A $2,99-es díj, amely árulkodik arról, hogy egy szállítási szöveg csalás

Szinte minden hamis szállítási üzenetben egy sor van elrejtve, és ha egyszer meglátod, nem tudod már elfelejteni: egy apró díj a csomag felszabadításáért. Két dollár. Lehet, hogy három. Egy „újraszállítási díj" vagy egy „nem fizetett szállítási korrekció", amely annyira jelentéktelen, hogy gondolkodás nélkül át adnád érte. Ez a lényeg. A csalás nem azért készült, hogy a $2,99-edet elvegye. Azért készült, hogy azt a bankkártya-számot elvegye, amelyet beütöl érte.

Ez a szállítási-csalás időszaka, és naptár szerint működik. Az Anti-Phishing Working Group évek óta nyomon követi, hogy a phishing-mennyiség az év negyedik negyedében hogyan emelkedik, a logisztikai és szállítási márkák pedig a leginkább meghamisított kategóriák között vannak — pontosan akkor, amikor mindenki egy dobozra vár valakitől. Az Amerikai Postaszolgálat (U.S. Postal Service) többszöri figyelmeztetést adott ki a USPS-nyomkövetésre utánzó „smishing" szövegekről, és a brit Royal Mail ugyanezt tette, és figyelmeztette az ügyfeleket hamis „díj szükséges" üzenetekről, amelyek azt állítják, hogy egy csomag elakadt. Különböző országok, azonos forgatókönyv.

Az e-mail és az SMS ugyanaz a játékterv, amely különböző ruhákat visel. A szöveg verzió: egy rövid link, egy plausibilis nyomkövetési szám, „USPS: a csomag $1,99 díj függőben van." Az e-mail verzió: egy szállítói logó, amely az igazi webhelyről jól néz ki, egy hamis szállítási-hibaüzenet, egy gomb, amely a Szállítás ütemezése vagy Díj megfizetése szövegeket mondja. Mindkettő egy olyan oldalra irányít téged, amely kéri a nevedet, a címedet és egy bankkártyát a díj fedezésére. Néhány továbblép, és kér egy „ellenőrzési" kódot, amely valójában a bankodon egy egyszeri jelszó.

Íme az a részlet, amely mindkettőt feltöri. A jogos szállítók nem számítanak fel díjat a csomag újraszállításáért, és nem szedik be azt díjat egy szöveg vagy e-mail linkről. Az USPS ingyenesen újraszállít — te ütemezed a usps.com oldalon, bankkártya nélkül. A UPS és a FedEx ingyenesen újraszállítja a sikertelen szállításokat. Az egyetlen valódi kivétel egy nemzetközi szállítmányon lévő valódi vámtarifa, és még akkor is a szállító a számlád vagy egy dokumentált számla keresztül számlázza ki, nem egy ugyannapos SMS-ben számlálóval. Tehát a szabály szinte sértésben egyszerű: egy szállítási üzenet, amely arra kéri, hogy fizetsd meg a díjat linkkel, az egy csalás. Pont. Nem kell semmást megvizsgálnod.

De ha szeretnéd megerősíteni, a technikai bizonyítékok ott vannak. Lebegtesd az egy igazi számítógépen a „USPS" e-mailt, és egy kompromittált marketing-tartományból érkezik, nem a usps.com oldal. A link szövege egyik dolgot mond, de valahova máshova mutat. És az azonosítás hallgatagon meghiúsul — egy hamis feladó-tartomány nem felel meg a DMARC-nak, ezért egy mesterséges intelligencia-postafiók a szó „díj" elolvasása előtt meg tudja jelölni őket. Ez nagyrészt az, amit az xmail cég csinál, amikor egy szállítóhoz hasonló üzenet érkezik: ellenőrzi, hogy a tartomány valóban jogosult az adott márka nevében küldésre, majd megkeresi a fizetési-link-plusz-apró-díj mintát.

Az Federal Trade Commission adatai alátámasztják, hogy az apró szám miért működik. 2023-ban a fogyasztók az SMS-alapú csalások szélesen vett terjedelmében egy medián $800 veszteséget jelentettek, de a szállítási típus pontosan ezért virágzik, mert a kérés túl kicsinek érzékelhető ahhoz, hogy egy nagy rablás legyen. Az emberek, akik legelcsapnának egy „$5000-es átutalási" e-mailt, beütnek egy bankkártya-számot egy pulóver felszabadításáért.

Ha egy szöveg vagy e-mail azt mondja, hogy a csomag elakadt, és a pénz felszabadítja, zárja be. Menj a szállító igazi oldalára, és illeszd be a nyomkövetési számot saját magad által. A csomag, ha létezik, jó. A kártyád az az, ami valójában tranzitban van.