"Csomag visszatartva": a hamis Correos-SMS és más csomagos csalások

„Correos: csomagját hiányzó bérmentesítés miatt nem tudtuk kézbesíteni. Rendezze a befizetést (1,68 €) itt." És egy link. Ez az SMS, amely hullámtól függően a Correos, a DHL, a UPS, a FedEx vagy a Seur nevében érkezik, az egyik legmakacsabb smishingkampány Spanyolországban. Azért működik, mert szinte mindenki vásárol online, és szinte mindenkinek van időnként úton egy csomagja: az üzenet termékeny talajra hull.

Az összeg szándékosan nevetséges. A cél sosem az a két euró volt: az, hogy megadd a bankkártyád teljes adatait egy, a szállítócéget utánzó hamis weboldalon, néha pedig az utána érkező megerősítő kódot is, hogy nagyobb összegeket emelhessenek le.

Miért dől be neki az is, aki nem vár csomagot

A csalók nem tudják, vársz-e rendelést. Nincs is rá szükségük:

• Tömeg. Ugyanazt az SMS-t több ezer számra küldik el. A mai e-kereskedelem mellett a címzettek nagy százalékának tényleg van úton valami, vagy nemrég volt, így az üzenet illik.
• Elhanyagolható összeg. Egy-két euró nem kapcsol be riasztót. Egy 1,68 eurós fizetést senki sem „ellenőriz" úgy, mint egy 300 eurósat.
• Sürgetés és nulla súrlódás. A „fizess most, és holnap megkapod" arra ösztökél, hogy ott helyben, mobilról rendezd el, anélkül hogy megnéznéd a feladót vagy a domaint.
• Forgó álca. Amikor egy márka kiég (az emberek már figyelmeztetnek, hogy „az a Correos-SMS hamis"), a kampány átvált egy másik szállítóra. A váza mindig ugyanaz, mint a hamis DGT-bírságos SMS esetében: ismert szervezet + elintézetlen ügy + sürgősség + fizetési link.

Hogyan ismerheted fel a hamis SMS-t

E jelek egyike sem döntő önmagában, együtt azonban elég megbízható diagnózist adnak:

• Linken keresztüli díjfizetést kér. A szállítócégek nem intéznek vám- vagy bérmentesítési díjakat egy váratlan SMS-ben lévő linken át. A valódi vámdíjakat nyomon követhető csatornákon, a küldemény dokumentációjával közlik.
• A link nem a hivatalos domain. Extra kötőjeleket tartalmazó domainek („correos-envios", „dhl-paquete", „seur-seguimiento") vagy furcsa végződések. A mobil képernyőjén, kapkodva átcsúsznak; nézd meg nyugodtan, és ordítanak.
• Nem említ valódi nyomkövetési számot. A hamis SMS általánosságban beszél „az ön csomagjáról", mert nem tudja, melyikről van szó. A jogszerű értesítés tartalmazza a nyomkövetési számot, amely megegyezik az üzlet által megadottal.
• Változó feladó. Néha egy akármilyen mobilszám, néha a céget utánzó név. Az SMS feladója hamisítható: nem bizonyít semmit.
• Stílushibák. Ügyetlen fordítások, furcsa nagybetűk, túlzó sürgetés („utolsó figyelmeztetés a csomag visszaküldése előtt"). A valódi cégek jobban írnak ennél.

Hogyan ellenőrizz egy valódi küldeményt

A módszer mindig ugyanaz, és minden cégre érvényes:

1. Ne kattints az SMS-ben lévő linkre. Zárd be.
2. Nyisd meg magad a hivatalos csatornát: az üzlet alkalmazását, ahol vásároltál, a rendelés-visszaigazoló e-mailt, vagy a szállító hivatalos weboldalát úgy, hogy a címet magad írod be.
3. Add meg ott a nyomkövetési számodat. Ha valódi probléma van (vám, hiányos cím, kézbesítési kísérlet), az megjelenik a hivatalos nyomkövetésben. Ha semmi sem jelenik meg, az SMS hamis volt.

Ez a sorrend (zárd be az üzenetet, lépj be magad a hivatalos csatornába) ugyanaz, mint amit a banki hívás vagy SMS ellenőrzéséhez és az adóhivatali vagy társadalombiztosítási értesítés ellenőrzéséhez javaslunk. Ez az a szokás, amely a legtöbb csalást csírájában elfojtja.

Mit tegyél, ha már megadtad a kártyádat

• Hívd fel azonnal a bankodat, mondd el, mi történt, és kérd a kártya letiltását és új kibocsátását. Ez az az intézkedés, amely egy csapásra megszünteti a problémát.
• Ha ezen felül egy SMS-ben érkezett megerősítő kódot is megadtál, azt is mondd el a banknak: lehet, hogy már van egy jóváhagyott művelet.
• Figyeld a terheléseket a következő hetekben, és kapcsold be a mozgásokról szóló értesítéseket a banki appban. A csalárd terhelések nem mindig érkeznek azonnal.
• Tegyél feljelentést az SMS-ről és a linkről készült képernyőképekkel. Az INCIBE 017-es száma ingyenes, ha útmutatásra van szükséged.
• Jelentsd a feladó számát a spam számok jegyzékében.

Gyors kérdések

Mi van, ha tényleg várok csomagot, és az SMS stimmel? Az egybeesés semmit sem igazol: ennyi forgalomban lévő rendelés mellett véletlenül eltalálni könnyű. Mindig ellenőrizd a hivatalos csatornán, a nyomkövetési számoddal. Egy perc, és teljesen megszünteti a kétséget.

Küldenek a szállítócégek valódi SMS-eket? Igen, egyesek küldenek kézbesítési vagy sikertelen kísérletről szóló értesítéseket. A különbség az, hogy a valódi értesítés nem kér fizetést linken át: a hivatalos appjára vagy weboldalára irányít, említi a nyomkövetési számodat, és nem sürget azonnali visszaküldéssel fenyegetve.

Ugyanez megy WhatsAppon vagy e-mailben is? Igen, ugyanez a csali kering WhatsAppon, e-mailben, sőt hamis matricákon lévő QR-kódokon át is. A csatorna változik; a védekezés nem: soha ne fizess a kapott linkről, ellenőrizd magad a hivatalos csatornán.

Ha kaptál egy ilyen üzenetet, jelentsd a NoCall számtárában: ezek a kampányok napokig újrahasználják ugyanazokat a számokat, és a jelentésed az a figyelmeztetés, amelyet a következő ember látni fog, mielőtt megadná a kártyáját.