Os $2,99 Que Revelam se uma Mensagem de Entrega É uma Scam

Há uma única linha enterrada em quase toda mensagem de entrega falsa, e uma vez que você a vê não consegue deixar de vê-la: uma pequena taxa para liberar seu pacote. Dois dólares. Talvez três. Uma "taxa de reentrega" ou um "ajuste de envio não pago" tão trivial que você pagaria sem pensar. Esse é o ponto. A scam não foi construída para levar seus $2,99. Foi construída para levar o número do seu cartão que você digita para pagá-la.

Esta é a temporada de scams de entrega, e ela segue um calendário. O Anti-Phishing Working Group rastreou o volume de phishing subindo no quarto trimestre ao longo dos anos, com marcas de logística e envio entre as categorias mais falsificadas — exatamente quando todo mundo está esperando uma encomenda de alguém. O U.S. Postal Service emitiu avisos repetidos sobre textos "smishing" impersonando rastreamento USPS, e o Royal Mail britânico fez o mesmo, alertando clientes sobre mensagens falsas de "taxa devida" alegando que uma encomenda está presa. Países diferentes, roteiro idêntico.

O email e o texto seguem o mesmo manual em roupas diferentes. A versão de texto: um link curto, um número de rastreamento que parece plausível, "USPS: seu pacote está retido pendente de uma taxa de $1,99". A versão de email: um logo de transportadora copiado do site real, um aviso falso de falha na entrega, um botão que diz Reagendar Entrega ou Pagar Taxa de Alfândega. Ambos levam você para uma página que pede seu nome, endereço e um cartão para cobrir a taxa. Alguns vão além e pedem um código de "verificação" que é na verdade a sua senha única do banco.

Aqui está o detalhe que quebra os dois de uma vez. Transportadoras legítimas não cobram uma taxa para reentregar um pacote, e não cobram essa taxa através de um link em um texto ou email. USPS reentrega gratuitamente — você agenda em usps.com, sem cartão necessário. UPS e FedEx reentregam entregas falhadas sem custo. A única exceção no mundo real é o direito aduaneiro genuíno em uma remessa internacional, e mesmo assim a transportadora o cobra através de sua conta ou de uma fatura documentada, não um SMS no mesmo dia com contagem regressiva. Então a regra é quase insultavelmente simples: uma mensagem de entrega pedindo que você pague uma taxa por link é uma scam. Fim de papo. Você não precisa inspecionar mais nada.

Mas se você quer confirmar, os sinais técnicos estão bem ali. Passe o mouse sobre o remetente em um computador real e o email "USPS" está vindo de algum domínio de marketing comprometido, não de usps.com. O texto do link diz uma coisa e aponta para outro lugar. E a autenticação falha silenciosamente — um domínio de remetente falsificado não vai passar em DMARC, e é por isso que uma caixa de entrada com IA pode sinalizar estes antes de você sequer ler a palavra "taxa". Isso é a maioria do que fazemos no xmail quando uma mensagem com formato de transportadora chega: verificar se o domínio realmente tem o direito de enviar como essa marca, e depois procurar pelo padrão de link de pagamento mais taxa pequenininha.

Os dados da Federal Trade Commission confirmam por que o número pequeno funciona. Em 2023, consumidores reportaram uma perda mediana de $800 em scams baseadas em texto em geral, mas a variedade de entrega prospera precisamente porque o pedido parece pequeno demais para ser um roubo. Pessoas que ririam de um email de "transferência de $5.000" vão digitar um número de cartão para liberar um moletom.

Se um texto ou email diz que seu pacote está preso e dinheiro o vai liberar, feche-o. Vá até o site real da transportadora e cole seu número de rastreamento você mesmo. O pacote, se existir, está bem. Seu cartão é o que está realmente em trânsito.