„Opłata celna 2,99 € do uregulowania" – dlaczego fałszywy SMS o odprawie celnej działa tak skutecznie

« Twoja paczka GLS-FR została zatrzymana w centrum sortowania: opłata za odprawę celną w wysokości 2,99 € pozostaje nieuregulowana. Opłać w ciągu 48 h, aby uniknąć zwrotu do nadawcy: gls-regularisation-fr[.]top »

Martine, 61 lat, z Angers, faktycznie czekała na dwie przesyłki: parę butów zamówionych na jednej z platform handlowych oraz prezent urodzinowy wysłany przez córkę. Zapłaciła 2,99 € bez wahania – kwota była tak śmiesznie niska, że nawet nie zastanowiła się, czy jest uzasadniona. Jedenaście dni później na wyciągu z konta widniały trzy obciążenia po 59,90 € na rzecz „usługi subskrypcyjnej" zarejestrowanej na Cyprze. Te 2,99 € nigdy nie były celem.

W tym tkwi cały geniusz tego oszustwa i dlatego przetrwało ono tyle lat, mimo że wszyscy są przekonani, że je znają: nie próbuje ukraść ci pieniędzy, próbuje sprawić, byś samodzielnie wpisał swoje szesnaście cyfr na klawiaturze. Cena wejścia jest celowo absurdalnie niska, bo absurdalnie niska kwota wyłącza czujność.

Dlaczego paczka to najbardziej opłacalny pretekst we Francji

Statystycznie prawie zawsze na coś czekasz

To fundament całego mechanizmu. Fałszywy SMS o dostawie nie musi znać twoich zamówień – gra na prawdopodobieństwie. Przy ponad 1,5 miliarda paczek dostarczanych co roku we Francji, według danych Arcep dotyczących rynku przesyłek, dorosły użytkownik internetu ma spore szanse mieć przesyłkę w drodze w dowolnym momencie miesiąca – a praktycznie na pewno między październikiem a styczniem.

Oszust wysyła swoją wiadomość na setki tysięcy numerów. Wystarczy mu, że kilka procent odbiorców czeka właśnie na paczkę dokładnie w chwili, gdy SMS dociera. Dla nich wiadomość nie wygląda na oszustwo – wygląda na wyjaśnienie.

Przewoźnik jest nieokreślony, i to celowo

Zauważyłeś zapewne, że te SMS-y rzadko podają właściwego przewoźnika. To dlatego, że w ekosystemie e-commerce nikt tak naprawdę nie wie, kto co dostarcza. Zamawiasz na platformie handlowej, sprzedawca wysyła przez pośrednika, który zleca ostatni kilometr lokalnej firmie, o której nigdy nie słyszałeś. Otrzymanie SMS-a od nieznanego przewoźnika stało się czymś zwyczajnym.

Wykorzystywane nazwy stale się zmieniają: La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri, a od lat 2025–2026 także nazwy całkowicie wymyślone, które brzmią „logistycznie" („EuroParcel", „FR-Logistics", „ColisExpress24"). Nieznana nazwa już cię nie alarmuje. I właśnie o taki efekt chodzi.

Odprawa celna to dla niemal wszystkich strefa niejasności

Od zniesienia zwolnienia z VAT dla małych przesyłek importowanych i europejskich debat o opłatach dla platform pozaunijnych myśl, że „za paczkę z zagranicy trzeba coś zapłacić na cle", zadomowiła się w głowach. I tym razem nie jest to nieprawda: takie opłaty rzeczywiście istnieją.

Francuska administracja celna (DGDDI) przypomina na swojej stronie: cła i podatki od przesyłek z krajów trzecich są pobierane przez przewoźnika lub przez pocztę, w ramach dostawy, nigdy przez SMS z linkiem wysłany przez nieznanego nadawcę. Ale między „to nieprawda" a „to prawdopodobne" oszustowi wystarcza samo prawdopodobieństwo.

