۲.۹۹ دلاری که نشان می‌دهد پیام تحویل یک کلاهبرداری است

یک خط واحد در تقریباً هر پیام تحویل جعلی مخفی است، و هنگامی که آن را می‌بینید نمی‌توانید آن را فراموش کنید: یک هزینه کوچک برای آزادسازی بسته‌ی شما. دو دلار. شاید سه دلار. یک "هزینه بازتحویل" یا یک "تنظیم کرایه‌ی پرداخت‌نشده" به قدری ناچیز که بدون فکر آن را پرداخت می‌کنید. همین هدف است. کلاهبرداری برای گرفتن ۲.۹۹ دلار شما ساخته نشده است. برای گرفتن شماره کارتی که برای پرداخت آن تایپ می‌کنید ساخته شده است.

این فصل کلاهبرداری تحویل است، و بر اساس یک تقویم اجرا می‌شود. گروه کاری ضد فیشینگ (Anti-Phishing Working Group) سال‌هاست که حجم فیشینگ را در سه‌ماهه چهارم افزایش می‌یابد ردیابی می‌کند، و برندهای لجستیک و حمل‌ونقل از بیشترین دسته‌های جعل‌شده هستند — دقیقاً زمانی که همه انتظار دارند یک جعبه از کسی برسد. خدمات پستی ایالات متحده (U.S. Postal Service) هشدارهای متعددی در مورد پیام‌های "اسمیشینگ" (smishing) تقلیدی از ردیابی USPS منتشر کرده است، و پست سلطنتی بریتانیا (Royal Mail) نیز همین کار را کرده و مشتریان را درباره‌ی پیام‌های جعلی "هزینه‌ای مستحق است" که ادعا می‌کنند یک بسته گیر کرده است هشدار داده است. کشورهای مختلف، اسکریپت یکسان.

ایمیل و پیامک یک استراتژی یکسان است که با لباس متفاوت است. نسخه‌ی متنی: یک لینک کوتاه، یک شماره ردیابی که قابل‌قبول به نظر می‌رسد، "USPS: بسته‌ی شما در انتظار هزینه‌ی ۱.۹۹ دلار متوقف است." نسخه‌ی ایمیل: یک لوگوی شرکت حمل‌ونقل برداشته‌شده از وب‌سایت واقعی، یک اطلاعیه‌ی ناموفق تحویل جعلی، یک دکمه که می‌گوید زمان‌بندی مجدد تحویل یا پرداخت هزینه‌ی گمرکی. هر دو شما را به صفحه‌ای هدایت می‌کنند که از شما نام، آدرس و کارتی برای پوشش هزینه می‌خواهد. برخی پیش می‌روند و یک کد "تأیید" می‌خواهند که در واقع رمز یکبار مصرف بانک شما است.

جزئیاتی است که هر دو را می‌شکند. شرکت‌های حمل‌ونقل واقعی برای بازتحویل یک بسته هزینه‌ای را شارژ نمی‌کنند و این هزینه را از طریق لینک در یک پیامک یا ایمیل دریافت نمی‌کنند. USPS بازتحویل را به‌صورت رایگان انجام می‌دهد — شما آن را در usps.com زمان‌بندی می‌کنید، بدون نیاز به کارت. UPS و FedEx تحویل‌های ناموفق را بدون هزینه بازتحویل می‌کنند. تنها استثناء واقعی گمرک واقعی برای یک حمل‌ونقل بین‌المللی است، و حتی در این صورت شرکت حمل‌ونقل شما را از طریق حساب یا یک فاکتور مستند صورت‌حساب می‌کند، نه یک SMS روز‌مقابل با شمارش معکوس. پس قانون تقریباً به‌طور توهین‌آمیز ساده است: یک پیام تحویل که از شما می‌خواهد هزینه‌ای را از طریق لینک پرداخت کنید یک کلاهبرداری است. کاملاً. شما نیازی به بررسی چیز دیگری ندارید.

اما اگر می‌خواهید تأیید کنید، نشانه‌های فنی درست آنجا هستند. فرستنده را روی یک کامپیوتر واقعی بپاس کنید و ایمیل "USPS" از یک دامنه‌ی بازاریابی سوءاستفاده‌شده می‌آید، نه usps.com. متن لینک یک چیز می‌گوید و جای دیگری اشاره می‌کند. و احراز هویت بدون سر و صدا شکست می‌خورد — دامنه‌ی فرستنده‌ی جعل‌شده DMARC را عبور نمی‌دهد، به همین دلیل یک صندوق ورودی هوش‌مصنوعی می‌تواند این را قبل از اینکه شما تا کلمه‌ی "هزینه" را بخوانید پرچم‌گذاری کند. این بیشتر کاری است که ما در xmail انجام می‌دهیم هنگامی که یک پیام شبیه‌به شرکت حمل‌ونقل فرود می‌آید: بررسی کنید که آیا دامنه واقعاً حق ارسال به عنوان آن برند را دارد، سپس الگوی لینک پرداخت به علاوه هزینه کوچک را جستجو کنید.

داده‌های کمیسیون تجارت فدرال (Federal Trade Commission) نشان می‌دهد که چرا عدد کوچک کار می‌کند. در ۲۰۲۳، مصرف‌کنندگان زیان میانه‌ای ۸۰۰ دلاری را برای کلاهبرداری‌های مبتنی بر پیامک به‌طور گسترده گزارش کردند، اما انواع تحویل دقیقاً به دلیل اینکه درخواست بیش از حد کوچک به نظر می‌رسد برای اینکه یک سرقت بزرگ باشد رونق می‌گیرند. افرادی که یک ایمیل "انتقال سیمی ۵۰۰۰ دلاری" را می‌خندند شماره‌ی کارتی را برای آزادسازی یک هودی تایپ می‌کنند.

اگر یک پیامک یا ایمیل می‌گوید بسته‌ی شما گیر کرده و پول آن را آزاد می‌کند، آن را ببندید. به سایت واقعی شرکت حمل‌ونقل بروید و شماره‌ی ردیابی خود را خودتان جایگزین کنید. بسته، اگر وجود دارد، خوب است. کارت شما چیزی است که واقعاً در حال انتقال است.

@@END@@