"Paczka zatrzymana": fałszywy SMS od Correos i inne oszustwa kurierskie

"Correos: paczka nie mogła zostać dostarczona z powodu braku opłaty pocztowej. Ureguluj płatność (1,68 €) tutaj." I link. Ten SMS, wysyłany falami w imieniu Correos, DHL, UPS, FedExu albo Seura, to jedna z najbardziej uporczywych kampanii smishingowych w Hiszpanii. Działa, bo prawie każdy kupuje w internecie i prawie każdy ma kiedyś jakąś paczkę w drodze: wiadomość pada na podatny grunt.

Kwota jest celowo śmiesznie niska. O te dwa euro nigdy nie chodziło: celem jest to, żebyś wpisał pełne dane swojej karty na fałszywej stronie podszywającej się pod firmę kurierską, a czasem także kod potwierdzający, który dostaniesz potem, żeby ściągnąć większe kwoty.

Dlaczego to działa, nawet gdy nie czekasz na żadną paczkę

Oszuści nie wiedzą, czy czekasz na zamówienie. I nie muszą tego wiedzieć:

• Skala. Wysyłają tego samego SMS-a do tysięcy numerów. Przy dzisiejszym handlu internetowym spora część odbiorców faktycznie ma coś w drodze albo miała niedawno, więc wiadomość pasuje.
• Niewinna kwota. Jeden czy dwa euro nie włączają alarmu. Nikt nie "weryfikuje" płatności 1,68 € tak jak płatności 300 €.
• Pośpiech i zero oporu. "Zapłać teraz, a jutro dostaniesz paczkę" popycha do załatwienia sprawy od razu, z telefonu, bez patrzenia na nadawcę ani domenę.
• Rotacyjna przebieranka. Gdy marka się wypali (ludzie już ostrzegają, że "ten SMS od Correos to fałszywka"), kampania przechodzi na kolejnego przewoźnika. Szkielet jest zawsze ten sam co w fałszywym SMS-ie o mandacie DGT: znana instytucja + sprawa do załatwienia + pilność + link do płatności.

Jak rozpoznać fałszywy SMS

Żaden z tych sygnałów sam w sobie nie jest rozstrzygający, ale razem dają całkiem trafną diagnozę:

• Żąda opłaty przez link. Firmy kurierskie nie rozliczają opłat celnych ani pocztowych przez link w niespodziewanym SMS-ie. Prawdziwe opłaty celne są przekazywane kanałami, które da się prześledzić, i z dokumentacją przesyłki.
• Link nie prowadzi do oficjalnej domeny. Domeny z dodatkowymi myślnikami ("correos-envios", "dhl-paquete", "seur-seguimiento") albo dziwnymi końcówkami. Na ekranie telefonu, w pośpiechu, przechodzą; obejrzane na spokojnie aż krzyczą.
• Brak prawdziwego numeru przesyłki. Fałszywy SMS mówi ogólnikowo o "twojej paczce", bo nie wie, o którą chodzi. Prawdziwe powiadomienie zawiera numer nadania, i to ten sam, który dostałeś od sklepu.
• Zmienny nadawca. Raz przypadkowy telefon, raz nazwa udająca firmę. Nadawcę SMS-a da się podrobić: niczego nie dowodzi.
• Błędy stylistyczne. Koślawe tłumaczenia, dziwne wielkie litery, przesadna pilność ("ostatnie ostrzeżenie przed zwrotem paczki"). Prawdziwe firmy piszą lepiej.

Jak sprawdzić prawdziwą przesyłkę

Metoda jest zawsze ta sama i działa dla każdej firmy:

1. Nie klikaj linku z SMS-a. Zamknij wiadomość.
2. Sam otwórz oficjalny kanał: aplikację sklepu, w którym kupiłeś, mail z potwierdzeniem zamówienia albo oficjalną stronę przewoźnika, której adres wpiszesz samodzielnie.
3. Wpisz tam swój numer przesyłki. Jeśli jest prawdziwy problem (cło, niepełny adres, próba doręczenia), pojawi się w oficjalnym śledzeniu. Jeśli nie ma nic, SMS był fałszywy.

Ta kolejność (zamknij wiadomość, sam wejdź na oficjalny kanał) to ta sama, którą polecamy, żeby zweryfikować telefon lub SMS od banku i żeby zweryfikować powiadomienie z urzędu skarbowego albo ZUS. To nawyk, który ucina najwięcej oszustw u korzenia.

Co robić, jeśli już podałeś kartę

• Od razu zadzwoń do banku, opowiedz, co się stało, i poproś o zablokowanie karty oraz wydanie nowej. To środek, który ucina problem jednym ruchem.
• Jeśli oprócz tego wpisałeś kod potwierdzający, który dostałeś SMS-em, powiedz o tym bankowi: może już działać autoryzowana operacja.
• Pilnuj obciążeń w kolejnych tygodniach i włącz powiadomienia o transakcjach w aplikacji banku. Oszukańcze obciążenia nie zawsze przychodzą od razu.
• Złóż zawiadomienie, dołączając zrzuty SMS-a i linku. Numer 017 instytutu INCIBE jest bezpłatny, jeśli potrzebujesz wskazówek.
• Zgłoś numer nadawcy w katalogu numerów spamowych.

Szybkie pytania

A jeśli naprawdę czekam na paczkę i SMS się zgadza? Zgodność niczego nie dowodzi: przy tylu zamówieniach w obiegu łatwo trafić przypadkiem. Zawsze sprawdzaj to oficjalnym kanałem, podając numer przesyłki. Zajmuje minutę i rozwiewa wszelkie wątpliwości.

Czy firmy kurierskie naprawdę wysyłają SMS-y? Tak, niektóre wysyłają powiadomienia o doręczeniu albo nieudanej próbie. Różnica polega na tym, że prawdziwe powiadomienie nie żąda płatności przez link: odsyła do aplikacji albo oficjalnej strony, podaje twój numer przesyłki i nie straszy natychmiastowym zwrotem.

Czy to samo dzieje się na WhatsAppie albo mailu? Tak, ta sama przynęta krąży przez WhatsApp, e-mail, a nawet kody QR na fałszywych naklejkach. Kanał się zmienia; obrona nie: nigdy nie płać z linku, który dostałeś, tylko sam sprawdź oficjalnym kanałem.

Jeśli dostałeś taką wiadomość, zgłoś ją w katalogu numerów NoCall: te kampanie przez całe dnie używają tych samych numerów, a twoje zgłoszenie to ostrzeżenie, które następna osoba zobaczy, zanim wpisze dane karty.