Prawdziwy cel: karta płatnicza, nie te 2,99 €

Dlaczego tak mała kwota

Wysoka kwota wywołuje refleksję. Kwota z dwiema cyframi po przecinku wywołuje odruch. Nakładają się tu trzy mechanizmy:

• Kwota poniżej progu bólu. Zapłacenie 2,99 € nic psychologicznie nie „kosztuje": nawet jeśli to pomyłka, nic się nie stało. Mózg wybiera spokój.
• Spójność narracji. Opłata celna w wysokości 300 € za parę butów brzmiałaby fałszywie. 2,99 € to dokładnie tyle, ile mogłaby wynosić wiarygodna opłata administracyjna.
• Płatność jako dowód, że karta żyje. Udana mikrotransakcja potwierdza oszustowi trzy rzeczy: karta jest aktywna, limit dostępny, a właściciel zatwierdza płatności bez dokładnego sprawdzania.

Co naprawdę jest przechwytywane na fałszywej stronie

Formularz płatności to serce całej operacji. Zawsze wymaga więcej, niż potrzebowałaby prawdziwa płatność na 2,99 €:

Żądana dana	Rzeczywiste zastosowanie przez oszusta
16-cyfrowy numer, data ważności, CVV	Płatności online, odsprzedaż „zestawu kartowego"
Imię, nazwisko, pełny adres	Obejście kontroli AVS, wiarygodność kolejnych telefonów
Numer telefonu	Telefon od fałszywego doradcy bankowego w ciągu kilku minut
Bank i dane logowania	Przejęcie kontroli nad kontem klienta
Kod otrzymany SMS-em (3-D Secure)	Zatwierdzenie operacji znacznie większej niż 2,99 €

To właśnie ten ostatni punkt decyduje o różnicy między oszustwem na 3 € a oszustwem na 3 000 €. Strona wyświetla: „Potwierdzenie płatności 2,99 € – wpisz kod otrzymany SMS-em". Kod natomiast został wygenerowany przez twój prawdziwy bank dla operacji, której kwoty nie widzisz: subskrypcji cyklicznej, dodania karty do portfela mobilnego albo zasilenia konta płatniczego.

Trzy możliwe zakończenia po kliknięciu

1. Ukryta subskrypcja. Karta zostaje zapisana do „usługi premium" za 39 €, 49 € lub 59 € miesięcznie, z siedzibą za granicą i regulaminem napisanym mikroskopijną czcionką. Obciążenie pojawia się dopiero po kilku tygodniach.
2. Odsprzedaż zestawu danych. Twoje informacje trafiają na rynek, gdzie kupuje się je w pakietach. Obciążenie może nastąpić wiele miesięcy później, co sprawia, że powiązanie go z SMS-em jest praktycznie niemożliwe.
3. Eskalacja telefoniczna. „Doradca z twojego banku" dzwoni w ciągu 48 h, podaje twoje prawdziwe imię, nazwę twojego prawdziwego banku i wspomina o „podejrzanym obciążeniu na 2,99 €", a następnie nakłania cię do zatwierdzenia przelewów „anulujących". To najkosztowniejszy scenariusz.

Jak rozpoznać fałszywkę w dwanaście sekund

Patrz na domenę, nie na wyświetlaną nazwę

Jedyny element, którego nie da się porządnie sfałszować, to adres strony. Prawdziwi przewoźnicy używają prostych i krótkich domen: laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com. Fałszywe nawarstwiają słowa kluczowe przed egzotycznym rozszerzeniem:

• laposte-colis-suivi-regularisation[.]icu
• chronopost-fr[.]support
• mondialrelay-paiement-securise[.]top
• colissimo[.]fr-tracking[.]cc – tutaj prawdziwa nazwa jest tylko subdomeną, a prawdziwa strona to fr-tracking.cc

Zasada praktyczna: czytaj nazwę domeny od prawej do lewej, począwszy od rozszerzenia. Słowo bezpośrednio przed ostatnią kropką wskazuje rzeczywistego właściciela. Wszystko, co jest po lewej, może mówić cokolwiek.

