La commissione doganale da $1.99 è il modo più economico per rubare l'intera carta

Due dollari. Questo è il prezzo della tua fiducia, e i truffatori sanno che è un affare.

Ecco il messaggio che probabilmente hai ricevuto: il tuo pacco è bloccato in dogana, o una consegna alternativa è fallita, e c'è una piccola commissione per rilasciarlo — $1.99, £2.99, qualche spicciolo. Tocchi il link, inserisci la carta, e il pacco è di nuovo in viaggio. Tranne che non c'è alcun pacco. Non c'è alcuna commissione. C'è solo il modulo, e il modulo è l'intera rapina.

Il genio del numero piccolo è che disarma la parte del tuo cervello che sente una truffa. Nessuno immagina un'impresa criminale costruita intorno alla raccolta di $1.99. Sembra troppo insignificante per preoccuparsi di falsificare. Questo istinto è esattamente la vulnerabilità che viene sfruttata. I due dollari sono teatro. Quello che i criminali vogliono davvero è quello che digiti nella schermata successiva: numero carta completo, scadenza, CVV, e sempre più spesso un nome, un indirizzo, e un codice monouso che inoltrerai felicemente quando la tua banca ti manderà un messaggio per "verificare".

La scala qui non è piccola. I dati di Consumer Sentinel dell'FTC mostrano che le segnalazioni di frodi basate su testo sono esplose, con i consumatori che hanno segnalato circa $470 million persi a causa di messaggi di truffa in un solo anno — e i falsi avvisi di pacco e consegna sono costantemente tra gli aperti più segnalati. Non è $1.99 alla volta. Sono carte svuotate, rivendute su forum di carding, e passate attraverso riciclatori di gift card prima che tu abbia finito il tuo caffè.

L'indizio sta in chi chiede, e come

USPS ha diffuso un avviso al consumatore chiaro e franco su questo stesso schema, e dice la parte silenziosa a voce alta: il Postal Service non invia messaggi di testo che chiedono informazioni personali o pagamento per riconsegnare un pacco. Royal Mail dice lo stesso. UPS, FedEx, DHL — lo stesso. Nessuno di loro raccoglie una commissione di consegna o dogana attraverso un link in un messaggio di testo.

Questo ultimo punto è quello da tatuarsi da qualche parte. Le vere spese doganali, quando esistono, sono gestite dal corriere alla porta, attraverso la loro app ufficiale che hai già installato, o su una pagina di pagamento a cui sei arrivato digitando l'indirizzo tu stesso. Non vengono raccolte da un SMS di uno sconosciuto alle 9 p.m. con un link abbreviato e un'atmosfera di conto alla rovescia.

Guarda il link e gli indizi si accumulano. Il dominio non è mai usps.com o royalmail.com. È un imitatore pieno del nome del brand come sottodominio — qualcosa come usps-trackfee.help o un indirizzo .top/.xyz puro. I veri corrieri usano il loro dominio. Se il mittente è un indirizzo Gmail casuale o un numero di telefono da un paese da cui non hai mai ordinato, è il suono della maschera che cade.

Perché l'email insegna la stessa lezione

L'ondata di smishing fa rima con l'email di phishing che già conosci. Nell'email riusciamo a controllare gli impianti — se un messaggio ha superato SPF, DKIM, e DMARC, i tre controlli che provano che un mittente è davvero chi sostiene di essere. Una nota che dice che è di FedEx ma fallisce DMARC sta indossando una giacca presa in prestito. L'SMS elimina tutto questo. Non c'è intestazione da ispezionare, nessuna autenticazione da fallire, solo una frase e un link. Questo è esattamente il motivo per cui i criminali lo amano — il medium nasconde le prove.

Quindi tratta ogni messaggio di consegna inaspettato come finzione fino a prova contraria. Non toccare. Apri l'app ufficiale del corriere o digita l'indirizzo a mano. Se stai davvero aspettando qualcosa, troverai la verità lì in dieci secondi.

E se hai già digitato la tua carta in uno di questi? Chiama la tua banca ora, non domani. L'unica cosa che questa truffa ha azzeccato era i tuoi soldi — e i criminali contano sul fatto che sei troppo imbarazzato per $1.99 per muoverti velocemente.