ה-$2.99 שגורם לך לדעת שהודעת משלוח היא הונאה

יש שורה אחת שקבורה כמעט בכל הודעת משלוח מזויפת, וברגע שאתה רואה אותה אתה לא יכול להשכוח אותה: דמי קטנים לשחרור החבילה שלך. שני דולרים. אולי שלושה. "דמי הובלה חוזרת" או "התאמת משלוח לא משולמת" כל כך טריוויאליים שהיית נותן עליהם בלי לחשוב. זו כל הנקודה. ההונאה לא בנויה כדי לקחת את ה-$2.99 שלך. היא בנויה כדי לקחת את מספר הכרטיס שאתה מקליד כדי לשלם עבורו.

זה עונת הונאות משלוח, והיא פועלת לפי לוח שנה. קבוצת עבודה נגד דיוג (Anti-Phishing Working Group) עקבה אחר עלייה בנפח דיוג למרבע הרביעי במשך שנים, כאשר מותגי לוג וספנות בין הקטגוריות המזויפות ביותר — בדיוק כשכולם מצפים לקופסה מישהו. השירות הדואר של ארצות הברית (U.S. Postal Service) הוציא עדכונים חוזרים ונשנים בנוגע לטקסטים "smishing" המתחזים ל-USPS tracking, והחברה Royal Mail של בריטניה עשתה כנ"ל, והזהירה את הלקוחות בנוגע להודעות מזויפות של "דמי חזקה" הטוענות שחבילה תקועה. מדינות שונות, תסריט זהה.

האימייל וההודעה הטקסטית הם אותו תסריט בלובש בגדים שונים. גרסת הטקסט: קישור קצר, מספר ניתוב שנראה סביר, "USPS: החבילה שלך בהמתנה בגלל דמי $1.99". גרסת האימייל: לוגו של חברת הובלה שנלקח מהאתר האמיתי, הודעה מזויפת של כשל משלוח, כפתור שאומר Reschedule Delivery או Pay Customs Fee. שניהם מובילים אותך לעמוד שמבקש את השם, הכתובת וכרטיס שלך כדי לכסות את הדמים. חלקם הולכים רחוק יותר וביקשו קוד "אימות" שהוא בעצם קוד חד-פעמי של הבנק שלך.

הנה הפרט שמשבר את שניהם בבת אחת. חברות הובלה לגיטימיות לא גובות ממך דמים להובלה חוזרת של חבילה, והן לא אוספות את הדמים האלה דרך קישור בהודעה טקסטית או אימייל. USPS מובילה חוזרת בחינם — אתה מתזמן זאת ב-usps.com, לא נדרש כרטיס. UPS ו-FedEx מובילים חוזרים כשלים בהובלה ללא תשלום. החריג האמיתי היחיד הוא זקיפת מכס אמיתית בנושא משלוח בינלאומי, וגם אז החברה חוקת אותך דרך החשבון שלך או חשבוניות תיעוד, לא SMS באותו יום עם ספירת לאחור. אז הכלל כמעט מעליב בפשטותו: הודעת משלוח שמבקשת ממך לשלם דמים דרך קישור היא הונאה. נקודה. אתה לא צריך לבדוק שום דבר אחר.

אבל אם אתה רוצה לאשר, הסימנים הטכניים נמצאים שם. תלוש את השולח במחשב אמיתי והאימייל "USPS" מגיע מתחום שיווק לא בטוח כלשהו, לא מ-usps.com. טקסט הקישור אומר דבר אחד והוא מצביע למקום אחר. ואימות נכשל בשקט — דומיין שולח מזויף לא יעבור DMARC, וזו הסיבה שתיבת דואר של AI יכולה לסמן את אלה לפני שאתה קורא אי פעם את המילה "דמי". זה רוב מה שאנחנו עושים ב-xmail כאשר הודעה בצורת נושא הובלה מגיעה: בדיקה האם לתחום יש בעצם את ההיתר לשלוח כמותו של המותג ההוא, ואז חיפוש אחר דפוס הקישור לתשלום בתוספת דמי זעיר.

הנתונים של הנציבות הפדרלית בענייני סחר (Federal Trade Commission) גבוקים למה המספר הקטן עובד. בשנת 2023, צרכנים דיווחו על הפסד חציוני של $800 בהונאות מבוססות טקסט בהיקף רחב, אבל הטיפוס שלנו של משלוח משגשג בדיוק כי הבקשה מרגישה קטנה מכדי להיות שודד. אנשים שיצחקו על אימייל "העברת חוט $5,000" יקלדו מספר כרטיס כדי לשחרר סווטשירט.

אם הודעה טקסטית או אימייל אומרים שהחבילה שלך תקועה והכסף ישחרר אותה, סגור אותה. עבור לאתר האמיתי של חברת ההובלה והדבק את מספר הניתוב שלך בעצמך. החבילה, אם היא קיימת, בסדר. הכרטיס שלך הוא הדבר שנמצא בטרנזיט.