SMS o opłacie celnej za paczkę? Tak wygląda prawdziwe cło, a tak oszustwo podszywające się pod Pocztę Polską

Fałszywa dopłata celna do przesyłki: co ustalił CERT Poczty Polskiej

Według PAP, który 16 października powołał się na ostrzeżenie spółki, przestępcy rozsyłali wiadomości o „rzekomej konieczności dopłaty celnej do przesyłki”. Link prowadził na fałszywą stronę, a cel był prosty: „wyłudzenie danych kart płatniczych i danych osobowych”. Poczta informuje, że domena została zgłoszona do CERT Polska i do rejestratora i już nie działa. Zastrzega przy tym, że „podobne kampanie pojawiają się regularnie i wykorzystują nowe adresy internetowe”. Treści samych SMS-ów ani adresu strony w ostrzeżeniu nie podano.

Schemat jest znany od lat. Pisaliśmy już choćby o fali wiadomości, którą sami dostaliśmy w redakcji, czyli o SMS z Pocztexu. Zmienia się tylko pretekst. Kiedyś był to brak adresu albo niedopłata za doręczenie, teraz jest cło.

Dlaczego akurat cło jest teraz idealną przynętą

Rok 2026 to faktycznie przełom dla kupujących na azjatyckich platformach. Od 1 lipca przesyłki o wartości do 150 euro straciły zwolnienie z cła. Jak podaje Ministerstwo Finansów, w ich miejsce wprowadzono tymczasową stawkę 3 euro za pozycję w przesyłce, która ma obowiązywać do 1 lipca 2028 r. Unia dyskutowała o tym od dawna, a zapowiadany koniec tanich zakupów na Temu i Shein stał się w ten sposób faktem.

VAT od takich paczek płacimy zresztą już od 1 lipca 2021 r., kiedy zniknęło zwolnienie dla przesyłek do 22 euro. Skoro w mediach od miesięcy mówi się o nowych opłatach, krótka wiadomość o kilku złotych dopłaty nikogo nie dziwi. Na tym właśnie opiera się cały pomysł.

Jak naprawdę płaci się cło i VAT za paczkę spoza UE

Przy zamówieniach z dużych platform sprzedażowych VAT jest zwykle rozliczany w procedurze IOSS. Kupujący płaci go od razu w cenie przy kasie, a paczka przechodzi przez odprawę bez dodatkowego pobrania od odbiorcy. Kiedy sprzedawca z IOSS nie korzysta, przesyłka trafia do zgłoszenia celnego. W przypadku paczek pocztowych zajmuje się tym Poczta Polska, a kwotę do zapłaty wylicza Krajowa Administracja Skarbowa. Spółka tłumaczyła przy okazji zmian z 2021 r., że jest zobowiązana pobrać wskazaną przez KAS należność od adresata przy doręczeniu. Płaci się listonoszowi, kurierowi z terminalem albo w placówce, a do kwoty podatku dochodzi opłata pocztowa za czynności związane ze zgłoszeniem celnym.

W praktyce oznacza to, że prawdziwa należność jest powiązana z konkretną przesyłką, którą ktoś faktycznie zamówił, i z jej numerem. Status paczki da się samodzielnie sprawdzić w oficjalnym serwisie śledzenia przesyłek Poczty Polskiej, bez klikania w cokolwiek, co przyszło SMS-em.

Sygnały ostrzegawcze w wiadomości o dopłacie

Poczta Polska wymienia kilka cech, które powinny zapalić lampkę. Są to:

Do tego dochodzi adres strony. Spółka zaleca, by przed kliknięciem sprawdzić pełny adres, a najlepiej w ogóle nie korzystać z linku i zweryfikować sprawę na oficjalnej stronie lub infolinii. Oszuści nie ograniczają się przy tym do SMS-ów. „W takiej sytuacji należy zakończyć rozmowę, nie oddzwaniać na numer, z którego wykonano połączenie i samodzielnie zadzwonić na oficjalną infolinię Poczty Polskiej: 801 333 444 lub (+48) 43 842 06 00” radzi Tomasz Zawisza, dyrektor Departamentu Cyberbezpieczeństwa i Standardów IT Poczty Polskiej, odnosząc się do telefonów od rzekomych pracowników spółki. Poczta podkreśla, że jej pracownicy nie proszą o PESEL, numer dowodu, hasła ani kody.

Podejrzany SMS najlepiej przesłać na numer 8080, który obsługuje CERT Polska. O tym, jak działa nowy numer CERT, pisaliśmy przy okazji jego uruchomienia. Podszywanie się pod Pocztę Polską lub Pocztex można też zgłosić bezpośrednio spółce na adres [email protected]. Wiadomość warto usunąć dopiero po zgłoszeniu.

Co prawo daje ofierze, która już podała dane karty

Kiedy dane karty trafiły na fałszywą stronę, liczy się czas. Pierwszy krok to kontakt z bankiem i zablokowanie lub zastrzeżenie karty oraz dostępu do bankowości elektronicznej, potem zmiana haseł i zawiadomienie policji. Zgłoszenie na policję przyda się nie tylko w postępowaniu karnym, ale też w rozmowie z bankiem.

Zwrot pieniędzy od banku za nieautoryzowaną transakcję

Ustawa o usługach płatniczych jest tu dla konsumenta dość korzystna. Jeżeli doszło do nieautoryzowanej transakcji płatniczej, bank powinien zwrócić jej kwotę niezwłocznie, nie później niż do końca następnego dnia roboczego po zgłoszeniu. Wyjątkiem jest sytuacja, w której bank ma uzasadnione podejrzenie oszustwa i powiadomi o tym organy ścigania. Klient nie odzyska pieniędzy także wtedy, gdy doprowadził do transakcji umyślnie albo przez rażące niedbalstwo.

Banki chętnie sięgają po ten ostatni argument i twierdzą, że wpisanie danych karty na fałszywej stronie to właśnie rażące niedbalstwo. Ciężar udowodnienia tego spoczywa jednak na banku, a sądy wielokrotnie przyznawały rację klientom. Opisywaliśmy już sprawy, w których bank musi oddać pieniądze ukradzione przez cyberprzestępców, bo samo nabranie się na phishing nie przesądza o rażącym niedbalstwie. Sprawa komplikuje się, jeśli ofiara sama zatwierdziła płatność w aplikacji lub kodem BLIK, bo bank może wtedy uznać transakcję za autoryzowaną.

Przy odmowie zwrotu zostaje reklamacja na piśmie, a gdy i ona nie pomoże, wniosek do Rzecznika Finansowego albo pozew. Dlatego zrzut ekranu SMS-a, numer nadawcy i godzinę zdarzenia warto zachować, zanim telefon trafi do kosza z resztą wiadomości.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj