„Twoja przesylka nie mogla zostac dostarczona 26.09 z powodu Twojej nieobecnosci. Ponowna dostawa mozliwa w ciagu 48h: oplata za przekierowanie 1,95 EUR. https://suivi-repriselivraison.com"
Wiadomość przychodzi w piątek wieczorem. Jesteś 400 kilometrów od domu, samochód stoi przed wynajętym mieszkaniem, a Ty doskonale wiesz, że faktycznie czekasz na jakąś paczkę. Jesteś nieobecny — to prawda. Kurier mógł przyjechać. I w tej konkretnej chwili nie masz żadnego prostego sposobu, by sprawdzić, co znajduje się w Twojej skrzynce na listy.
Na tym właśnie opiera się smishing sezonowy: nie chodzi o wymyślanie sytuacji, ale o wślizgnięcie się w sytuację rzeczywistą. Oszust nie prosi Cię, byś uwierzył w nieprawdopodobną historię — prosi, byś potwierdził coś, co już i tak myślisz.
Dlaczego Twoja nieobecność jest dla oszusta warta złota
Fałszywy SMS o przesyłce wysłany na chybił trafił przynosi bardzo niską skuteczność. Ta sama wiadomość wysłana do kogoś, kto rzeczywiście jest poza domem, działa znacznie lepiej — z trzech powodów.
Weryfikacja jest niemożliwa. W domu naturalnym odruchem jest zajrzenie do skrzynki: brak papierowego zawiadomienia, koniec historii. Podczas wyjazdu ta fizyczna kontrola znika. Zostaje tylko SMS i jego obietnica.
Presja czasu jest prawdziwa. Paczka wracająca do oddziału, produkt łatwo psujący się, list polecony z terminem odbioru — osoba nieobecna wie, że ma ograniczenie czasowe, którego nie kontroluje.
Obciążenie uwagi jest maksymalne. Na wakacjach czy w delegacji przeglądamy powiadomienia w przelocie, w niestabilnej sieci, często przy niskim poziomie baterii. A Cybermalveillance.gouv.fr powtarza we wszystkich swoich materiałach o phishingu: pośpiech to pierwszy czynnik sukcesu oszustwa. Problemem nie jest inteligencja ofiary, ale jej kontekst.
Kłopot w tym, że ten kontekst już nie jest tajemnicą.
Skąd oszuści wiedzą (albo domyślają się), że wyjechałeś
Nie istnieje rejestr wakacjuszy. Istnieje jednak nawarstwienie sygnałów, które sprawia, że informację da się odgadnąć na dużą skalę.
Publikacje w czasie rzeczywistym
Zdjęcie z plaży wrzucone na story, check-in na lotnisku, wpis „wreszcie urlop" — te elementy są publiczne lub półpubliczne dla setek kont, z których niektóre nie mają żadnego powodu, by być życzliwe. Francuska żandarmeria każdego lata powtarza to samo zalecenie w ramach Opération Tranquillité Vacances: publikuj zdjęcia po powrocie, nigdy w trakcie.
Po prostu kalendarz
Nie trzeba Cię znać. Fale fałszywych SMS-ów o przesyłkach osiągają szczyt w okresach, gdy statystycznie cały kraj jest w ruchu: ferie szkolne, majowe długie weekendy, tydzień między Bożym Narodzeniem a Nowym Rokiem, początek roku szkolnego. Wysłanie „zawiadomienia o próbie dostawy w Państwa nieobecności" 15 sierpnia to gra na bardzo wysokim krajowym wskaźniku nieobecności.
Wycieki danych handlowych
Najbardziej dopracowane kampanie łączą kalendarz z wykradzionymi bazami zawierającymi nazwisko, adres pocztowy i numer telefonu — często pochodzącymi z naruszeń danych u przewoźników, sklepów internetowych czy platform rezerwacyjnych. Wiadomość nie mówi już „Twoja przesyłka", ale „Twoja przesyłka na ul. Lilas 12". CNIL regularnie publikuje wezwania do usunięcia nieprawidłowości i kary po takich wyciekach: każdy incydent zasila rynek ukierunkowanych SMS-ów na wiele lat.
Cyfrowe sąsiedztwo
Niektórzy oszuści działają z ulicy. Przepełniona skrzynka na listy, zamknięte przez cały tydzień rolety, stale zgaszone światło: fizyczne rozpoznanie terenu nadal istnieje i łączy się dziś z kanałem SMS, tworząc wiarygodny scenariusz.
Cztery scenariusze sezonu
1. Fałszywe zawiadomienie o próbie dostawy z opłatą za ponowne dostarczenie
Klasyka, ale dopracowana. Żądana kwota jest śmiesznie mała — 1,95 €, 2,40 €, 0,99 € — co rozbraja czujność. Celem nigdy nie jest ta mikropłatność: chodzi o wprowadzenie pełnych danych karty na sklonowanej stronie płatności, wykorzystywanych następnie do znacznie większych obciążeń albo do dodania Twojej karty do portfela mobilnego.
