Zacznij od ustalenia, w którym z trzech stanów jesteś
Kod QR na paczce, której się nie spodziewałeś — od tajemniczego nadawcy, z etykietą „zwrot” lub „ponowna dostawa”, z prośbą o potwierdzenie adresu — to link, o który nie prosiłeś. Przydatne pytanie nie brzmi „czy ta paczka jest prawdziwa?”, ale „jak daleko ten kod dotarł do moich kont?”.
Skorzystaj z tej tabeli, aby ustalić swój stan, zanim cokolwiek zrobisz.
| Stan | Co się stało | Co zrobić najpierw |
|---|---|---|
| A. Nieotwarty | Masz paczkę lub etykietę, ale nie zeskanowałeś kodu | Nie skanuj go, żeby „zobaczyć, co to jest”. Zachowaj opakowanie i zanotuj tekst nadawcy, datę oraz oznaczenia przewoźnika |
| B. Tylko zeskanowany | Kod otworzył stronę lub monit aplikacji, ale nie wpisałeś hasła, kodu ani numeru karty | Zamknij stronę. Nic nie wpisuj. Sprawdź konto, które strona rzekomo reprezentowała, przez jego oficjalną aplikację lub zakładkę, którą już masz |
| C. Dane logowania wpisane | Po zeskanowaniu wpisałeś hasło, kod jednorazowy, numer karty lub inne dane logowania | Traktuj konto jako ujawnione i przejdź do kroków odzyskiwania poniżej |
Nie skanuj kodu na próbę, nawet na zapasowym urządzeniu. Skanowanie to dokładnie ten krok, który ładuje stronę.
Stan A: kod wciąż niezeskanowany
Nie musisz ustalać nadawcy, żeby się chronić. Musisz unikać korzystania z wydrukowanej trasy.
- Nie skanuj kodu i nie otwieraj żadnego krótkiego linku wydrukowanego obok.
- Zachowaj opakowanie i etykietę. Sfotografuj etykietę, wiersz nadawcy i ewentualny numer śledzenia. To dla twoich własnych notatek, nie dowód, że nadawca jest legalny.
- Sprawdź, czy nie oczekujesz dostawy, którą faktycznie zamówiłeś. Skorzystaj z aplikacji przewoźnika lub sprzedawcy albo ze strony, do której sam przejdziesz — nie z numeru telefonu ani linku na etykiecie.
- Jeśli paczka jest naprawdę nieoczekiwana i nie możesz jej przypisać do zamówienia, traktuj ją jako niezamówioną. Co możesz z nią zrobić, zależy od kraju, w którym mieszkasz; ten artykuł nie udziela porad prawnych dla żadnego kraju.
- Zgłoś to, jeśli chcesz. W USA FTC publikuje porady dla konsumentów dotyczące oszukańczych SMS-ów i paczek. Ścieżki zgłaszania różnią się w zależności od kraju, więc skorzystaj z lokalnego organu ochrony konsumentów, zamiast zakładać, że obowiązuje procedura z USA.
Paczka, która przychodzi bez pasującego zamówienia, nie jest automatycznie przestępstwem, a kod QR nie jest automatycznie złośliwy. Chodzi o to, że nie da się tego stwierdzić wyłącznie na podstawie etykiety, więc nie musisz podejmować ryzyka, żeby się dowiedzieć.
FTC ostrzega, że kod QR na nieoczekiwanej paczce może prowadzić do strony phishingowej, która wykrada dane logowania lub płatności, albo do złośliwego oprogramowania. Źródło
Stan B: zeskanowany, ale nic nie wpisano
Jeśli kod otworzył stronę, a ty zatrzymałeś się przed wpisaniem czegokolwiek, twoim głównym zadaniem jest potwierdzenie rzeczywistego stanu konta przez trasę, którą kontrolujesz.
- Zamknij stronę lub monit aplikacji. Nie „loguj się, żeby anulować” ani nie „potwierdzaj dostawy” na stronie, którą otworzył kod.
- Otwórz oficjalną aplikację usługi albo wpisz jej adres samodzielnie w nowej karcie przeglądarki. Nie używaj ponownie linku ze skanowania.
- Sprawdź, czy rzekome zdarzenie istnieje. Jeśli strona twierdziła, że paczka jest wstrzymana, poszukaj tego samego powiadomienia w obszarze konta przewoźnika lub sprzedawcy. Jeśli nic tam nie ma, strona nie była prawdziwym powiadomieniem.
- Nie instaluj niczego, co oferuje strona. Monit o instalację aplikacji z kodu QR na paczce nie jest wymogiem dostawy, który możesz zweryfikować.
- Zapisz, o co prosiła strona — hasło, numer karty, kod jednorazowy, opłatę za dostawę — żeby móc to dokładnie opisać, jeśli będziesz zgłaszać.
Samo zeskanowanie nie dowodzi, że ktoś uzyskał dostęp do twoich kont. Ryzyko w tym stanie polega na tym, co zrobisz dalej, więc bezpiecznym następnym krokiem jest zaprzestanie korzystania z wydrukowanej trasy.
Stan C: dane logowania zostały wpisane
To stan, który wymaga działania, a kolejność ma znaczenie.
Jeśli po zeskanowaniu takiego kodu wpisano dane logowania do konta, FTC zaleca zmianę hasła i włączenie uwierzytelniania dwuskładnikowego. Źródło
Wykonaj te kroki po kolei, korzystając z aplikacji danego konta lub strony, do której sam przejdziesz:
- Zmień hasło w oficjalnej aplikacji lub na stronie, a nie na stronie, którą otworzył kod.
