Biaya Bea Cukai $1.99 Adalah Cara Termurah untuk Mencuri Seluruh Kartumu

Dua dolar. Itulah harga kepercayaanmu, dan para penipu tahu bahwa itu sangat murah.

Inilah teks yang mungkin pernah kamu terima: paketmu terjebak di bea cukai, atau pengiriman ulang gagal, dan ada biaya kecil untuk melepasnya — $1.99, £2.99, suatu angka yang terasa sepele. Ketuk tautannya, masukkan kartumu, dan paket akan segera dalam perjalanan. Kecuali tidak ada paket. Tidak ada biaya. Ada hanya formulir, dan formulir adalah seluruh kejahatannya.

Kecanggihan angka kecil adalah bahwa itu melumpuhkan bagian otakmu yang mencium tipuan. Tidak ada orang yang membayangkan perusahaan kriminal yang dibangun di sekitar pengumpulan $1.99. Terasa terlalu sepele untuk repot-repot memalsukan. Insting itu adalah kerentanan yang sedang dieksploitasi. Dua dolar itu hanya sandiwara. Apa yang benar-benar diinginkan para penjahat adalah apa yang kamu ketik di layar berikutnya: nomor kartu lengkap, tanggal kadaluarsa, CVV, dan semakin sering nama, alamat, dan kode sandi sekali pakai yang akan kamu kirimkan dengan senang hati saat bankmu mengirim pesan teks untuk "memverifikasi."

Skala di sini tidak kecil. Data Consumer Sentinel dari FTC menunjukkan laporan penipuan berbasis teks meledak, dengan konsumen melaporkan kerugian sekitar $470 juta akibat pesan scam dalam satu tahun — dan pemberitahuan paket palsu dan pengiriman secara konsisten termasuk di antara pembuka yang paling dilaporkan. Itu bukan $1.99 pada satu waktu. Itu kartu yang dikuras habis, dijual kembali di forum carding, dan dijalankan melalui pencucian kartu hadiah sebelum kamu selesai minum kopimu.

Tanda pengenalnya ada pada siapa yang bertanya, dan bagaimana caranya

USPS mengeluarkan peringatan konsumen yang jelas tentang skema persis ini, dan itu mengatakan hal yang jarang diucapkan dengan keras: Layanan Pos tidak mengirim pesan teks yang meminta informasi pribadi atau pembayaran untuk mengirim ulang paket. Royal Mail mengatakan hal yang sama. UPS, FedEx, DHL — sama saja. Tidak satupun dari mereka mengumpulkan biaya pengiriman atau bea cukai melalui tautan dalam pesan teks.

Poin terakhir itu adalah yang perlu kamu ingat. Biaya bea cukai yang sebenarnya, ketika ada, ditangani oleh kurir di pintu, melalui aplikasi resmi mereka yang sudah kamu pasang, atau di halaman pembayaran yang kamu akses dengan mengetik alamatnya sendiri. Biaya itu tidak dikumpulkan oleh pesan SMS orang asing pada pukul 9 malam dengan tautan pendek dan nada mendesak.

Lihat tautannya dan petunjuk akan bertambah banyak. Domainnya tidak pernah usps.com atau royalmail.com. Ini adalah tiruan yang dipenuhi dengan nama merek sebagai subdomain — sesuatu seperti usps-trackfee.help atau alamat .top/.xyz mentah. Kurir nyata menggunakan domainnya sendiri. Jika pengirimnya adalah alamat Gmail acak atau nomor telepon dari negara tempat kamu tidak pernah memesan apa pun, itulah suara topeng terlepas.

Mengapa email mengajarkan pelajaran yang sama

Gelombang smishing bergema dengan email phishing yang sudah kamu kenal. Dalam email kita bisa memeriksa sistem — apakah pesan lulus SPF, DKIM, dan DMARC, tiga pemeriksaan yang membuktikan pengirim benar-benar siapa yang mereka klaim. Catatan yang mengatakan itu dari FedEx tetapi gagal DMARC adalah seseorang yang mengenakan jaket pinjaman. SMS melucuti semua itu. Tidak ada header untuk diperiksa, tidak ada autentikasi untuk gagal, hanya kalimat dan tautan. Itulah tepatnya mengapa penjahat menyukainya — media ini menyembunyikan bukti.

Jadi perlakukan setiap pesan teks pengiriman yang tidak terduga sebagai fiksi sampai terbukti sebaliknya. Jangan ketuk. Buka aplikasi kurir yang sebenarnya atau ketik alamatnya dengan tangan. Jika kamu benar-benar menunggu sesuatu, kamu akan menemukan kebenaran di sana dalam sepuluh detik.

Dan jika kamu sudah mengetikkan kartumu ke salah satu dari ini? Hubungi bankmu sekarang, bukan besok. Satu-satunya hal yang benar dari scam itu adalah uangmu — dan para penjahat mengandalkan kamu merasa terlalu malu karena $1.99 untuk bertindak cepat.