$2,99, které vám prozradí, že doručovací SMS je podvod

V téměř každé falešné doručovací zprávě je schován jeden řádek, a jakmile jej uvidíte, už se jej nezbavíte: malý poplatek za uvolnění vašeho balíčku. Dva dolary. Možná tři. „Poplatek za nové doručení" nebo „nevyřešená úprava poštovného" tak zanedbatelný, že byste jej zaplatili bez rozmýšlení. To je právě záměr. Podvod není postaven na tom, aby vám vzal $2,99. Je postaven na tom, aby dostal číslo karty, které si zadáte na jeho zaplacení.

Toto je sezóna doručovacích podvodů a řídí se kalendářem. Pracovní skupina Against Phishing (Anti-Phishing Working Group) již roky sleduje nárůst objemu phishingu ve čtvrtém čtvrtletí, přičemž logistické a přepravní značky patří mezi nejvíce napodobované kategorie — přesně v chvíli, kdy všichni očekávají balíček od někoho. Americká poštovní služba (U.S. Postal Service) vydala opakovaná upozornění na „smishing" — SMS vydávající se za sledování USPS — a britská Royal Mail učinila totéž, varující zákazníky před falešnými zprávami „je splatný poplatek" tvrdícími, že je balík uvězněn. Různé země, totožný scénář.

E-mail a SMS používají stejný playbook v různém oblečení. Verzí SMS: krátký odkaz, číslo sledování, které vypadá věrohodně, „USPS: váš balík je zadržen do zaplacení poplachu $1,99." Verzí e-mailu: logo přepravce stažené z reálného webu, falešné oznámení o neúspěšné doručení, tlačítko s textem Přeplánovat doručení nebo Zaplatit clo. Obě varianty vás nasměrují na stránku, která žádá vaše jméno, adresu a kartu na pokrytí poplatku. Některé jdou dál a žádají „ověřovací" kód, což je ve skutečnosti jednorázový přístupový kód vaší banky.

Tady je detail, který zlomí obě varianty najednou. Legitimní přepravci vám neúčtují poplatek za opakované doručení balíčku a tento poplatek si nechávají přes odkaz v SMS nebo e-mailu. USPS doručuje znovu zdarma — naplánujete si to na usps.com, bez karty. UPS a FedEx doručují neúspěšná doručení znovu bez poplatku. Jedinou skutečnou výjimkou je opravdické clo na mezinárodní zásilku, a i tehdy vám přepravce vystaví účet přes váš účet nebo dokumentovanou fakturu, ne SMS ve stejný den s odpočtem. Pravidlo je tedy téměř hanlivě jednoduché: doručovací zpráva, která vás žádá zaplatit poplatek přes odkaz, je podvod. Konec. Nemusíte kontrolovat nic jiného.

Pokud chcete potvrdit, technické indicie jsou přímo tam. Najeďte myší na odesílatele na skutečném počítači a „USPS" e-mail přichází z nějaké kompromitované marketingové domény, ne z usps.com. Text odkazu říká jednu věc a odkazuje někam jinam. Ověření selže potichu — zfalšovaná doména odesílatele neprůjde DMARC, proto může AI schránka xmail tyto zprávy označit dříve, než vůbec přečtete slovo „poplatek." To je většina toho, co děláme v xmailu, když přijde zpráva podobná přepravci: zkontrolujeme, zda má doména právo odesílat jako tato značka, a pak hledáme kombinaci vzoru platebního odkazu a malého poplatku.

Data Federální obchodní komise (Federal Trade Commission) podkládají, proč malá částka funguje. V roce 2023 spotřebitelé hlásili průměrnou ztrátu $800 na podvodech založených na SMS obecně, ale doručovací varianta vzkvétá právě proto, že žádost vypadá příliš malá na to, aby byla loupeží. Lidé, kteří by se vysmáli e-mailu „převod $5 000" si zadají číslo karty, aby osvobodili mikinu.

Pokud SMS nebo e-mail říká, že váš balík je uvězněn a peníze jej osvobodí, zavřete jej. Jděte na skutečné stránky přepravce a sami si vložte vaše číslo sledování. Balík, pokud existuje, je v pořádku. Vaše karta je to, co se skutečně přepravuje.