Таможенный сбор в $1.99 — самый дешёвый способ украсть всю вашу карту

Два доллара. Вот цена вашего доверия, и мошенники знают, что это выгодная сделка.

Вот текст, который вы, вероятно, получали: ваша посылка застряла на таможне или переотправка не удалась, и нужно заплатить крошечный сбор для её освобождения — $1.99, £2.99, какая-нибудь мелочь. Нажмите на ссылку, введите данные карты, и посылка продолжит путь. За исключением одного: посылки нет. Сбора нет. Есть только форма, и форма — это весь грабёж.

Гениальность маленькой суммы в том, что она отключает ту часть мозга, которая чует афёру. Никто не представляет криминальную организацию, построенную на сборе $1.99. Это кажется слишком мелочным, чтобы подделывать. Эта интуиция — как раз уязвимость, которую эксплуатируют. Два доллара — это театр. На самом деле мошенники хотят, чтобы вы ввели на следующем экране: полный номер карты, дату истечения, CVV, и всё чаще — имя, адрес и одноразовый код, который вы любезно передадите, когда банк пришлёт СМС на «проверку».

Масштаб здесь совсем не маленький. Данные из базы Consumer Sentinel Комиссии по торговле (FTC) показывают, что количество отчётов о мошенничестве через текстовые сообщения взорвалось — потребители сообщают о потерях в размере примерно $470 млн на мошеннических текстах в год, и поддельные уведомления о посылках и доставке постоянно входят в число самых часто встречающихся триггеров. Это не $1.99 за раз. Это карты, полностью слитые, перепроданные на форумах кардеров и пропущенные через отмывочные системы подарочных карт, прежде чем вы закончите кофе.

Улика — в том, кто спрашивает и как

USPS опубликовала чёткое предупреждение потребителям об этом самом сценарии, и оно говорит тихую часть громко: Почтовая служба не отправляет текстовые сообщения с просьбой о личной информации или оплате для переотправки посылки. Royal Mail говорит то же самое. UPS, FedEx, DHL — то же самое. Ни одна из них не взимает плату за доставку или таможню через ссылку в текстовом сообщении.

Этот последний момент нужно запомнить. Реальные таможенные сборы, когда они существуют, взимаются перевозчиком у двери, через их официальное приложение, которое вы уже установили, или на странице платежа, на которую вы попали, самостоятельно введя адрес. Их не взимает незнакомец по СМС в 9 вечера с укороченной ссылкой и обратным отсчётом.

Посмотрите на ссылку, и улики накапливаются. Домен никогда не usps.com и не royalmail.com. Это похожая доменная имитация, набитая названием бренда в качестве поддомена — что-то вроде usps-trackfee.help или просто адрес .top/.xyz. Настоящие перевозчики используют свой собственный домен. Если отправитель — случайный адрес Gmail или номер телефона из страны, откуда вы никогда ничего не заказывали, это звук падающей маски.

Почему электронная почта преподаёт тот же урок

Волна смишинга (smishing) рифмуется с фишинговым письмом, которое вы уже знаете. В электронной почте мы можем проверить инфраструктуру — прошло ли сообщение проверки SPF, DKIM и DMARC, три проверки, которые доказывают, что отправитель — это действительно тот, кем он себя представляет. Письмо, в котором говорится, что оно от FedEx, но не прошедшее DMARC, — это одолженный пиджак. СМС всё это убирает. Нет заголовка для проверки, нет аутентификации для сбоя, только предложение и ссылка. Вот почему преступники это любят — средство скрывает улики.

Поэтому относитесь к каждому неожиданному СМС о доставке как к выдумке, пока не доказано иное. Не нажимайте. Откройте настоящее приложение перевозчика или введите адрес вручную. Если вы действительно ждёте посылку, вы найдёте правду там за десять секунд.

А если вы уже ввели данные карты в одну из этих форм? Позвоните в свой банк прямо сейчас, а не завтра. Единственное, в чём эта афёра оказалась права — это ваши деньги, и мошенники считают на то, что вам будет стыдно из-за $1.99, чтобы не действовать быстро.