$2,99 у доставці: один реквізит, щоб виявити шахрайство

У майже кожному поддільному повідомленні про доставку закладено один рядок, і як тільки його побачите — вже не зможете забути: невелика комісія за звільнення вашого посилання. Два долари. Може, три. «Комісія переадресації» чи «непередбачена доставка», така дрібна, що ви її віддасте, не думаючи. Саме в цьому суть. Шахрайство побудоване не на те, щоб взяти ваші $2,99. Воно побудоване на те, щоб взяти номер карти, яку ви введете для оплати.

Це сезон шахрайства з доставкою, і йде він за календарем. Anti-Phishing Working Group років кілька стежить, як обсяги фішингу зростають у четвертому кварталі, при цьому логістичні та поштові бренди — серед найбільш спотворених категорій, — саме тоді, коли всі чекають посилку від когось. U.S. Postal Service неодноразово видавав попередження про SMS-фішинг, що видає себе за USPS-трекінг, а британська Royal Mail робила те ж саме, попереджаючи клієнтів про поддільні повідомлення «комісія виплачується» про застряле посилання. Різні країни, один сценарій.

Лист і SMS — один і той же сценарій, одягнений в різні одежі. Версія SMS: коротке посилання, номер відслідковування, який виглядає правдоподібно, «USPS: ваше посилання утримується в очікуванні комісії $1,99». Версія листа: логотип перевізника, скопійований з реального сайту, поддільне повідомлення про невдалу доставку, кнопка, де написано Перенести доставку або Сплатити митну комісію. Обидва веденнями вас на сторінку, яка просить ваше ім'я, адресу та карту для погашення комісії. Деякі йдуть далі й просять «верифікаційний» код, який насправді є одноразовим паролем вашого банку.

Ось деталь, яка розламує обидва одразу. Справжні перевізники не стягують комісію за переадресацію посилки, і вони не збирають цю комісію через посилання в SMS чи листі. USPS переадресує безкоштовно — ви планируєте це на usps.com, карта не потрібна. UPS та FedEx переадресовують невдалі доставки без будь-яких зборів. Єдиний справжній виняток — справжній митний збір на міжнародне посилання, і навіть тоді перевізник виставляє вам рахунок через ваш обліковий запис чи офіційний рахунок-фактуру, а не однодневну SMS з відліком. Тож правило майже образливо просте: повідомлення про доставку, яке просить вас сплатити комісію за посиланням, — це шахрайство. Точка. Вам не потрібно перевіряти нічого іншого.

Але якщо ви хочете підтвердити, технічні ознаки прямо тут. Наведіть на відправника на справжньому комп'ютері, і лист із «USPS» надходить з якогось скомпрометованого маркетингового домену, а не з usps.com. Текст посилання говорить одне, а вказує на інше. І автентифікація тихо не пройде — спотворена домен відправника не пройде DMARC, тому штучний інтелект у вашій поштовій скриньці може позначити ці як спам до того, як ви коли-небудь прочитаєте слово «комісія». Саме цим ми переважно займаємося в xmail, коли повідомлення у вигляді перевізника потрапляє на вхід: перевіряємо, чи справді домен має право надсилати від імені цього бренду, потім шукаємо шаблон «посилання на оплату плюс дрібна комісія».

Дані Federal Trade Commission підтримують, чому невелике число працює. У 2023 році споживачі повідомили про медіанну втрату $800 на SMS-шахрайстві загалом, але різновид з доставкою процвітає саме тому, що прохання виглядає занадто дрібним, щоб бути пограбуванням. Люди, які б нагвіздили на лист із запитом «переведіть $5000», введуть номер карти, щоб визволити худі.

Якщо SMS або лист каже, що ваше посилання застряло й гроші його визволять, закрийте його. Перейдіть на справжній сайт перевізника й самі вставте ваш номер відслідковування. Посилка, якщо вона існує, в порядку. Ваша карта — це те, що насправді в дорозі.