Numer przesyłki, który niczego nie śledzi

Prawdziwy numer przesyłki można sprawdzić na oficjalnej stronie przewoźnika, wpisując go ręcznie. Oszukańcze SMS-y pokazują numery w przekonująco wyglądającym formacie, ale wymyślone. Wystarczą dwie minuty: samodzielnie otwórz aplikację lub stronę przewoźnika, wklej numer i stwierdź, że nie istnieje. To najbardziej niezawodny test ze wszystkich i nie wymaga żadnych umiejętności technicznych.

Sygnały drugorzędne

• Termin 48 h lub 24 h przed „zwrotem do nadawcy". Przewoźnicy przechowują paczki przez kilka dni i przypominają o nich wieloma kanałami.
• Brak twojego nazwiska. Prawdziwe zawiadomienia o próbie dostawy prawie zawsze je zawierają.
• Nadawca z numerem +33 6 lub +33 7. Przewoźnicy używają numerów skróconych lub nadawców alfanumerycznych, nie prywatnego telefonu komórkowego.
• Żądanie danych karty płatniczej przez SMS, podczas gdy prawdziwe opłaty celne pobiera listonosz, punkt odbioru albo są widoczne na twoim koncie klienta.

W razie wątpliwości nigdy nie klikaj w wiadomości. Zamknij ją, otwórz oficjalną aplikację przewoźnika i sprawdź status swoich przesyłek. Jeśli nic nie jest zablokowane, nie ma za co płacić.

Zmniejsz powierzchnię ataku jeszcze przed pierwszym SMS-em

Karta wirtualna do wszystkiego, co nie jest niezbędne

Większość francuskich banków oferuje dziś jednorazowy lub limitowany numer karty do zakupów online. Konsekwentne używanie takiego numeru przy zamówieniach na nieznanych stronach radykalnie zmienia sytuację: nawet jeśli twoje dane zostaną przechwycone na fałszywej stronie, dwa tygodnie później będą bezwartościowe.

Dla osób, które robią wiele zakupów i tracą nad nimi kontrolę, prowadzony ręcznie zeszyt do śledzenia zamówień często wystarcza, by jednym spojrzeniem stwierdzić, czy naprawdę czeka się na paczkę. To rozwiązanie bardzo proste, ale właśnie na jego brak liczy oszust.

Punkt odbioru zamiast skrzynki na listy

Dostawa do punktu odbioru lub paczkomatu ogranicza liczbę legalnych SMS-ów, które otrzymujesz – a więc i szum, w którym ukrywa się fałszywa wiadomość. Jeśli dostajesz wiele paczek do domu, a nigdy cię tam nie ma, zabezpieczona skrzynka na paczki również ograniczy natrętne „zawiadomienia o próbie dostawy", które służą oszustom za wzór.

Nie czytaj ważnych SMS-ów byle jak

Część pułapki tkwi w samym czytaniu: na pięciocalowym ekranie, w ruchu, adres strony jest obcięty, a oko widzi tylko „laposte". Nawyk sprawdzania wiadomości finansowych na spokojnie, w razie potrzeby z okularami do czytania pod ręką, pozwala uniknąć znacznej części odruchowych kliknięć. Dla seniorów korzystających z telefonu z dużymi klawiszami powiększenie czcionki w ustawieniach dostępności jest najbardziej użytecznym krokiem – link w rozmiarze 20 się czyta, link w rozmiarze 11 się zgaduje.

Zablokuj płatności, nie tylko telefon

Trzy ustawienia, które warto raz na zawsze włączyć w aplikacji swojego banku:

• Natychmiastowe powiadomienie o każdej operacji, nawet na jedno euro;
• Limit płatności online obniżony do tego, czego rzeczywiście potrzebujesz;
• Blokada płatności poza strefą euro, jeśli nie zamawiasz z zagranicy.

Oszustwo, które rozbija się o limit 150 €, nic cię nie kosztuje, nawet jeśli kliknąłeś.

