$2,99, которые раскрывают подделку в SMS о доставке

В почти каждом поддельном сообщении о доставке затерта одна-единственная строка, и как только вы её заметите, забыть не сможете: небольшой сбор за освобождение вашего пакета. Два доллара. Может быть, три. "Плата за переадресацию" или "неоплаченная корректировка доставки" — настолько мелочная сумма, что вы не задумываясь её заплатите. В этом вся суть. Развод построен не на том, чтобы отобрать ваши $2,99. Он построен на том, чтобы отобрать номер карты, который вы введёте, чтобы её заплатить.

Это сезон доставочных мошенничеств, и он идёт по календарю. Anti-Phishing Working Group много лет отслеживает рост фишинга в четвёртом квартале, и логистические бренды с брендами доставки входят в число наиболее подделываемых категорий — ровно тогда, когда все ждут посылку от кого-нибудь. U.S. Postal Service неоднократно выпускала рекомендации о "смишинге" — SMS-ках, выдающих себя за отслеживание USPS, а Royal Mail в Британии делает то же самое, предупреждая клиентов о поддельных сообщениях "требуется оплата" с утверждением, что посылка застряла. Разные страны, один и тот же сценарий.

Email и SMS — это одна и та же схема, только в разных одеждах. Версия SMS: короткая ссылка, номер отслеживания, который выглядит правдоподобно, "USPS: ваша посылка заморожена, требуется оплата $1,99". Версия email: логотип курьера, скопированный с реального сайта, поддельное уведомление о неудачной доставке, кнопка Reschedule Delivery (Перенести доставку) или Pay Customs Fee (Оплатить таможенный сбор). Обе версии направляют вас на страницу, где просят ваше имя, адрес и карту для оплаты сбора. Некоторые идут дальше и просят "код подтверждения", который на самом деле — одноразовый пароль вашего банка.

Вот деталь, которая разоблачает обе схемы сразу. Настоящие курьеры не берут плату за переадресацию посылки и не собирают её через ссылку в SMS или email. USPS переадресует бесплатно — вы планируете это на usps.com, карта не требуется. UPS и FedEx переадресуют неудачные доставки без взимания платы. Единственное реальное исключение — это настоящая таможенная пошлина на международную посылку, но даже в этом случае курьер выставляет вам счёт через ваш аккаунт или документированный счёт-фактуру, а не однодневную SMS с обратным отсчётом. Так что правило почти оскорбительно просто: любое сообщение о доставке, в котором просят оплатить сбор по ссылке, — это развод. Точка. Вам не нужно проверять ничего больше.

Но если хотите убедиться, технические признаки налицо. Наведите мышь на отправителя на настоящем компьютере, и email "USPS" приходит с какого-нибудь скомпрометированного маркетингового домена, а не с usps.com. Текст ссылки говорит одно, а ведёт в другое место. И проверка подлинности молча не пройдёт — поддельный домен отправителя не пройдёт DMARC, поэтому AI-почтовик может пометить их до того, как вы прочитаете слово "сбор". Большей частью этим мы занимаемся в xmail, когда приходит сообщение под видом курьера: проверяем, действительно ли домен имеет право отправлять от имени бренда, а потом ищем паттерн платёжной ссылки плюс микроскопический сбор.

Данные Federal Trade Commission подтверждают, почему такая мелкая сумма работает. В 2023 году потребители сообщили о медианном убытке $800 на SMS-мошенничество в целом, но доставочный вариант процветает ровно потому, что просьба кажется слишком мелкой для настоящей кражи. Люди, которые посмеялись бы над email с просьбой перевести "$5 000", введут номер карты, чтобы освободить толстовку.

Если в SMS или email говорится, что ваша посылка застряла и деньги её освободят, закройте сообщение. Зайдите на реальный сайт курьера и сами вбейте номер отслеживания. Посылка, если она вообще существует, в порядке. Ваша карта — вот что находится в пути.