„Dopłata celna do paczki”? CERT ostrzega: to phishing podszywający się pod Pocztę Polską

Dostałeś SMS o „niewielkiej dopłacie celnej” do przesyłki od Poczty Polskiej? CERT Polska ostrzega 3 listopada 2026 r. przed kampanią phishingową, w której oszuści podszywają się pod przewoźnika, żeby wyłudzić dane osobowe i kartę płatniczą. Link z wiadomości nie prowadzi do oficjalnej strony – tylko do fałszywego formularza.

Jak wygląda oszustwo

Cyberprzestępcy rozsyłają SMS-y informujące o rzekomej konieczności uiszczenia opłaty celnej albo dopłaty do paczki. Kwota zwykle jest niska, żeby zachęcić do szybkiego kliknięcia „i mieć z głowy”. Wiadomość wygląda oficjalnie: pojawia się nazwa Poczty Polskiej, numer przesyłki i krótki termin na zapłatę.

Link w SMS-ie otwiera stronę łudząco podobną do serwisu przewoźnika. Formularz prosi o dane osobowe i adresowe, a następnie o numer karty, datę ważności i CVV (trzy cyfry z tyłu). To nie jest płatność za paczkę – to kradzież danych do bankowości i karty.

Dlaczego to działa na Polaków

Zakupy z zagranicy i paczki z Allegro, Temu czy marketplace’ów są codziennością. Wiele osób naprawdę oczekuje przesyłki i realnie bywa, że trzeba dopłacić cło albo brakującą opłatę. Oszuści grają na tym odruchu: „zapłacę 5–15 zł, żeby paczka nie wróciła”. Do tego dochodzi presja czasu („opłać w 24 godziny”) i wygodny kanał – SMS, który otwieramy w biegu.

Fałszywe domeny często nawiązują nazwą do Poczty Polskiej albo do słów „przesyłka”, „cło”, „dopłata”. Na telefonie pasek adresu jest wąski, więc łatwo przeoczyć literówkę albo dziwną końcówkę domeny. Dlatego CERT podkreśla: nie porównuj „czy wygląda podobnie”, tylko wejdź na oficjalną stronę samodzielnie.

Jak bezpiecznie sprawdzić przesyłkę

• Nie klikaj linku z SMS-a ani maila. Status paczki sprawdzaj w oficjalnej aplikacji Poczty Polskiej albo wpisując adres strony ręcznie w przeglądarce (np. z zapisanej zakładki).
• Porównaj pełny adres URL z oficjalną witryną, zanim cokolwiek wpiszesz. Fałszywe domeny bywają prawie identyczne – jedna litera różnicy wystarczy.
• Poczta Polska nie powinna prosić w SMS-ie o CVV karty jako warunek odbioru paczki. Jeśli formularz pyta o pełne dane karty „do dopłaty celnej”, to czerwona flaga.
• Presja i mała kwota to typowy zestaw oszustwa: mało boli zapłacić „kilka złotych”, więc spada czujność.
• Podejrzany SMS prześlij na darmowy numer 8080 – pomagasz CERT Polska chronić innych. Zdarzenia możesz też zgłosić na incydent.cert.pl.

Co zrobić, jeśli już podałeś dane

• Od razu zastrzeż kartę w aplikacji banku i skontaktuj się z infolinią. Poproś o monitoring albo blokadę transakcji internetowych.
• Sprawdź historię operacji i zgłoś każdą nieznaną płatność.
• Jeśli podałeś też login i hasło do innego konta (np. poczty), zmień hasła i włącz weryfikację dwuetapową.
• Nie „dokładaj” kolejnych danych na tej samej stronie „żeby anulować” – to kolejna pułapka.

Podobne kampanie w ostatnich dniach

Schemat z dopłatą do przesyłki wpisuje się w serię ataków na zaufane marki logistyczne i usługowe. W październiku CERT ostrzegał przed fałszywymi SMS-ami o „zwrocie paczki” podszywającymi się pod InPost. Na początku listopada wróciły maile o „zwrocie podatku” z podatki.gov.pl oraz kampania ze Spotify i „odrzuceniem opłaty przez bank”. Wspólny mianownik: znana marka, pilna sprawa, link do fałszywej strony i kradzież danych logowania albo karty.

Najprostsza zasada na co dzień: status paczki, konta bankowego i subskrypcji sprawdzaj zawsze z aplikacji lub z adresu, który wpisałeś sam – nigdy z linku w nieoczekiwanej wiadomości.

Źródło: CERT Polska – Dopłata do przesyłki? Zachowaj ostrożność! (209/2026), incydent.cert.pl

Artykuł zredagowany przy pomocy AI.