Zapłaciłeś te 2,99 €: co robić

W ciągu godziny

1. Zastrzeż kartę w aplikacji bankowej lub przez międzybankowy serwis pod numerem 0 892 705 705. Zastrzeżenie nie anuluje obciążeń już zrealizowanych, ale zatrzymuje całą resztę.
2. Nie odbieraj żadnych telefonów od osób podających się za twój bank w kolejnych dniach. Odłóż słuchawkę i sam zadzwoń na numer podany na odwrocie karty.
3. Zmień hasło do bankowości internetowej i do skrzynki mailowej, jeśli je wpisywałeś.
4. Zrób zrzuty ekranu SMS-a, adresu strony i wyciągu: to będzie twoja dokumentacja.

W kolejnych dniach

• Zgłoś SMS pod numer 33700, przesyłając go dalej (bezpłatnie, wspólna usługa francuskich operatorów przeciw oszukańczym wiadomościom), a następnie wyślij numer nadawcy, gdy zostaniesz o to poproszony.
• Zgłoś adres strony na platformie Phishing Initiative, a samo oszustwo na cybermalveillance.gouv.fr, gdzie dostępna jest ścieżka pomocy dostosowana do osób prywatnych.
• Złóż zawiadomienie online lub w komisariacie. Artykuł L.133-18 francuskiego kodeksu monetarnego i finansowego przewiduje zwrot nieautoryzowanych operacji płatniczych; bank może jednak powołać się na rażące zaniedbanie, a złożone zawiadomienie ma znaczenie w takiej dyskusji.
• Kontroluj wyciągi przez sześć miesięcy. Ukryte subskrypcje i odroczone obciążenia to prawdziwy rachunek za to oszustwo. Jeśli bank odmawia, zwróć się do rzecznika bankowego, a w razie potrzeby do Banque de France.

A jeśli tylko kliknąłeś, nic nie wpisując?

Ryzyko jest niewielkie, ale niezerowe. Samo kliknięcie linku w smishingu potwierdza przede wszystkim, że twój numer jest aktywny: spodziewaj się nasilenia wiadomości w kolejnych tygodniach. Na Androidzie, jeśli przy tej okazji zainstalowana została aplikacja spoza Play Store, natychmiast ją odinstaluj i sprawdź w ustawieniach uprawnienia dostępu do SMS-ów. Zwykła rada też się tu sprawdza: regularne tworzenie kopii zapasowej danych na szyfrowanym pendrivie pozwala zresetować podejrzany telefon, nie tracąc niczego.

Co to oszustwo mówi o całej reszcie

Fałszywy SMS o odprawie celnej stał się klasykiem, bo opiera się na zasadzie wykraczającej daleko poza paczki: prosić o niewiele, by otrzymać wiele. Spotykamy ją w fałszywych SMS-ach o mandacie na 35 €, w fałszywych odnowieniach karty Vitale za 1 €, w fikcyjnych opłatach za ponowne wysłanie przesyłki za 1,79 €. Za każdym razem mikroskopijna kwota działa jak znieczulenie.

Przeciwdziałanie jest więc kwestią zachowania, nie techniki: należy uznać, że niewielka kwota żądana przez SMS jest bardziej podejrzana niż duża. Oszust, który żąda od ciebie 2 000 €, stawia cię w stan czujności. Ten, który żąda 2,99 €, liczy właśnie na to, że czujności nie włączysz. Odwrócenie tego odruchu to niemal cała praca – a w domach, gdzie kilka osób korzysta ze wspólnej karty lub konta, mały przewodnik po bezpieczeństwie cyfrowym położony obok rodzinnego komputera daje często więcej dobrego niż dziesięć zapomnianych zaleceń.

Resztę można zawrzeć w jednym zdaniu: żadna paczka nie przepada z powodu trzech euro. Jeśli przesyłka naprawdę jest zablokowana, poczeka, aż to sprawdzisz.