Småsumman på $2,99 som röjer ett falsk leveransmeddelande

Det finns en enda mening gömd i nästan varje falskt leveransmeddelande, och när du väl ser den kan du inte låta bli att märka den: en liten avgift för att frigöra ditt paket. Två dollar. Kanske tre. En "omlevereringskostnad" eller en "obetald fraktjustering" så trivial att du skulle betala den utan att tänka. Det är precis poängen. Scammet är inte utformat för att ta dina $2,99. Det är utformat för att ta kortnumret du skriver in för att betala det.

Det här är leveranssäsong för scam, och den går efter en kalender. Anti-Phishing Working Group har spårat att phishing-volymen klättrat in i fjärde kvartalet i flera år, med logistik- och fraktmärken bland de mest-spoofade kategorierna — exakt när alla förväntar sig en box från någon. U.S. Postal Service har skickat upprepade varningar om "smishing"-sms som utger sig för att vara USPS-spårning, och Britanniens Royal Mail har gjort detsamma och varnat kunder om falska "en avgift är skyldig"-meddelanden som hävdar att ett paket är fastnat. Olika länder, identiskt manus.

E-mailet och sms:et är samma manuell strategi i olika kläder. Textvarianten: en kort länk, ett spårningsnummer som ser troligt ut, "USPS: ditt paket är på hold med en $1,99-avgift." E-maitvarianten: en transportörslogotyp knoppad från den riktiga webbplatsen, ett falskt leveransmisslyckade-meddelande, en knapp som säger Reschedule Delivery eller Pay Customs Fee. Båda leder dig till en sida som frågar efter ditt namn, adress och ett kort för att täcka avgiften. Några går längre och frågar efter en "verifikations"-kod som faktiskt är bankens engångslösenord.

Här är detaljen som bryter båda på en gång. Legitima transportörer debiterar dig inte en avgift för att omlevera ett paket, och de samlar inte in avgiften genom en länk i ett sms eller e-mail. USPS omleverar gratis — du schemalägger det på usps.com, inget kort krävs. UPS och FedEx omleverar misslyckade leveranser utan avgift. Det enda riktiga undantaget är verklig tulleavgift på en internationell försändelse, och även då fakturerar transportören dig genom ditt konto eller en dokumenterad faktura, inte ett sms samma dag med en nedräkning. Så regeln är nästan skämmande enkel: ett leveransmeddelande som ber dig betala en avgift via länk är ett scam. Punkt slut. Du behöver inte inspektera något annat.

Men om du vill bekräfta är de tekniska tecknen redan där. Hovra avsändaren på en riktigt dator och "USPS"-e-mailet kommer från någon komprometterad marknadsföringsdomän, inte usps.com. Länktexten säger en sak och pekar någonstans annat. Och autentiseringen misslyckas tyst — en spoofad avsändardomän kommer inte att klara DMARC, vilket är därför en AI-inkorg kan flagga dessa innan du någonsin läser ordet "avgift." Det är det mesta av det vi gör på xmail när ett transportör-format meddelande landar: kontrollera om domänen faktiskt har rätten att skicka som det märket, och leta sedan efter betalningslänk-plus-liten-avgift-mönstret.

Federal Trade Commission:s data stöder varför småsumman fungerar. År 2023 rapporterade konsumenter en medianskada på $800 på textbaserade scam i stort, men leveransvarianten blomstrar precis för att frågan känns för liten för att vara ett kupp. Människor som skulle skratta åt ett "$5,000 wire transfer"-e-mail kommer att skriva in ett kortnummer för att befria en huvtröja.

Om ett sms eller e-mail säger att ditt paket är fastnat och pengar kommer att befria det, stäng det. Gå till transportörens riktiga webbplats och klistra in ditt spårningsnummer själv. Paketet, om det finns, är fint. Det är ditt kort som faktiskt är i transit.