Żaden francuski przewoźnik nie pobiera opłaty za „przeplanowanie dostawy" przez SMS. La Poste wyraźnie przypomina, że nigdy nie żąda opłat przez link w SMS-ie za wydanie przesyłki czy listu.
2. Fałszywy alarm z systemu alarmowego lub kamery
„Wykryto ruch w Twoim domu, 03:14. Zobacz nagranie: …" Wiadomość gra na największym lęku wakacjusza. Link prowadzi do fałszywej strony logowania do usługi monitoringu wideo, której zadaniem jest przechwycenie loginu i hasła — czasem do konta rzeczywiście używanego, jeśli oszust odgadł markę na podstawie wycieku danych albo zwykłego zdjęcia elewacji.
Jeśli faktycznie korzystasz z systemu monitoringu, wewnętrzną kamerę monitoringu Wi-Fi należy sprawdzać wyłącznie z oficjalnej aplikacji, nigdy z linku otrzymanego w wiadomości. I upewnij się przed wyjazdem, że na powiązanym koncie włączono uwierzytelnianie dwuskładnikowe.
3. Fałszywy sąsiad, fałszywy dozorca, fałszywy zarządca
Bardziej rzemieślnicze, bardziej groźne. „Dzień dobry, jestem nowym dozorcą, zgłoszono zalanie w Państwa mieszkaniu, mogą Państwo potwierdzić kod do drzwi / wskazać, kto ma klucze?" Tu nie ma pułapki w linku: celem jest informacja fizyczna. Tego rodzaju wiadomość bywa wstępem do włamania.
4. Fałszywa usługa opieki nad zwierzętami lub roślinami
Niszowe, ale rosnące. Platformy łączące osoby prywatne (opieka nad zwierzętami, wymiana domów, najem krótkoterminowy) generują rozmowy poza platformą, gdzie podszycie się jest banalnie łatwe. „Odbieram kota jutro, potwierdź dokładny adres i kod" to doskonały pretekst, by uzyskać dostęp.
Sygnały, które zdradzają fałszywy SMS
Żaden pojedynczy sygnał nie wystarczy, ale ich nawarstwienie mówi wiele.
| Element | Wiadomość autentyczna | Wiadomość oszukańcza |
|---|---|---|
| Nadawca | Krótka nazwa firmy lub rozpoznawalny numer skrócony | Numer komórkowy 06/07, numer zagraniczny lub podszyta nazwa |
| Link | Oficjalna domena marki | Domena złożona: suivi-colis-repriselivraison.com, rozszerzenia .top, .icu, .shop |
| Żądanie | Śledzenie, informacja, okno czasowe | Płatność, dane logowania, kod z SMS-a, kod dostępu do budynku |
| Termin | Orientacyjny | Odliczanie 24 lub 48 godzin |
| Pisownia | Znaki diakrytyczne na miejscu | Brak znaków diakrytycznych („absence", „etre"), chaotyczne wielkie litery |
Uwaga na współczesną pułapkę: brak znaków diakrytycznych nie jest już regułą. Dzisiejsze generatory tekstu tworzą poprawny język. I odwrotnie — część autentycznych SMS-ów nie używa znaków diakrytycznych z powodów związanych z kodowaniem. Pisownia jest więc już tylko wskazówką drugorzędną — rozstrzygająca pozostaje nazwa domeny.
A przede wszystkim: oszukańczy SMS może doskonale wyświetlić się w tym samym wątku rozmowy co prawdziwa wiadomość od firmy. Sieć SMS nie weryfikuje tożsamości wyświetlanego nadawcy; podszycie się pod nazwę („Colissimo", „Chronopost", „Banque") wizualnie grupuje fałszywkę razem z prawdziwymi. Stara i autentyczna wiadomość znajdująca się bezpośrednio powyżej nie gwarantuje niczego co do wiadomości następnej.
Przygotowanie nieobecności: lista kontrolna przed wyjazdem
Po stronie domu
- Zgłosić nieobecność żandarmerii lub komisariatowi przez Opération Tranquillité Vacances — usługa darmowa, formularz dostępny na service-public.fr.
- Poprosić bliską osobę o opróżnianie skrzynki albo uruchomić przekierowanie lub przechowywanie korespondencji w La Poste. Pełna skrzynka to publiczne ogłoszenie.
- Symulować obecność, ale bez przesady: programowalne gniazdko Wi-Fi podłączone do lampy w salonie pozostaje najprostszym i najtańszym rozwiązaniem.
- Unikać zbyt wylewnych komunikatów o nieobecności na poczcie głosowej i w mediach społecznościowych.
Po stronie telefonu
- Zaktualizować system operacyjny przed wyjazdem: znaczna część ataków wykorzystuje luki w niezaktualizowanych wersjach.
- Sprawdzić, czy ochrona antyspamowa operatora jest aktywna. Wszyscy czterej francuscy operatorzy oferują filtrowanie, a 33700 pozostaje krajowym serwisem zgłaszania niechcianych SMS-ów: przekaż wiadomość, a następnie numer nadawcy, gdy serwis o to poprosi.
