I $2,99 che Ti Dicono che un SMS di Consegna è una Truffa

C'è una sola riga nascosta in quasi ogni messaggio di consegna falso, e una volta che la vedi non puoi più ignorarla: una piccola commissione per liberare il tuo pacco. Due dollari. Magari tre. Una "commissione di riconsegna" o un "adeguamento di spedizione non pagato" così insignificante che la consegneresti senza pensarci. È proprio il punto. La truffa non è costruita per prendere i tuoi $2,99. È costruita per prendere il numero di carta che digiti per pagare.

Questa è la stagione delle truffe di consegna, e segue un calendario. L'Anti-Phishing Working Group ha tracciato il volume di phishing in aumento nel quarto trimestre anno dopo anno, con i marchi di logistica e spedizione tra le categorie più falsificate — esattamente quando tutti si aspettano una scatola da qualcuno. L'U.S. Postal Service ha emesso ripetuti avvisi sul "smishing", SMS che si fingono di essere il tracking USPS, e la Royal Mail britannica ha fatto lo stesso, avvertendo i clienti di messaggi falsi "è dovuta una commissione" che affermano che un pacco è bloccato. Paesi diversi, script identico.

L'email e l'SMS seguono lo stesso copione indossando vestiti diversi. La versione SMS: un link breve, un numero di tracciamento che sembra plausibile, "USPS: il tuo pacco è bloccato in sospeso di una commissione di $1,99". La versione email: un logo del corriere copiato dal sito reale, una falsa notifica di mancata consegna, un pulsante che dice Richeduli Consegna o Paga Commissione Doganale. Entrambi ti indirizzano a una pagina che chiede il tuo nome, indirizzo e una carta per coprire la commissione. Alcuni vanno oltre e chiedono un codice di "verifica" che in realtà è il codice monouso della tua banca.

Ecco il dettaglio che rompe entrambi in una volta. I corrieri legittimi non ti addebitano una commissione per riconsegnare un pacco, e non riscuotono quella commissione attraverso un link in un SMS o email. L'USPS riconsegna gratuitamente — lo pianifichi su usps.com, nessuna carta richiesta. UPS e FedEx riconsegnano le consegne fallite senza costo. L'unica eccezione nel mondo reale è il dazio doganale genuino su una spedizione internazionale, e anche allora il corriere ti addebita attraverso il tuo account o una fattura documentata, non un SMS dello stesso giorno con un conto alla rovescia. Quindi la regola è quasi insultantemente semplice: un messaggio di consegna che ti chiede di pagare una commissione tramite link è una truffa. Punto e basta. Non devi ispezionare nient'altro.

Ma se vuoi confermare, i dettagli tecnici sono proprio lì. Passa il mouse sul mittente su un vero computer e l'email "USPS" proviene da qualche dominio di marketing compromesso, non da usps.com. Il testo del link dice una cosa e punta da un'altra parte. E l'autenticazione fallisce silenziosamente — un dominio mittente falsificato non supererà DMARC, per questo un inbox basato su AI può contrassegnare questi messaggi prima che tu legga la parola "commissione". Questo è la maggior parte di quello che facciamo in xmail quando arriva un messaggio che sembra di un corriere: verificare se il dominio ha effettivamente il diritto di inviare come quel marchio, quindi cercare il pattern "link di pagamento più commissione minuscola".

I dati della Federal Trade Commission confermano il motivo per cui il numero piccolo funziona. Nel 2023, i consumatori hanno segnalato una perdita mediana di $800 su truffe basate su SMS in generale, ma la varietà di consegna prospera proprio perché la richiesta sembra troppo piccola per essere una rapina. Persone che riderebbero di un'email "trasferimento wire di $5.000" digiteranno un numero di carta per liberare una felpa.

Se un SMS o un'email dice che il tuo pacco è bloccato e il denaro lo libererà, chiudilo. Vai al sito reale del corriere e incolla il numero di tracciamento tu stesso. Il pacco, se esiste, sta bene. È la tua carta che è effettivamente in transito.