De $2,99, der afsløre en leveringssvindel

Der findes en enkelt linje begravet i næsten hver falsk leveringsbesked, og når du først ser den, kan du ikke se det bort fra den: et lille gebyr for at frigøre din pakke. To dollar. Måske tre. Et "genleverings-gebyr" eller en "ubetalt fraktjustering" så triviel, at du ville betale det uden at tænke dig om. Det er meningen. Svindelen er ikke bygget til at tage dine $2,99. Den er bygget til at tage det kortnummer, du indtaster for at betale det.

Dette er leveringssvindelsæson, og den kører efter en kalender. Anti-Phishing Working Group har i årevis sporet, at phishing-volumen stiger ind i fjerde kvartal, hvor logistik- og fraktmærker er blandt de mest-forfalsede kategorier — præcis når alle forventer en pakke fra nogen. U.S. Postal Service har udsendt gentagne advarsler om "smishing"-tekster, der udgiver sig for at være USPS-sporingstekster, og Storbritanniens Royal Mail har gjort det samme, med advarsler til kunderne om falske "gebyr forfalden"-beskeder, der påstår, at en pakke sidder fast. Forskellige lande, identisk script.

E-mailen og teksten er samme spilleplan i forskellige klude. Tekstversionen: et kort link, et sporingsnummer, der ser plausibelt ud, "USPS: din pakke holdes tilbage på grund af et $1,99-gebyr." E-mailversionen: en fraktmand-logo hentet fra det rigtige websted, en falsk leveringsfejlmelding, en knap, der siger Omlæg leveringen eller Betal toldsgebyr. Begge leder dig til en side, der beder om dit navn, adresse og et kort til at dække gebyret. Nogle går længere og beder om en "verifikations"-kode, der faktisk er bankens engangskode.

Her er detaljerne, der sprænger begge ad gangen. Legitime fraktmænd opkræver ikke gebyr for at genlevere en pakke, og de indsender ikke gebyret gennem et link i en tekst eller e-mail. USPS genleverer gratis — du planlægger det på usps.com, ingen kort påkrævet. UPS og FedEx genleverer mislykkede leveringer uden beregning. Den eneste virkelige undtagelse er ægte told på en international forsendelse, og selv da regner fraktmanden dig gennem din konto eller en dokumenteret faktura, ikke en samme-dag-SMS med nedtælling. Så reglen er næsten fornærmende simpel: en leveringsbesked, der beder dig betale et gebyr via link, er en svindel. Punktum. Du behøver ikke undersøge noget andet.

Men hvis du gerne vil bekræfte det, er de tekniske tegn netop der. Hold over afsenderen på en rigtig computer, og "USPS"-e-mailen kommer fra et kompromitteret marketingdomæne, ikke usps.com. Linkteksten siger én ting og peger på noget tredje. Og autentificeringen svigter stilfærdigt — et forfalsk afsenderdomæne vil ikke bestå DMARC, hvilket er grunden til, at en AI-inbox kan markere disse, før du nogensinde læser ordet "gebyr". Det er det meste af det, vi gør på xmail, når en fraktmand-formet besked ankommer: kontrollere, om domænet faktisk har ret til at sende som det mærke, derefter søge efter mønsteret betalingslink-plus-smågebyr.

Federal Trade Commission's data bakker op om, hvorfor det lille tal virker. I 2023 rapporterede forbrugere et mediantal på $800 i tab på tekstbaserede svindler generelt, men leveringsvarianten blomstrer netop fordi anmodningen føles for lille til at være et bankrøveri. Folk, der ville le ad en "$5.000 bankoverførings"-e-mail, vil indtaste et kortnummer for at befri en hoodie.

Hvis en tekst eller e-mail siger, at din pakke sidder fast, og penge vil frigøre den, skal du lukke den. Gå til fraktmanden's rigtige websted og indsæt dit sporingsnummer selv. Pakken, hvis den findes, har det fint. Dit kort er det, der faktisk er i transit.