2,99 dolara, które mówią ci, że wiadomość o dostawie to oszustwo

W prawie każdej fałszywej wiadomości o dostawie ukryta jest jedna linia, a gdy ją zobaczysz, nie będziesz w stanie jej nie widzieć: niewielka opłata za uwolnienie twojej przesyłki. Dwa dolary. Może trzy. „Opłata za ponowną dostawę" lub „wyrównanie nieopłaconego kosztu wysyłki" tak trywialna, że bez zastanowienia byś ją zapłacił. To jest właśnie punkt. Oszustwo nie jest zbudowane, aby wziąć twoje $2,99. Jest zbudowane, aby wziąć numer karty, który wpiszesz, aby to zapłacić.

To jest sezon oszustw dostawczych i działa on według kalendarza. Anti-Phishing Working Group przez lata śledzi wzrost objętości phishingu w czwartym kwartale, przy czym marki logistyczne i wysyłkowe znajdują się wśród najczęściej podrabianych kategorii — dokładnie wtedy, gdy każdy oczekuje paczki od kogoś. U.S. Postal Service wydał powtarzające się ostrzeżenia dotyczące wiadomości SMS „smishing" podszywające się pod śledzenie USPS, a Royal Mail Wielkiej Brytanii zrobiło to samo, ostrzegając klientów o fałszywych wiadomościach „opłata jest należna" twierdzących, że paczka jest utknięta. Różne kraje, identyczny scenariusz.

Email i wiadomość SMS to ten sam schemat w różnych ubraniach. Wersja tekstowa: krótki link, numer śledzenia, który wygląda wiarygodnie, „USPS: twoja przesyłka jest wstrzymana w oczekiwaniu na opłatę $1,99". Wersja email: logo przewoźnika zdjęte z prawdziwej strony, fałszywe powiadomienie o nieudanej dostawie, przycisk z napisem Zmień harmonogram dostawy lub Zapłać opłatę celną. Oba kierują cię na stronę, która prosi o twoje imię, adres i kartę na pokrycie opłaty. Niektóre idą dalej i proszą o kod „weryfikacyjny", który jest w rzeczywistości jednorazowym kodem dostępu twojego banku.

Oto szczegół, który je oba łamie. Prawdziwi przewoźnicy nie pobierają od ciebie opłaty za ponowną dostawę paczki i nie zbierają tej opłaty za pośrednictwem linku w wiadomości SMS lub email. USPS dostarcza ponownie bezpłatnie — planujesz to na usps.com, nie wymagana karta. UPS i FedEx ponownie dostarczają nieudane dostawy bez opłat. Jedynym rzeczywistym wyjątkiem jest autentyczne cło celne na międzynarodową przesyłkę, a nawet wtedy przewoźnik rachuje cię poprzez twoje konto lub udokumentowaną fakturę, a nie tę samą SMS-ową z odliczaniem. Więc reguła jest niemal obraźliwie prosta: wiadomość o dostawie prosząca cię o zapłatę opłaty za pomocą linku to oszustwo. Koniec. Nie musisz nic więcej sprawdzać.

Ale jeśli chcesz to potwierdzić, znaki techniczne są tu widoczne. Gdy najedziesz na nadawcę na prawdziwym komputerze, email „USPS" pochodzi z jakiejś skompromitowanej domeny marketingowej, a nie z usps.com. Tekst linku mówi jedno, a wskazuje gdzie indziej. A uwierzytelnianie zawodzi cicho — sfałszowana domena nadawcy nie przejdzie DMARC, dlatego sztuczna inteligencja w skrzynce odbiorczej może oznaczyć te wiadomości przed przeczytaniem słowa „opłata". To większość tego, co robimy w xmail, gdy pojawi się wiadomość w kształcie przewoźnika: sprawdzamy, czy domena rzeczywiście ma prawo wysyłać jako ta marka, a następnie szukamy wzorca linku płatniczego plus niewielka opłata.

Dane Federal Trade Commission potwierdzają, dlaczego mała liczba działa. W 2023 roku konsumenci zgłosili medianę strat na poziomie $800 w przypadku oszustw tekstowych ogólnie, ale odmiana dostawcza prosperuje właśnie dlatego, że żądanie wydaje się zbyt małe, aby być rozbojem. Ludzie, którzy śmialiby się z emaila „przelewu na $5000", wpiszą numer karty, aby uwolnić bluzę.

Jeśli wiadomość SMS lub email mówi, że twoja przesyłka utknęła i pieniądze ją uwolnią, zamknij ją. Przejdź do prawdziwej strony przewoźnika i wklej sam numer śledzenia. Przesyłka, jeśli istnieje, jest w porządku. Twoja karta to rzecz, która faktycznie jest w tranzycie.