Falešné SMS o balíčku a celním poplatku: jak poznat podvod a nepřijít o peníze

Přijde vám SMS, že na vás čeká balík a stačí jen doplatit pár korun za doručení nebo celní poplatek. Odkaz v ní vypadá skoro jako od pošty, částka je směšně malá a všechno spěchá. Přesně na tomhle pocitu staví jeden z nejrozšířenějších podvodů v Česku. Ukážeme vám, jak takovou zprávu poznáte, proč je zrovna teď tolik rozšířená a co dělat, když už jste na odkaz klikli.

Proč zrovna teď přibývá falešných zpráv o balíčcích

Konec roku je obdobím, kdy lidé nakupují nejvíc. Objednávky z e-shopů i ze zahraničních tržišť chodí v jednom proudu, člověk často čeká na několik zásilek najednou a přesně neví, která kdy dorazí. Podvodníci to vědí. Falešná SMS o nedoručeném balíku je v takovou chvíli uvěřitelná, protože opravdu nějaký balík čekáte. Stačí, aby se trefili do správného týdne. Roli hraje stejná nepozornost jako u falešných slev a podvodných e-shopů kolem Black Friday: spěch a chuť mít věc rychle vyřízenou.

Tenhle typ útoku má své jméno: smishing. Vzniklo spojením slov SMS a phishing a patří do kategorie takzvaného sociálního inženýrství. Útočník nehledá slabinu v telefonu ani v aplikaci. Hledá slabinu v člověku, konkrétně ve vaší ochotě rychle a bez přemýšlení zareagovat na zprávu, která vyvolá dojem, že něco musíte udělat hned.

Jak podvodná zpráva vypadá

Scénářů je několik a obměňují se, ale kostra bývá pořád stejná. Přijde krátká SMS, která se tváří jako od pošty nebo dopravce, upozorní na problém se zásilkou a přiloží odkaz. Nejčastěji narazíte na tyto varianty:

• Nedoručený balík. Zpráva tvrdí, že zásilku nešlo doručit a vy si máte přes odkaz potvrdit adresu nebo termín.
• Doplatek za doručení. Chybí prý pár korun, bez kterých balík nepošlou dál. Částka je nízko schválně, přijde vám zbytečné kvůli deseti korunám cokoli řešit, tak zaplatíte.
• Celní poplatek. U zásilek ze zahraničí vás zpráva vyzve k úhradě cla nebo poplatku za celní odbavení.
• Falešná zpráva od banky. Varuje před podezřelou platbou a žádá, abyste se přes odkaz přihlásili a transakci ověřili.
• Nedoplatek na dálniční známce nebo pokuta. Jiná podoba téhož triku, jen záminka je úřední.

Cílem je vždycky jedno a totéž: dostat vás na podvržený web, který vypadá jako stránka pošty, dopravce nebo banky, a tam z vás vylákat buď platbu kartou, nebo rovnou čísla z karty a přihlašovací údaje. Jakmile je zadáte, útočník je použije sám.

Pět znaků, podle kterých podvod poznáte

Jednotlivé zprávy se liší, ale společné rysy se opakují. Když si je zapamatujete, většinu pokusů odhalíte během pár vteřin.

1. Odkaz, který nesedí

Pravá adresa pošty nebo banky má jasnou a známou podobu. Podvodné odkazy bývají zkrácené, obsahují náhodná písmena a číslice, nebo napodobují oficiální název s drobnou odchylkou, třeba zaměněným písmenem či připojeným slovem navíc. Se stejným trikem, napodobeným přihlašovacím webem, se lidé setkali i při přesunu datových schránek na gov.cz. Pokud si adresou nejste jistí, na odkaz neklikejte a zásilku nebo účet si raději dohledejte sami tam, kde to znáte.

2. Nátlak a spěch

Zpráva tlačí na okamžitou akci. Hrozí, že zásilku vrátí, že účet zablokují, že máte posledních pár hodin. Tenhle umělý tlak je nejspolehlivější poznávací znamení. Seriózní instituce vám dá čas a nikdy vás nenutí jednat ve vteřinách.

3. Žádost o peníze nebo citlivé údaje

Doplatek, poplatek, ověření karty. Jakmile po vás zpráva chce čísla z karty, PIN nebo přihlášení do bankovnictví, zpozorněte. Banka tyhle údaje přes odkaz v SMS nikdy nechce a případnou platbu si u dopravce vždy ověříte sami v jeho aplikaci nebo na jeho webu, ne z odkazu ve zprávě.

4. Neočekávanost

Nic jste neobjednali, přesto vám chodí výzva k doplatku? Čekáte balík, ale od úplně jiného dopravce, než který vám píše? Rozpor mezi tím, co víte, a tím, co tvrdí zpráva, je varovný signál.

5. Jazyk a forma

Řada podvodných zpráv je přeložená strojově. Chybí diakritika, věty jsou kostrbaté, oslovení je obecné. Platí to ale jen částečně, protože kvalita podvodů roste a některé zprávy už jsou gramaticky v pořádku. Proto se nikdy nespoléhejte jen na tenhle jediný znak.

Celní poplatek: kde končí pravda a začíná past

Scénář s celním poplatkem je zákeřný v tom, že vychází z reálného základu. Od července 2021 se u zásilek ze zemí mimo Evropskou unii platí daň z přidané hodnoty bez ohledu na cenu zboží, dřívější osvobození u levných balíčků skončilo. Dopravci k tomu zpravidla účtují i poplatek za celní odbavení. Když tedy objednáte drobnost z asijského tržiště, výzva k nějaké platbě vás nepřekvapí, a právě proto na ni spíš skočíte.

Tady je potřeba jeden častý omyl uvést na pravou míru. I pravý dopravce vám kvůli celnímu řízení může poslat SMS nebo e-mail s odkazem. Česká pošta na svém webu výslovně uvádí, že příjemce kontaktuje e-mailem, SMS zprávou nebo dopisem a vede ho na formulář na adrese postaonline.cz, vyměřené clo a daň pak uhradíte při doručení. Samotný fakt, že vám přišel odkaz, tedy ještě nic nedokazuje. Rozdíl je v tom, kam odkaz vede: pravá výzva míří na oficiální adresu dopravce, podvodná na zkrácený odkaz nebo na stránku, která oficiální adresu jen napodobuje.

Nejbezpečnější postup proto nestojí na hádání, který odkaz je pravý. Na odkaz ve zprávě vůbec neklikejte. Otevřete si aplikaci dopravce zvlášť, nebo na jeho oficiálním webu zadejte číslo zásilky ručně, a stav i případný poplatek si ověřte přímo tam. Pokud tam žádná platba k úhradě není, byla SMS podvod.

Podle čeho poznáte poctivou komunikaci

Pár pravidel platí napříč všemi seriózními firmami. Když si je osvojíte, poznáte podvod i u scénáře, se kterým jste se zatím nesetkali.

• Nenutí vás platit přes odkaz, který vám dorazil. Případný poplatek u České pošty uhradíte při doručení nebo v jejím ověřeném prostředí na postaonline.cz, které si otevřete sami.
• Nežádají čísla z platební karty, PIN, ani přihlašovací údaje do bankovnictví. Pokud vám banka vrací peníze, stačí jí číslo účtu, údaje z karty nikdy.
• Netlačí na okamžité jednání pod hrozbou ztráty zásilky nebo zablokování účtu.
• Komunikují konzistentně. Oficiální kanál zůstává stejný, neskáče z SMS na neznámý web a zpět.

Bezpečné placení má přitom svá jasná pravidla i u mobilu. Jak funguje platba telefonem přes NFC a tokenizaci karty, kde se skutečné číslo karty vůbec nikam neposílá, jsme rozebrali zvlášť. Právě proto poctivá platba nikdy nevyžaduje, abyste čísla z karty přepisovali do formuláře z odkazu v SMS.

Co dělat, když vám taková zpráva přijde

Nejlepší obrana je jednoduchá a nic nestojí. Když dodržíte pár kroků, podvodník nemá šanci.

