Dlatego zamiast rozstrzygać po nazwie nadawcy, logo albo treści SMS-a, sprawdź samą sprawę inną drogą. Status przesyłki zobacz w aplikacji przewoźnika, należność w oficjalnym serwisie, a płatność wykonuj dopiero wtedy, gdy potwierdzisz ją poza linkiem otrzymanym w wiadomości.

Paczka, parking i mandat mogą prowadzić do podobnego formularza

W fałszywych wiadomościach kurierskich punktem wyjścia bywa informacja o nieudanej próbie dostarczenia przesyłki. W lipcu 2026 roku CERT Polska ostrzegał przed SMS-ami podszywającymi się pod DPD. Odbiorca miał wejść na stronę i wybrać nowy termin dostawy, a następnie trafiał do formularza przypominającego serwis przewoźnika.

Przy fałszywych opłatach parkingowych zmienia się pretekst. Wiadomość informuje o nieuregulowanej należności i dodatkowych kosztach, które pojawią się w razie braku zapłaty. W kampanii opisanej przez CERT Polska w sierpniu 2026 roku fałszywa strona prosiła o numer rejestracyjny samochodu oraz dane płatnicze.

Podobnie wyglądają SMS-y o mandatach. W czerwcu CERT Polska obserwował wiadomości zawierające fikcyjną sygnaturę, odniesienia do przepisów i 48-godzinny termin płatności. Link prowadził do formularza, w którym najpierw należało podać numer rejestracyjny pojazdu, a później dane karty.

W każdym z tych przypadków pierwsza czynność może wydawać się związana z rzeczywistą sprawą: zmianą terminu dostawy, sprawdzeniem samochodu albo uregulowaniem należności. Dane potrzebne oszustowi pojawiają się dopiero na kolejnych etapach.

Jak sprawdzić, czy SMS jest prawdziwy?

Pojedyncza literówka, znajoma nazwa firmy albo niewielka kwota nie rozstrzygają, kto wysłał wiadomość. Lepiej sprawdzić kilka elementów, które pokazują, dokąd SMS próbuje cię skierować i czego wymaga w następnym kroku.

Czy informacja pojawia się również w oficjalnym serwisie?

To, że rzeczywiście czekasz na paczkę, nie potwierdza wiadomości. Jeżeli SMS informuje o problemie z dostawą, sprawdź status przesyłki na swoim koncie u przewoźnika. Nie musisz korzystać w tym celu z przesłanego linku.

Podobnie postępuj przy rzekomym mandacie lub zaległej opłacie parkingowej. CERT Polska zaleca sprawdzanie powiadomień o mandatach w aplikacji mObywatel, a informacji o parkingu bezpośrednio w oficjalnym serwisie właściwego operatora.

Jeśli tam nie ma problemu opisanego w SMS-ie, nie podawaj danych tylko dlatego, że treść wiadomości pasuje do twojej sytuacji.

Adres linku może zdradzić fałszywą stronę

Literówka w nazwie firmy, dodatkowe słowo albo nietypowa domena mogą wskazywać, że link prowadzi do podstawionej strony. Nie trzeba jednak samodzielnie rozstrzygać, czy każdy podejrzany adres jest prawdziwy.

Przy wiadomości o paczce, mandacie albo parkingu możesz całkowicie ominąć otrzymany odsyłacz. Otwórz aplikację, z której zwykle korzystasz, albo samodzielnie wejdź na oficjalną stronę firmy lub instytucji.

Wygląd strony również nie wystarcza do jej oceny. Fałszywy formularz może wykorzystywać logo, układ i inne elementy znane z prawdziwego serwisu.

Jakich danych żąda formularz?

Fałszywa strona może najpierw poprosić o informacje pasujące do pretekstu wiadomości: numer rejestracyjny, adres, kod pocztowy albo wybór nowego terminu dostawy. Na kolejnych ekranach mogą pojawić się pola na dane karty, login i hasło do bankowości albo prośba o pobranie aplikacji.

KNF ostrzega, że linki w phishingowych SMS-ach mogą prowadzić właśnie do stron wyłudzających dane karty i dane logowania do bankowości, a także nakłaniać do instalacji złośliwego oprogramowania.

Jeśli formularz otwarty z podejrzanego SMS-a zaczyna wymagać danych bankowych, przerwij wypełnianie. Zamknij stronę i sprawdź sprawę od początku w oficjalnej aplikacji lub serwisie firmy.

