Фальшивий InPost, фальшивий ZUS, фальшивий банк — як діють шахраї, які обкрадають поляків

SMS про посилку, яка чекає на отримання. Електронний лист із проханням підтвердити банківський рахунок. Реклама у Facebook, що обіцяє невиплачені виплати ZUS. Кожен із нас бачив принаймні одне з цих повідомлень — і дедалі важче відрізнити фальшиве від справжнього.

Згідно зі звітом CERT Polska за 2025 рік, лише торік було зареєстровано понад 28 тисяч фішингових інцидентів із використанням бренду OLX і понад 22 тисячі — з використанням Allegro. Це не цифри, що стосуються великих корпорацій, — це атаки, спрямовані проти звичайних користувачів інтернету: покупців, продавців і людей, які очікують на посилки.

Нижче ми описуємо найпоширеніші схеми, які використовують кіберзлочинці в Польщі, а також конкретні поради, як від них захиститися.

1. SMS від «InPost» — доплата за посилку, яку ви не замовляли

Це одна з найпоширеніших схем у Польщі. Жертва отримує SMS із повідомленням, що посилку неможливо доставити через відсутність доплати — зазвичай кількох злотих. Посилання в повідомленні веде на сайт, оманливо схожий на офіційний сайт InPost або іншої кур’єрської компанії, де пропонують ввести дані платіжної картки.

Справжня мета — не розблокувати посилку, адже жодної посилки немає, а перехопити номер картки, термін її дії та код CVV. Потім ці дані використовують для несанкціонованих транзакцій або продають на чорному ринку.

Правило: InPost, DPD, DHL і Poczta Polska не надсилають SMS із посиланнями для оплати доплати за відправлення. Перевіряйте статус посилки лише в офіційному застосунку кур’єра або вводячи адресу сайту вручну в браузері — ніколи не натискайте посилання з SMS.

2. Фальшиві інвестиції із зображеннями знаменитостей і ZUS

За даними CERT Orange Polska, у 2025 році фальшиві інвестиції становили аж 68 відсотків усіх фішингових кампаній, заблокованих оператором. Схема завжди схожа: реклама в соціальних мережах із зображенням публічної особи або установи (ZUS, Міністерство фінансів, відомий бізнесмен) обіцяє високі прибутки від інвестицій у криптовалюти або державні програми.

Після натискання жертва потрапляє на сторінку з реєстраційною формою. Незабаром телефонує «консультант», який допомагає «інвестувати», — на практиці переконуючи переказати гроші безпосередньо шахраям. Збитки становлять від кількох до кількох десятків тисяч злотих.

Характерні попереджувальні сигнали: обіцянка прибутку без ризику, тиск часу («пропозиція дійсна лише сьогодні»), телефонний контакт із невідомою особою невдовзі після заповнення форми.

3. Повернення податку від «Міністерства фінансів»

Кампанія особливо активна в період податкових розрахунків. Злочинці надсилають електронні листи, стилізовані під офіційне листування Міністерства фінансів або Krajowa Administracja Skarbowa, повідомляючи про очікуване повернення податку. Посилання веде на сайт, що викрадає дані для входу в електронний банкінг або повні дані картки.

Для цієї кампанії характерна багатоетапна схема: жертва проходить через кілька екранів, що нагадують офіційні державні сайти, і це створює фальшиве відчуття достовірності.

Як це перевірити: Інформація про повернення податку доступна лише після входу до Twoje Podatkowe Konto через сайт podatki.gov.pl або в застосунку e-Urząd Skarbowy. Міністерство фінансів не надсилає посилання для повернення податку електронною поштою.

4. Фальшиві сайти банків — PKO BP, Peko, Santander

Кіберзлочинці створюють копії сторінок входу до польських банків, які візуально майже не відрізняються від оригіналів. Зазвичай жертва потрапляє на них після натискання посилання в електронному листі, SMS або рекламі. Після введення логіна й пароля сайт може показати повідомлення про «тимчасове блокування» та попросити код із SMS — так злочинці отримують повний доступ до рахунку.

5. OLX і Allegro — шахрайство «з покупцем»

Схема, відома як «метод OLX», досі є однією з найпоширеніших форм шахрайства в Польщі. Продавець виставляє товар, після чого звертається нібито покупець, який хоче заплатити через безпечну платіжну систему OLX. Продавець отримує посилання на сторінку, де має «отримати» переказ, увівши дані картки. Замість грошей він втрачає кошти з власного рахунку.

Механізм працює навпаки, ніж здається: жертвою є продавець, а не покупець. Фальшива платіжна сторінка не стягує плату за відправлення — вона викрадає дані картки.

Правило: OLX ніколи не надсилає посилання для отримання платежу через WhatsApp, Messenger або SMS. Платежі за продані товари надходять безпосередньо на банківський рахунок або обробляються виключно через офіційний застосунок OLX.

6. Що зробити, щоб не стати жертвою — конкретні кроки

Перевірте, чи не витекли вже ваші дані

Сервіс Have I Been Pwned дає змогу безкоштовно перевірити, чи з’являлася ваша електронна адреса у відомих витоках баз даних. Якщо так — змініть пароль у відповідному сервісі та всюди, де використовуєте той самий пароль.

Не використовуйте однакові паролі в кількох місцях

Злам одного облікового запису не повинен відкривати доступ до інших. Різні паролі для різних сервісів — основа безпеки; на практиці для цього потрібен менеджер паролів, адже ніхто не запам’ятає кілька десятків унікальних комбінацій.

Увімкніть двоетапну перевірку в банку та пошті

SMS-код або код із застосунку-автентифікатора як другий компонент входу означає, що одного пароля вже недостатньо для захоплення облікового запису. Більшість польських банків пропонує цю функцію — перевірте налаштування безпеки свого рахунку.

Захищайтеся в публічних Wi-Fi-мережах

У кафе, готелях і торговельних центрах ми користуємося Wi-Fi-мережами, доступними для всіх. У такій мережі мережевий трафік можуть переглядати інші люди. Використання VPN шифрує з’єднання, тому перехоплені дані стають непридатними для можливого підслуховувача — це особливо важливо, коли ми входимо до банку або магазину не з дому.

Повідомляйте про підозрілі повідомлення

Підозріле SMS можна безпосередньо переслати до CERT Orange на номер 508 700 900 або повідомити про інцидент через форму на сайті incydent.cert.pl. Кожне повідомлення допомагає блокувати фальшиві сайти та захищати інших користувачів.

Підсумок

Описані вище схеми об’єднує одна риса: усі вони створюють фальшиве відчуття терміновості або довіри. SMS про посилку, електронний лист від банку, реклама ZUS — кожне з цих повідомлень розроблене так, щоб викликати негайну реакцію, перш ніж увімкнеться критичне мислення.

Найефективніший захист — звичка на мить зупинитися перед натисканням посилання та поставити собі просте запитання: чи очікував я на це повідомлення? Якщо ні, краще безпосередньо зайти на сайт установи або зателефонувати на її офіційний номер.

Якщо ви зіткнулися зі спробою шахрайства або хочете поділитися своїм досвідом, запрошуємо нафорум istotne.pl. Більше місцевих і загальнопольських новин ви знайдете в розділі новини.