kurier wyśle SMS z linkiem? Firmy kurierskie mogą wysyłać powiadomienia o przesyłkach, ale logo, numer paczki i link nie dowodzą autentyczności. Status zawsze sprawdzaj w oficjalnej aplikacji lub na stronie, wpisując adres ręcznie. Poczta Polska deklaruje, że nie wysyła SMS-ów z linkami do płatności za przesyłki.

Co jeśli naprawdę czekam na paczkę z zagranicy? Tym bardziej nie klikaj w link z SMS-a. Opłaty, które mogą Cię dotyczyć po 1 lipca 2026 r., sprawdzisz w koncie klienta sklepu lub w oficjalnej aplikacji kuriera.

Co zrobić z podejrzanym SMS-em? Prześlij go na 8080 i usuń. Jeśli straciłeś pieniądze, najpierw zadzwoń do banku, potem zgłoś sprawę na policji.

Podsumowanie

Fałszywy SMS o dopłacie do paczki działa dlatego, że łączy realną sytuację (czekasz na przesyłkę) z niską kwotą i presją czasu. Obrona jest prosta: nie klikaj w link z SMS-a, status paczki sprawdzaj samodzielnie w oficjalnej aplikacji i pamiętaj, że prawdziwy problem zaczyna się dopiero wtedy, gdy wpiszesz dane. A jeśli już to zrobiłeś, liczą się minuty: bank, zastrzeżenie karty, zmiana haseł i zgłoszenie na 8080.