- Wykonać kopię zapasową telefonu. Jeśli urządzenie zginie lub zostanie ukradzione w podróży, kopia zmienia wszystko.
- Zabrać coś, co uchroni od rozładowania: powerbank o dużej pojemności pozwala uniknąć sytuacji, w której czyta się wiadomości w pośpiechu, przy 3% baterii i bez możliwości czegokolwiek sprawdzenia.
Po stronie pieniędzy
- Tymczasowo obniżyć limity karty płatniczej w aplikacji banku — większość pozwala zmniejszyć limity w dwóch kliknięciach i podnieść je po powrocie.
- Włączyć powiadomienia o płatnościach w czasie rzeczywistym: to najlepszy istniejący detektor oszustw.
- Preferować płatności zbliżeniowe telefonem, które nigdy nie przekazują sprzedawcy prawdziwego numeru karty.
Co robić, gdy SMS już przyszedł
- Nie klikać. Nawet „tylko żeby zobaczyć". Niektóre strony zbierają informacje techniczne już w momencie otwarcia.
- Sprawdzić oficjalnym kanałem. Otwórz aplikację przewoźnika albo samodzielnie wpisz adres strony. Autentyczny numer przesyłki istnieje w systemie przewoźnika; wymyślony — nie.
- Zadzwonić do bliskiej osoby, jeśli wiadomość dotyczy Twojego domu. Sąsiad, który zajrzy do skrzynki, rozwiąże sprawę w dwie minuty.
- Zgłosić. Przekaż na 33700 (SMS) lub zgłoś na signal-spam.fr. Oszustwa zgłasza się na platformie THESEE francuskiego MSW.
- Zablokować numer, a potem usunąć wiadomość — po zgłoszeniu.
Jeśli kliknąłeś i wpisałeś swoje dane
- Natychmiast skontaktuj się z bankiem i zablokuj kartę. Francuski kodeks monetarny i finansowy (art. L133-18) nakłada obowiązek zwrotu nieautoryzowanych transakcji płatniczych, poza przypadkami rażącego niedbalstwa posiadacza; Banque de France i ACPR regularnie przypominają, że sam fakt bycia ofiarą manipulacji nie stanowi automatycznie rażącego niedbalstwa.
- Zmień hasła do objętych sprawą kont, zaczynając od poczty elektronicznej, która służy jako klucz odzyskiwania do wszystkiego pozostałego. Menedżer haseł pozwala uniknąć używania wszędzie tego samego sezamu.
- Złóż zawiadomienie o przestępstwie, także zdalnie. Zachowaj zrzuty ekranu, numer nadawcy i znacznik czasu.
- Obserwuj wyciągi przez kilka miesięcy: wykradzione dane są czasem wykorzystywane z wielotygodniowym opóźnieniem.
Martwy punkt: SMS nie jest kanałem tożsamości
To punkt, z którego wynika wszystko pozostałe. SMS zaprojektowano w 1992 roku jako techniczną usługę sygnalizacyjną; nigdy nie wbudowano w niego mechanizmu uwierzytelniania nadawcy. Wyświetlenie „Chronopost" w miejscu numeru to banalna operacja handlowa, dostępna dla każdego, kto wie, do jakiego pośrednika się zwrócić — również poza Europą, gdzie kontrole są luźniejsze.
Arcep i Fédération française des télécoms wdrożyły od 2025 roku mechanizm uwierzytelniania numerów dla połączeń głosowych, a rejestry nazw nadawców stopniowo się zaostrzają w przypadku SMS-ów. To realna poprawa, ale nie eliminuje ona ani kampanii wysyłanych ze zwykłych kart SIM, ani urządzeń SMS Blaster nadających lokalnie bez pośrednictwa sieci operatorów.
Stąd zasada, która się nie starzeje:
SMS może Cię poinformować. Nigdy nie powinien służyć Ci do decydowania. Każde działanie angażujące pieniądze, dane logowania lub fizyczny dostęp musi zostać potwierdzone kanałem, który wybrałeś samodzielnie.
Co możesz zrobić już dziś wieczorem
Poświęć pięć minut przed najbliższym wyjazdem. Sprawdź, kto z Twojego otoczenia opróżni skrzynkę na listy. Obniż limit karty. Włącz powiadomienia o płatnościach. Zapisz w kontaktach 33700, by nie szukać go w potrzebie. I porozmawiaj o tym z osobami w swoim otoczeniu, które dostają takie wiadomości, nie zawsze wiedząc, co z nimi zrobić — praktyczny poradnik o oszustwach internetowych położony na stoliku w salonie często robi dla czujności całej rodziny więcej niż długie wykłady.
Oszustwo z fałszywym zawiadomieniem o próbie dostawy nie opiera się na żadnym technicznym wyczynie. Opiera się na kalendarzu, nieobecności i trzydziestu sekundach nieuwagi. Dwóch pierwszych elementów nie zmienisz. Trzeciego — owszem.