- Włącz uwierzytelnianie dwuskładnikowe, jeśli jeszcze nie jest włączone. Jeśli konto to oferuje, preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS-a.
- Zmień to samo hasło wszędzie, gdzie go używałeś ponownie. Hasło wpisane na stronie phishingowej należy traktować jako znane komuś innemu.
- Jeśli wpisałeś dane karty lub banku, skontaktuj się z wydawcą karty lub bankiem, korzystając z numeru na karcie lub z oficjalnej aplikacji. Nie używaj numeru ani linku z paczki lub zeskanowanej strony. Ten artykuł nie obiecuje, że płatność można cofnąć.
- Zachowaj dostęp do metody odzyskiwania, dopóki nie skończysz. Nie usuwaj swojego adresu e-mail, numeru telefonu ani kodów odzyskiwania, zanim zmiana hasła i konfiguracja dwuskładnikowa nie zostaną potwierdzone jako działające — w przeciwnym razie możesz zablokować sobie dostęp do konta.
- Przejrzyj ostatnią aktywność konta w oficjalnej aplikacji: lokalizacje logowania, połączone aplikacje, reguły przekazywania i metody płatności. Cofnij wszystko, czego nie rozpoznajesz.
Usunięcie połączenia logowania lub edycja profilu to nie to samo co usunięcie przechowywanych danych. Jeśli całkowicie zamykasz konto, postępuj zgodnie z procesem zamykania u dostawcy i zachowaj działającą metodę odzyskiwania, dopóki zamknięcie nie zostanie potwierdzone.
Korzystaj ze znanych tras do konta, a nie z wydrukowanego kodu
Etykieta paczki może zawierać dowolny adres, numer telefonu lub kod QR. Nie może dowieść, kto jest właścicielem celu. W przypadku każdej decyzji dotyczącej konta — resetowania hasła, potwierdzenia dostawy, płatności, zwrotu — zacznij od trasy, której już ufasz:
| Zadanie | Zaufany punkt wyjścia |
|---|---|
| Potwierdzenie dostawy | Aplikacja przewoźnika lub sprzedawcy albo adres, który sam wpiszesz |
| Resetowanie hasła | Oficjalna aplikacja lub strona usługi albo jej udokumentowany proces odzyskiwania konta |
| Sprawdzenie płatności | Aplikacja banku lub wydawcy karty albo numer na karcie |
| Zgłoszenie podejrzanej wiadomości | Lokalny organ ochrony konsumentów; w USA opublikowane wytyczne FTC |
Jeśli wiadomość twierdzi, że pochodzi z konta wsparcia, i prosi o przeniesienie rozmowy do aplikacji czatu lub o „weryfikację” przez zalogowanie się, obowiązuje ta sama zasada: potwierdź przez własną aplikację usługi. W tej osobnej sytuacji zobacz sprawdzanie fałszywych kont społecznościowych wsparcia klienta.
Publiczne dopasowanie nazwy użytkownika to trop, a nie dowód własności. Jeśli próbujesz ustalić, kto stoi za nickiem, który się z tobą skontaktował, wyszukiwanie nazwy użytkownika, takie jak TraceSeek, może pokazać, gdzie dany nick występuje na 3 000+ platformach, ale nie zmienia ustawień konta, nie wydaje kodów odzyskiwania, nie odzyskuje pieniędzy ani nie weryfikuje prawdziwej tożsamości.
Czego nie należy wnioskować
- Nie każde zeskanowanie kodu QR instaluje złośliwe oprogramowanie. FTC opisuje phishing i złośliwe oprogramowanie jako możliwe skutki; nie twierdzi, że każdy skan powoduje którykolwiek z nich.
- Zeskanowana strona, która wyglądała na prawdziwą, nie jest dowodem, że była prawdziwa. Sprawdź rzekome zdarzenie w aplikacji samej usługi.
- Paczka bez pasującego zamówienia nie identyfikuje nadawcy. Nie traktuj nazwiska ani adresu zwrotnego na etykiecie jako zweryfikowanych.
- Zasady dotyczące niezamówionych towarów różnią się w zależności od kraju. Ten artykuł nie rozciąga żadnej krajowej zasady na inne rynki.
- Zmiana hasła nie gwarantuje odzyskania konta. Zmniejsza ekspozycję; to, czy konto lub płatność zostaną przywrócone, zależy od dostawcy.
Krótka lista kontrolna do skopiowania
Wypełnij ją, zanim zaczniesz działać, żeby nie musieć później odtwarzać faktów:
- Stan: A / B / C
- Data i godzina skanowania (jeśli dotyczy):
- Za co podawała się strona lub monit (przewoźnik, sprzedawca, bank, inne):
- O co proszono (hasło / kod jednorazowy / numer karty / opłata / instalacja aplikacji):
- Co wpisałeś, jeśli w ogóle:
- Dotknięte konta:
- Hasło zmienione: tak / nie — w oficjalnej aplikacji lub na stronie: tak / nie
- Dwuskładnikowe włączone: tak / nie
- Metoda odzyskiwania wciąż dostępna: tak / nie
- Wydawca karty powiadomiony (jeśli wpisano dane karty): tak / nie
- Zgłoszono do (lokalny organ, przewoźnik, sprzedawca):
Gdy skończysz, przydatnym następnym krokiem jest potwierdzenie każdego dotkniętego konta w jego własnej aplikacji: hasło zmienione, dwuskładnikowe włączone, metoda odzyskiwania działa, brak nierozpoznanych sesji lub połączonych aplikacji.