1. Neklikejte na odkaz a neodpovídejte. Samotné přečtení SMS vám neublíží, nebezpečí začíná až kliknutím a zadáním údajů.
2. Ověřte si to přímo u zdroje. Otevřete aplikaci dopravce nebo jeho oficiální web a zadejte číslo zásilky ručně. U banky zavolejte na linku z rubu karty, ne na číslo ze zprávy.
3. Nic neplaťte na základě samotné zprávy. Případné clo u České pošty uhradíte při doručení nebo přes ověřený formulář na postaonline.cz, k němuž se dostanete sami, ne z odkazu v SMS.
4. Zprávu nahlaste a smažte. Jak na to, popisujeme níže.

Klikli jste a zadali údaje? Postupujte takto

Když už se to stalo, rozhoduje rychlost. Čím dřív zareagujete, tím menší škoda hrozí.

• Okamžitě volejte do banky a nechte si zablokovat kartu. Banky mají nonstop linku právě pro tyhle případy a najdete ji na zadní straně karty.
• Změňte hesla ke všem účtům, kam jste je mohli prozradit, a pokud ho ještě nemáte, zapněte dvoufaktorové ověření.
• Sledujte pohyby na účtu a případné neznámé platby ihned reklamujte.
• Nahlaste incident Policii České republiky. Při finanční škodě podejte oznámení na kterékoli služebně, v akutní situaci volejte tísňovou linku 158.

Kam podvod nahlásit

Nahlášení má smysl i tehdy, když jste na nic neklikli. Operátoři díky němu umí podobné zprávy plošně blokovat a chrání tím ostatní.

• Linka 7726. Podezřelou SMS přepošlete na bezplatné číslo 7726, které v Česku společně provozují mobilní operátoři právě pro hlášení podvodných zpráv. Důležité je zprávu opravdu přeposlat, snímek obrazovky nestačí. Číslo si snadno zapamatujete, na klávesnici telefonu odpovídá slovu SPAM.
• Vaše banka. Když se podvod týkal platby nebo bankovnictví, nahlaste ho i bance. Většina má pro to vlastní e-mailovou adresu nebo linku.
• Policie České republiky. Pokud jste přišli o peníze nebo prozradili citlivé údaje, obraťte se na policii, v akutní situaci na linku 158.

Falešné SMS budou chodit dál, protože jsou pro podvodníky levné a občas se trefí. Vaše obrana ale nestojí na žádné technice, stojí na jednom návyku: než na cokoli kliknete nebo zaplatíte, zastavte se a ověřte si to u zdroje, který znáte. Ten jediný krok vás ochrání líp než jakákoli aplikace.

Často kladené otázky

Je nebezpečné podvodnou SMS jen otevřít a přečíst?

Samotné přečtení zprávy vás neohrozí. Riziko začíná až ve chvíli, kdy kliknete na odkaz a na podvržené stránce zadáte své údaje nebo zaplatíte. Proto zprávu v klidu přečtěte, vyhodnoťte a pak smažte, jen na nic neklikejte.

Jak poznám pravou výzvu k zaplacení cla od podvodné?

I pravý dopravce vám může kvůli clu poslat SMS nebo e-mail s odkazem, takže samotný odkaz nic nedokazuje. Rozhoduje, kam vede: pravá výzva míří na oficiální adresu dopravce (u České pošty postaonline.cz), podvodná na napodobenou stránku. Nejjistější je na odkaz neklikat a zásilku si dohledat sami v aplikaci nebo na webu dopravce.

Co znamená číslo 7726 a kolik stojí?

Je to bezplatná linka, kterou v Česku provozují mobilní operátoři pro hlášení podvodných SMS. Podezřelou zprávu na ni jednoduše přepošlete. Přeposlání je zdarma a pomůže operátorům podobné útoky blokovat.

Prozradil jsem čísla z karty. Co mám udělat jako první?

Okamžitě zavolejte do své banky a nechte si kartu zablokovat. Linku najdete na zadní straně karty a funguje nonstop. Potom změňte hesla, sledujte pohyby na účtu a při finanční škodě se obraťte na Policii České republiky.

Proč podvodných SMS přibývá hlavně na konci roku?

Protože lidé v období vánočních nákupů čekají víc zásilek a snáz uvěří, že jde o jejich balík. Podvodník nemusí nic vědět o vás, stačí mu trefit se do doby, kdy opravdu nějaký balík očekáváte.