"Balíček zadržen": falešná SMS od Correos a další balíkové podvody

„Correos: váš balíček nemohl být doručen z důvodu chybějícího poštovného. Uhraďte platbu (1,68 €) zde." A odkaz. Tato SMS, podle vlny pod jménem Correos, DHL, UPS, FedEx nebo Seur, je jednou z nejvytrvalejších smishingových kampaní ve Španělsku. Funguje proto, že skoro každý nakupuje online a skoro každý má někdy balíček na cestě: zpráva padá na úrodnou půdu.

Částka je záměrně směšná. Cílem nikdy nebylo vybrat ta dvě eura: jde o to, aby ses zadal kompletní údaje své karty na falešném webu napodobujícím přepravní společnost, a někdy i potvrzovací kód, který ti pak přijde, aby mohli strhnout větší částky.

Proč to zabírá, i když žádný balíček nečekáš

Podvodníci nevědí, jestli čekáš objednávku. Nepotřebují to:

• Objem. Posílají stejnou SMS na tisíce čísel. Při dnešním e-commerce má vysoké procento příjemců skutečně něco na cestě nebo to mělo nedávno, a zpráva sedí.
• Zanedbatelná částka. Jedno nebo dvě eura nespustí alarmy. Platbu 1,68 € nikdo „neověřuje" tak jako platbu za 300.
• Spěch a nulové tření. „Zaplať hned a zítra ho máš" tě tlačí vyřešit to na místě, z mobilu, aniž by ses zastavil a podíval na odesílatele nebo doménu.
• Rotující převlek. Když se značka spálí (lidé začnou varovat, že „ta SMS od Correos je falešná"), kampaň přejde na jiného dopravce. Kostru má vždy stejnou jako falešná SMS o pokutě od DGT: známá instituce + nevyřízená věc + spěch + odkaz na platbu.

Jak poznat falešnou SMS

Žádný z těchto signálů sám o sobě není definitivní, ale dohromady jsou docela spolehlivou diagnózou:

• Žádá zaplacení poplatků přes odkaz. Přepravní společnosti neřeší platby cla ani poštovného přes odkaz v nečekané SMS. Skutečné celní poplatky se oznamují sledovatelnými kanály a s dokumentací k zásilce.
• Odkaz není oficiální doména. Domény s extra pomlčkami („correos-envios", „dhl-paquete", „seur-seguimiento") nebo podivnými koncovkami. Na displeji mobilu, ve spěchu, projdou; podívej se v klidu a bijí do očí.
• Nezmiňuje žádné skutečné sledovací číslo. Falešná SMS mluví o „vašem balíčku" obecně, protože neví, o který jde. Legitimní oznámení obsahuje sledovací číslo, a to se shoduje s tím, které ti dal obchod.
• Proměnlivý odesílatel. Někdy jen náhodný mobil, jindy jméno napodobující společnost. Odesílatele SMS lze zfalšovat: nedokazuje nic.
• Stylistické chyby. Neohrabané překlady, divná velká písmena, přehnaný spěch („poslední upozornění před vrácením balíčku"). Skutečné firmy píšou lépe.

Jak ověřit skutečnou zásilku

Postup je vždy stejný a platí pro jakoukoli společnost:

1. Neklikej na odkaz v SMS. Zavři ji.
2. Otevři si oficiální kanál sám: aplikaci obchodu, kde jsi nakoupil, e-mail s potvrzením objednávky, nebo oficiální web dopravce tak, že adresu zadáš sám.
3. Zadej tam své sledovací číslo. Pokud existuje skutečný problém (clo, neúplná adresa, pokus o doručení), objeví se v oficiálním sledování. Pokud se neobjeví nic, SMS byla falešná.

Tato posloupnost (zavři zprávu, jdi sám do oficiálního kanálu) je stejná, jakou doporučujeme pro ověření hovoru nebo SMS od tvé banky a pro ověření oznámení od finančáku nebo sociálky. Je to návyk, který nejvíc podvodů zarazí hned v zárodku.

Co dělat, když jsi kartu už zadal

• Hned zavolej své bance, popiš, co se stalo, a požádej o zablokování karty a vydání nové. To je opatření, které problém utne rázně.
• Pokud jsi navíc zadal i potvrzovací kód, který ti přišel přes SMS, řekni to bance také: může existovat už autorizovaná operace.
• Sleduj platby v následujících týdnech a zapni si notifikace o pohybech v aplikaci banky. Podvodné platby nepřicházejí vždy hned.
• Podej trestní oznámení se snímky SMS a odkazu. Linka 017 organizace INCIBE je zdarma, pokud potřebuješ poradit.
• Nahlas číslo odesílatele v adresáři spamových čísel.

Rychlé otázky

A co když balíček opravdu čekám a SMS sedí? Shoda nic neověřuje: při tolika objednávkách v oběhu je snadné trefit se náhodou. Vždy to ověř oficiálním kanálem se svým sledovacím číslem. Zabere to minutu a pochybnost zmizí úplně.

Posílají přepravní společnosti skutečné SMS? Ano, některé posílají oznámení o doručení nebo nezdařených pokusech. Rozdíl je v tom, že skutečné oznámení tě nežádá o platbu přes odkaz: odkáže tě na svou oficiální aplikaci nebo web, zmíní tvé sledovací číslo a netlačí s hrozbou okamžitého vrácení.

Děje se totéž na WhatsAppu nebo e-mailem? Ano, stejná návnada koluje přes WhatsApp, e-mail a dokonce přes QR kódy na falešných nálepkách. Kanál se mění; obrana ne: nikdy neplať z odkazu, který ti přijde, ověř si to sám oficiálním kanálem.

Pokud ti některá z těchto zpráv přišla, nahlas ji v adresáři čísel NoCall: tyto kampaně znovu používají stejná čísla po celé dny a tvé nahlášení je varování, které uvidí další člověk dřív, než zadá svou kartu.