CERT Polska w komunikacie z 20 kwietnia opisał SMS-y podszywające się pod DPD: rzekoma nieudana dostawa prowadziła do fałszywego serwisu żądającego danych kontaktowych i karty za zmianę terminu doręczenia. Dla biura przyjmującego przesyłki płynie stąd konkretna lekcja: zanim użyjesz karty służbowej, potwierdź status dostawy przez oficjalny kanał, poza linkiem z wiadomości.
Wyobraź sobie recepcję, w której trzeba odebrać przesyłkę, a wiadomość o nieudanym doręczeniu proponuje zmianę terminu za drobną dopłatą. Scenariusz jest umowny i służy do przećwiczenia decyzji. Osoba odbierająca SMS ma rozstrzygnąć, czy skorzystać z podanego odnośnika i sięgnąć po kartę służbową. Zatrzymajmy scenariusz właśnie tutaj: jak potwierdzi dostawę, zanim wpisze dane? Ostrzeżenie CERT Polska daje podstawę do sprawdzenia tej decyzji, ale nie mówi, jak zachowali się pracownicy konkretnego biura. Proponujemy wykorzystać je do krótkiej rozmowy między osobą odbierającą przesyłki a osobą odpowiedzialną za używanie firmowej karty. Przedmiotem rozmowy niech będzie droga sprawdzenia statusu paczki oraz zasada postępowania z żądaniem dopłaty.
Zmiana terminu doręczenia była pretekstem do żądania danych
Według CERT Polska w komunikacie z 20 kwietnia 2026 r. wiadomości podszywające się pod DPD informowały o rzekomo nieudanej próbie dostarczenia paczki. Odnośnik kierował do fałszywej strony, gdzie pod pretekstem opłaty za zmianę terminu dostawy żądano danych kontaktowych oraz danych karty płatniczej. Na tym mechanizmie oprzyjmy firmową instrukcję odbioru przesyłek.
Drobna dopłata jest osią tego scenariusza, ale CERT Polska nie podaje jej wysokości. Kwota nie powinna więc wyznaczać granicy, poniżej której można pominąć sprawdzenie wiadomości. Dla posiadacza karty służbowej liczy się, komu przekazuje dane i jak potwierdził potrzebę ich podania. Miejsce na taką kontrolę jest przed wypełnieniem formularza dotyczącego dostawy.
Niska kwota dopłaty nie powinna zwalniać ze sprawdzenia, komu przekazujemy dane firmowej karty.
Instrukcję odbioru paczek sprawdź przy decyzji o dopłacie
Komunikat CERT Polska nie opisuje reakcji odbiorców SMS-ów ani procedur odbioru przesyłek w firmach. Własną instrukcję można sprawdzić na przykładzie scenariusza z recepcji. Poprośmy osobę odbierającą przesyłki o opisanie następnego kroku po otrzymaniu wiadomości o nieudanej dostawie. Odpowiedź powinna wskazywać sposób potwierdzenia statusu poza linkiem z SMS-a.
W ćwiczeniu dotyczącym karty służbowej nie poprzestawajmy na deklaracji ostrożności. Poprośmy o pokazanie, gdzie zapisano oficjalną drogę kontaktu w sprawie przesyłki, oraz o wskazanie osoby, która rozstrzyga wątpliwość dotyczącą dopłaty. Jeśli instrukcja nie zawiera tych informacji, zapiszmy je jako braki do uzupełnienia.
W scenariuszu z recepcji pozostaje jeszcze pytanie: co zrobić, gdy nie można teraz potwierdzić statusu paczki? Bezpiecznym rozwiązaniem jest wstrzymanie podawania danych karty i przekazanie sprawy uzgodnionej osobie. Instrukcja powinna uwzględniać również ten moment: pracownik czeka na wyjaśnienie sprawy, a osoba odpowiedzialna za kartę wie, czego jeszcze nie udało się sprawdzić.
Ryzyko dla karty służbowej wymaga wskazania odpowiedzialności
Z żądania danych karty opisanego przez CERT Polska wynika zarządcze pytanie o to, kto w firmie zatwierdza sposób obsługi dopłat do przesyłek. Taka zasada wymaga uzgodnienia z osobą odpowiedzialną za karty służbowe. Zapis powinien łączyć potwierdzenie dostawy przez oficjalny kanał z decyzją o ewentualnym użyciu karty. Samo uprawnienie do ponoszenia wydatków nie powinno kończyć takiej weryfikacji.
Osoba korzystająca z karty służbowej powinna też wiedzieć, komu zgłosić podanie danych w podejrzanym formularzu. W zgłoszeniu rozróżnijmy otrzymanie SMS-a, wejście na stronę i przekazanie danych. Jeśli pracownik nie pamięta wykonanego kroku, ta niepewność również powinna znaleźć się w opisie. Osoba przyjmująca zgłoszenie nie powinna wymagać, by pracownik ponownie otwierał fałszywy serwis, żeby odtworzyć zdarzenie.
CERT Polska nie podaje strat ani nie potwierdza ujawnienia danych konkretnej karty firmowej. Ryzyko dla niej przedstawiamy jako możliwy skutek zastosowania opisanego schematu w biurze.
Zasada używania karty służbowej powinna wskazywać sposób potwierdzenia dostawy i osobę rozstrzygającą wątpliwości.
Ostrzeżenie CERT Polska daje temat do rozmowy w biurze
Komunikat CERT Polska z 20 kwietnia daje podstawę do przeglądu obsługi przesyłek w polskim biurze. CERT Polska nie podaje liczby odbiorców wiadomości ani pomiaru wzrostu kampanii. Nie wskazuje również, by była wymierzona właśnie w firmy. Ostrzeżenie można wykorzystać w rozmowie z pracownikami odbierającymi paczki i korzystającymi z kart służbowych.
Do informacji o SMS-ach podszywających się pod DPD, opisanych przez CERT Polska, dołączmy firmową instrukcję odbioru przesyłek. Osoba odbierająca paczki powinna móc od razu znaleźć w niej odpowiedź na żądanie dopłaty za zmianę terminu doręczenia.
Co z tym zrobić w poniedziałek
Każdy punkt wykonaj jako krótkie zadanie, do 30 minut. Nieustalone sprawy zapisz wraz z osobą odpowiedzialną za ich uzupełnienie.
- Zapisz drogę sprawdzenia przesyłki. Z osobą odbierającą paczki wskaż oficjalny kanał przewoźnika i sposób dotarcia do niego poza linkiem z SMS-a. Umieść krótką instrukcję w miejscu dostępnym przy obsłudze dostaw.
- Uzgodnij zasadę użycia karty służbowej. Z osobą odpowiedzialną za kartę zapisz, że dopłatę poprzedza potwierdzenie sprawy przez oficjalny kanał. Wskaż kontakt do rozstrzygania wątpliwości oraz przyjmowania informacji o przekazaniu danych.
- Przećwicz wiadomość o nieudanej dostawie. Omów ustnie scenariusz opisany przez CERT Polska, bez otwierania podejrzanych linków. Poproś o wskazanie sposobu weryfikacji paczki i dalszego działania, gdy status pozostaje niepotwierdzony. Zapisz braki w odpowiedziach.
Drobna dopłata nie powinna być argumentem za pominięciem weryfikacji przy użyciu karty służbowej. Zanim jej dane trafią do formularza dotyczącego przesyłki, wymagajmy potwierdzenia sprawy przez oficjalny kanał. Tę zasadę przełóżmy na instrukcję, którą osoba odbierająca paczki potrafi zastosować przy konkretnym SMS-ie.
Źródła
Redakcja cyberinsight.pl.