Czy wiadomość narzuca krótki termin?

„Zapłać w ciągu 48 godzin”, „paczka wróci do nadawcy” albo „naliczymy dodatkową opłatę” mają przyspieszyć decyzję. Krótki termin sam w sobie nie oznacza oszustwa, ponieważ również prawdziwa płatność może mieć konkretną datę.

Nie jest jednak powodem, żeby sprawdzać należność przez link z wiadomości. Nawet jeśli SMS daje tylko kilka godzin na reakcję, potwierdź status przesyłki, mandatu lub parkingu w oficjalnym kanale.

Nazwa firmy przy SMS-ie nie potwierdza nadawcy

Fałszywa wiadomość nie zawsze przychodzi z przypadkowego numeru. Jako nadawca może wyświetlić się nazwa firmy kurierskiej. CERT Polska zwraca uwagę, że przy wykorzystaniu tzw. nadpisu telefon może nawet umieścić taki SMS w tym samym wątku, w którym znajdują się wcześniejsze, prawdziwe wiadomości od kuriera.

Dlatego sama nazwa wyświetlona nad wiadomością ani miejsce SMS-a w historii rozmowy nie potwierdzają jego pochodzenia. Jeśli treść wymaga dopłaty, podania danych albo wykonania innej czynności, sprawdź tę sprawę niezależnie.

Gdy wiadomość przyszła z widocznego numeru telefonu, możesz dodatkowo sprawdzić go w wyszukiwarce numerów telefonów InfoNumer. Komentarze innych użytkowników mogą pokazać, czy wcześniej opisywali podobne wiadomości lub połączenia z tego numeru. Brak opinii nie oznacza jednak, że numer jest bezpieczny, a sam wpis nie potwierdza tożsamości nadawcy.

Jak sprawdzić wiadomość bez korzystania z linku?

Gdy SMS wzbudza wątpliwości, wykonaj trzy czynności:

Otwórz oficjalną aplikację albo samodzielnie wejdź na stronę firmy lub instytucji.
Sprawdź, czy znajduje się tam ta sama przesyłka, należność albo informacja o problemie.
Jeśli nadal nie masz pewności, skontaktuj się z firmą przez numer znaleziony na jej oficjalnej stronie, a nie w otrzymanej wiadomości.

Jeżeli oficjalny kanał nie potwierdza informacji z SMS-a, nie wykonuj płatności i nie podawaj danych. Nie musisz wcześniej ustalać, kto dokładnie wysłał wiadomość.

Co zrobić, jeśli kliknąłeś w fałszywy link?

Samo otwarcie strony nie oznacza jeszcze, że oszust otrzymał twoje dane. Jeśli niczego nie wpisałeś i nie pobrałeś żadnego pliku ani aplikacji, zamknij stronę. Sprawdź też, czy przeglądarka nie rozpoczęła pobierania bez twojej wiedzy.

Jeżeli podałeś dane karty, jak najszybciej skontaktuj się z bankiem i zastrzeż kartę. Powiedz konsultantowi, jakie informacje zostały ujawnione i czy po ich podaniu zatwierdziłeś jakąkolwiek operację.

Po wpisaniu loginu, hasła lub kodu autoryzacyjnego również skontaktuj się z bankiem przez oficjalną infolinię. Zwróć uwagę na operacje wykonane na rachunku i przekaż bankowi dokładnie, jakie dane trafiły do formularza.

Zachowaj SMS, widoczny numer lub nazwę nadawcy, adres fałszywej strony oraz potwierdzenia wykonanych operacji. Jeśli doszło do utraty pieniędzy, zgłoś sprawę bankowi i Policji.

Podejrzany SMS możesz przesłać do CERT Polska

Podejrzaną wiadomość SMS można bezpłatnie przekazać do CERT Polska na numer 8080. Zgłoszenia użytkowników są jednym ze źródeł wykorzystywanych przez CERT do tworzenia wzorców fałszywych wiadomości, które następnie służą operatorom telekomunikacyjnym do ich blokowania.

Podejrzaną stronę lub inny incydent możesz zgłosić również przez formularz CERT Polska albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”.

Więcej aktualnych przykładów wiadomości wykorzystujących paczki, mandaty, płatności i inne preteksty znajdziesz w materiale „Smishing 2026: 12 fałszywych SMS-ów, które krążą po Polsce”.

# Paczka (1)

Dostałeś SMS o paczce lub dopłacie? Jak sprawdzić, czy to os...