„Dopłać do paczki”: oszuści piszą do Twoich klientów w imieniu Poczty i InPostu, a w 2025 r. zablokowano 1,9 mln takich SMS-ów. Co e-sklep ustawia przed Black Week, żeby klient nie wziął oszusta za Ciebie

Dwie kampanie w dwa tygodnie: opłata celna i zwrot paczki

Komunikat CERT Polska z 3 listopada opisuje wiadomości podszywające się pod Pocztę Polską. Odbiorca czyta, że przesyłka czeka na uiszczenie niewielkiej opłaty celnej. Fałszywa strona prosi o dane osobowe i adresowe, a potem o numer karty, datę ważności i trzy cyfry z jej tyłu. Pretekst jest aktualny, bo od lipca paczki spoza Unii są objęte cłem 3 euro od każdej grupy towarów, a Poczta Polska już w czerwcu ostrzegała, że oszuści to wykorzystają.

Komunikat z 28 października dotyczy wizerunku InPostu. Tu SMS mówi, że paczka zbyt długo czekała w paczkomacie i uruchomiono jej zwrot, ale można go jeszcze zatrzymać. Wystarczy wejść na stronę i uzupełnić dane do ponownego doręczenia, w tym dane karty. Między tymi dwoma komunikatami CERT ostrzegał jeszcze przed fałszywymi sklepami ze zniczami, wiadomościami o zwrocie podatku i mailami o nieprzyjętej płatności za Spotify. Sezon na oszustwa zaczął się, zanim zaczął się sezon na zakupy.

Skala: 1,9 mln zablokowanych SMS-ów w rok

Od 2023 r. działa ustawa o zwalczaniu nadużyć w komunikacji elektronicznej. Zespół CSIRT NASK, w którym pracuje CERT Polska, zbiera zgłoszenia od odbiorców, operatorów, banków i firm kurierskich, tworzy wzorzec fałszywej wiadomości i przekazuje go operatorom przez specjalny system. Operator ma obowiązek niezwłocznie blokować każdy SMS, który pasuje do wzorca. Według raportu rocznego CERT wzorzec jest pobierany w ciągu 5 minut od upublicznienia, a wysyłka kilku lub kilkunastu tysięcy SMS-ów przez oszustów trwa zwykle 30–40 minut. Liczy się więc czas od pierwszego zgłoszenia.

Liczby za 2025 r.: 790 wzorców i 1 883 610 zablokowanych wiadomości, rok wcześniej 746 wzorców i 1 475 678 blokad. Każde zgłoszenie przekłada się średnio na 23 niedostarczone SMS-y, a w listopadzie 2025 r. na 84. To właśnie miesiąc Black Week. W 2026 r. do końca września CERT zarejestrował 137,8 tys. zgłoszeń, stworzył 739 wzorców i tylko we wrześniu zablokował 28 tys. wiadomości. Na Listę Ostrzeżeń przed niebezpiecznymi stronami trafiło w tym czasie 193,8 tys. domen.

Jest jednak coś, czego ten system nie daje sklepowi. Ustawa pozwala zastrzec nazwę nadawcy SMS, czyli nadpis, tylko podmiotom publicznym: urzędom, nie firmom. Oszust może więc wpisać w pole nadawcy nazwę podobną do Twojej i żaden rejestr tego nie zatrzyma. Raport CERT dodaje jeszcze jedno: historie o paczkach tracą na popularności na rzecz SMS-ów, które są tylko przynętą do kontaktu. To znaczy, że fałszywy „kurier” coraz częściej poprosi o telefon, nie o kliknięcie.

Dlaczego to problem sklepu, choć to nie sklep wysłał SMS

Klient, który dostał SMS o dopłacie 10 minut po tym, jak zamówił u Ciebie buty, nie sprawdza, kto jest nadawcą. Łączy fakty: zamówiłem, dostałem wiadomość, więc to od nich. Jeśli straci pieniądze z karty, pierwsze pytanie zada Tobie, a drugie w opinii o sklepie. Odpowiedź „to nie my” jest prawdziwa, ale przychodzi za późno.

Dlatego ochrona przed smishingiem w małym sklepie to nie zadanie dla informatyka, tylko dla osoby, która pisze maile do klientów i odbiera telefony. Chodzi o to, żeby klient wiedział wcześniej, jak wygląda wiadomość od Ciebie i czego nigdy w niej nie będzie.

