W wiadomościach pojawiają się różne preteksty. Nadawcy piszą m.in. o brakujących danych adresowych, potrzebie potwierdzenia szczegółów paczki albo konieczności wyznaczenia nowego terminu dostawy. Taki komunikat ma skłonić odbiorcę do szybkiego działania i wejścia w podany link.

Po kliknięciu użytkownik trafia na stronę, która ma przypominać serwis przewoźnika. Przestępcy wykorzystują wizerunek InPost, by wzbudzić zaufanie i nakłonić odbiorców do podania wrażliwych informacji. Mogą to być zarówno dane osobowe, jak i dane karty płatniczej.

CERT Polska zaleca, by nie ufać takim wiadomościom bez sprawdzenia ich źródła. Informacje o przesyłce najlepiej weryfikować wyłącznie w oficjalnej aplikacji przewoźnika. Drugą bezpieczną metodą jest samodzielne wpisanie adresu strony w przeglądarce zamiast korzystania z linku z SMS-a.

Ostrzeżenie dotyczy przede wszystkim wiadomości, które sugerują pilną potrzebę uzupełnienia danych lub potwierdzenia doręczenia. To częsty schemat w kampaniach phishingowych. Fałszywe SMS-y o paczkach mają wyglądać wiarygodnie, ale ich celem nie jest dostawa przesyłki, tylko przejęcie danych użytkownika.

Jeśli odbiorca ma wątpliwości, powinien porównać treść wiadomości ze statusem paczki widocznym w oficjalnym kanale przewoźnika. CERT Polska zwraca uwagę, że samo podobieństwo strony do serwisu InPost nie oznacza, że jest ona prawdziwa. Decydujące znaczenie ma źródło linku i sposób weryfikacji przesyłki.

Podejrzane SMS-y można zgłaszać do CERT Polska pod darmowym numerem 8080. Instytucja przypomina, by takie wiadomości przekazywać do analizy, zamiast w nie klikać. To pomaga ograniczać kolejne próby oszustwa wymierzone w osoby czekające na paczkę.