$2.99 的小费如何暴露快递诈骗

几乎每条虚假快递信息里都隐藏着一句话，一旦你看到就再也忘不掉：一笔微小的费用来解封你的包裹。两块钱。也许三块。一笔"重新配送费"或"未付运费调整"，微不足道到你会不假思索地掏出信用卡。这正是设计的目的。这个骗局不是为了骗你的 $2.99。它是为了骗你输入的卡号。

现在正值快递诈骗季，这是有规律的。反钓鱼工作组（Anti-Phishing Working Group）多年来一直追踪钓鱼邮件在第四季度的激增，其中物流和快递品牌是最常被冒充的类别——恰好是大家都在等待快递的时候。美国邮政署（U.S. Postal Service）多次发布警告，称有冒充 USPS 追踪信息的"短信钓鱼"（smishing），英国皇家邮政（Royal Mail）也发出了同样的警告，提醒客户注意冒充"需要支付费用"的虚假消息，声称包裹被卡住。不同的国家，相同的套路。

电子邮件和文本信息是同一套把戏穿了不同的衣服。文本版本：一个短链接、一个看起来合理的追踪号、"USPS：你的包裹因 $1.99 费用被扣留"。电子邮件版本：从真实网站上盗用的快递商标志、虚假的快递失败通知、一个说着重新安排配送或支付关税的按钮。两者都会引导你进入一个要求填入姓名、地址和信用卡的页面来支付该费用。有些甚至还要求提供"验证"代码，实际上是你银行的一次性密码。

这个细节能同时揭穿两种骗局。合法的快递商不会向你收取重新配送费，也不会通过文本或电子邮件中的链接来收取该费用。USPS 免费重新配送——你在 usps.com 上安排，无需提供卡信息。UPS 和 FedEx 对失败的配送免费重新配送。唯一真实存在的例外是国际快递上的真实关税，即使这样，快递商也会通过你的账户或正式发票向你收费，而不是通过当天收到的带倒计时的短信。所以规则几乎简单得令人发指：任何通过链接要求你支付费用的快递信息都是骗局。句号。你不需要检查任何其他东西。

但如果你想确认，技术细节就在眼前。在真实电脑上悬停发件人，那封"USPS"电子邮件来自某个被入侵的营销域名，而不是 usps.com。链接文本显示一件事，但指向另一个地方。认证悄然失败——冒充的发件人域名不会通过 DMARC 验证，这就是为什么 AI 收件箱能在你读到"费用"这个词之前就标记这些邮件。这就是 xmail 在一条看起来像快递商的消息到达时所做的大部分工作：检查该域名是否真的有权代表该品牌发送邮件，然后寻找"支付链接加微小费用"的模式。

美国联邦贸易委员会（Federal Trade Commission）的数据支持为什么这个小金额很有效。2023 年，消费者报告基于文本的诈骗平均损失为 $800，但快递诈骗之所以成功，正是因为这笔钱小到不像是抢劫。那些会嘲笑"$5,000 转账"电子邮件的人会乖乖输入卡号来解封一件连帽衫。

如果文本或电子邮件说你的包裹被卡住，需要付钱才能解决，就关掉它。进入快递商的真实网站，自己粘贴你的追踪号。那个包裹，如果真的存在，是安全的。真正在运输中的是你的卡。