Zasada jednego zdania: nigdy nie prosimy o dopłatę linkiem

Poczta Polska ujęła to w jednym zdaniu: nie wysyła SMS-ów, w których jest link do opłacenia przesyłki. To samo może ogłosić Twój sklep. Zdanie w stylu „Nigdy nie wysyłamy SMS-ów z linkiem do dopłaty. Każdą dopłatę zobaczysz w panelu zamówienia” wstaw w mail z potwierdzeniem zamówienia, w wiadomość o nadaniu paczki i do najczęstszych pytań na stronie. Klient, który to przeczytał, dostaje później fałszywy SMS i ma gotową odpowiedź.

Potem konsekwencja. Każda Twoja wiadomość wychodzi z tej samej nazwy nadawcy i w tym samym układzie. Link do śledzenia prowadzi tylko do Twojej domeny albo do głównej strony przewoźnika, nigdy przez skracacz adresów. Jeśli paczka okazuje się większa i trzeba dopłacić, nie wysyłasz linku do płatności, tylko prosisz o zalogowanie się do panelu albo dzwonisz. Jeden wyjątek, który zrobisz dla wygody, unieważnia całą zasadę, bo klient przestaje odróżniać.

Gdy klient pisze: „dostałem SMS, że mam dopłacić”

Obsługa klienta potrzebuje krótkiej procedury, najlepiej na kartce przy telefonie. Po pierwsze: jasno mówisz, że to nie Twoja wiadomość i prosisz, żeby nie klikać. Po drugie: prosisz o zrzut ekranu i o przesłanie SMS-a na numer 8080. To bezpłatne, a zgłoszenie przyspiesza powstanie wzorca, który zablokuje tę samą wiadomość u tysięcy innych osób. Po trzecie: jeśli klient już wpisał dane karty, radzisz natychmiastowy kontakt z bankiem i zastrzeżenie karty.

Po czwarte: sam też zgłaszasz. CERT Polska przyjmuje zgłoszenia przez formularz na swojej stronie i w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Jeśli fałszywa strona używa nazwy Twojego sklepu albo podobnej domeny, to zgłoszenie jest szczególnie ważne, bo domena może trafić na Listę Ostrzeżeń, a operatorzy i przeglądarki zaczną ją blokować. Po piąte: notujesz datę, treść i numer nadawcy. Za smishing grozi od 3 miesięcy do 5 lat więzienia i te notatki mogą się przydać policji.

Twój prawdziwy SMS też może wpaść w sito

System blokad działa automatycznie, więc może zatrzymać wiadomość sklepu, która brzmi jak oszustwo. „Pilne: dopłata do paczki, link tutaj” to niemal gotowy wzorzec. Ustawa przewiduje na to sprzeciw do Prezesa UKE. Trzeba w nim podać pełną treść SMS-a, uzasadnienie, dlaczego to nie smishing, numer, z którego wyszedł, dane firmy i podpisać go podpisem zaufanym, osobistym albo kwalifikowanym, a następnie wysłać na adres do e-Doręczeń urzędu. Prezes UKE ma 14 dni na decyzję, a po uwzględnieniu sprzeciwu CSIRT NASK zmienia wzorzec w ciągu 3 dni.

Prostsze jest niedopuszczenie do blokady. Pisz do klientów bez słów, które lubią oszuści: bez „dopłaty”, bez „pilne”, bez linku do płatności. Informacja „Twoja paczka została nadana, status sprawdzisz w panelu zamówienia” wystarczy i nie przypomina żadnego wzorca.

Co z tego dla Ciebie

1. Napisz jedno zdanie o tym, czego nigdy nie wysyłasz, i wstaw je do maila z potwierdzeniem zamówienia, do wiadomości o nadaniu i do pytań na stronie. Zrób to przed 27 listopada.
2. Ujednolić nadawcę i treść wszystkich SMS-ów ze sklepu. Linki tylko do własnej domeny albo głównej strony przewoźnika, bez skracaczy, bez linków do płatności.
3. Przygotuj dla obsługi pięciopunktową procedurę na pytanie o dopłatę: nie klikać, zrzut ekranu, 8080, bank przy wpisanej karcie, zgłoszenie do CERT.
4. Sprawdź raz w tygodniu, czy w sieci nie pojawiła się domena z nazwą Twojego sklepu, której nie znasz. Zgłoś ją do CERT Polska przez formularz na stronie.
5. Jeśli Twój SMS przestał dochodzić, nie zmieniaj operatora. Przeczytaj jego treść oczami oszusta, przeredaguj, a gdy to nie pomoże, złóż sprzeciw do UKE.

Stan na: 09.11.2026. Tekst nie jest poradą prawną.