"Paket kvarhållet": det falska Correos-sms:et och andra paketbedrägerier

"Correos: ditt paket kunde inte levereras på grund av saknad porto. Reglera betalningen (1,68 €) här." Och en länk. Detta sms, skickat i Correos, DHL, UPS, FedEx eller Seurs namn beroende på våg, är en av de mest ihållande smishing-kampanjerna i Spanien. Det fungerar eftersom nästan alla handlar online och nästan alla har ett paket på väg någon gång: meddelandet faller i bördig jord.

Beloppet är avsiktligt löjligt litet. Målet var aldrig att inkassera de två euroerna: det är att få dig att skriva in alla dina kortuppgifter på en falsk webbplats som imiterar transportföretaget, och ibland även bekräftelsekoden du får efteråt, för att göra större debiteringar.

Varför det fungerar även när du inte väntar något paket

Bedragarna vet inte om du väntar en beställning. De behöver inte veta det:

• Volym. De skickar samma sms till tusentals nummer. Med dagens e-handel har en hög andel av mottagarna faktiskt något på väg eller hade det nyligen, och meddelandet passar in.
• Obetydligt belopp. En eller två euro utlöser inga larm. Ingen "verifierar" en betalning på 1,68 € som de skulle verifiera en på 300.
• Brådska och noll friktion. "Betala nu och få det i morgon" pressar dig att lösa det på stående fot, från mobilen, utan att stanna upp och titta på avsändaren eller domänen.
• Roterande förklädnad. När ett varumärke bränns ut (folk börjar varna för att "det där Correos-sms:et är falskt") byter kampanjen till ett annat transportföretag. Skelettet är alltid detsamma som i det falska DGT-bötes-sms:et: känd aktör + oavslutat ärende + brådska + betallänk.

Så känner du igen det falska sms:et

Ingen av dessa signaler är ensam avgörande, men tillsammans är de en ganska tillförlitlig diagnos:

• Det ber dig betala avgifter via en länk. Transportföretag hanterar inte tull- eller portobetalningar via en länk i ett oväntat sms. Verkliga tullavgifter meddelas via spårbara kanaler och med försändelsens dokumentation.
• Länken är inte den officiella domänen. Domäner med extra bindestreck ("correos-envios", "dhl-paquete", "seur-seguimiento") eller konstiga ändelser. På mobilskärmen, i brådskan, slinker de igenom; titta lugnt så skriker de.
• Det nämner inget riktigt spårningsnummer. Det falska sms:et talar om "ditt paket" i allmänna ordalag eftersom det inte vet vilket det är. Ett legitimt meddelande innehåller spårningsnumret, och det stämmer med det butiken gav dig.
• Varierande avsändare. Ibland bara ett slumpmässigt mobilnummer, ibland ett namn som imiterar företaget. Avsändaren av ett sms kan förfalskas: den bevisar ingenting.
• Stilmissar. Klumpiga översättningar, konstiga versaler, överdriven brådska ("sista påminnelsen innan paketet returneras"). Riktiga företag skriver bättre än så.

Så kontrollerar du en riktig försändelse

Metoden är alltid densamma, och den gäller för alla företag:

1. Tryck inte på länken i sms:et. Stäng det.
2. Öppna själv den officiella kanalen: appen för butiken där du handlade, orderbekräftelsen via e-post, eller transportörens officiella webbplats genom att skriva adressen själv.
3. Skriv in ditt spårningsnummer där. Om det finns ett verkligt problem (tull, ofullständig adress, leveransförsök) syns det i den officiella spårningen. Om inget syns var sms:et falskt.

Denna sekvens (stäng meddelandet, gå själv till den officiella kanalen) är densamma som vi rekommenderar för att verifiera ett samtal eller sms från din bank och för att verifiera ett meddelande från skattemyndigheten eller försäkringskassan. Det är vanan som kväver flest bedrägerier i sin linda.

Vad du gör om du redan skrivit in ditt kort

• Ring din bank nu, berätta vad som hänt och be dem spärra kortet och utfärda ett nytt. Det är åtgärden som stoppar problemet tvärt.
• Om du dessutom skrev in en bekräftelsekod som du fick via sms, säg det till banken också: det kan finnas en redan godkänd transaktion.
• Håll koll på debiteringarna de kommande veckorna och slå på aviseringar om rörelser i bankappen. Bedrägliga debiteringar kommer inte alltid direkt.
• Polisanmäl med skärmbilder av sms:et och länken. INCIBEs nummer 017 är gratis om du behöver vägledning.
• Rapportera avsändarnumret i katalogen över spamnummer.

Snabba frågor

Tänk om jag faktiskt väntar ett paket och sms:et stämmer? Sammanträffandet verifierar ingenting: med så många beställningar i omlopp är det lätt att träffa rätt av en slump. Kontrollera alltid via den officiella kanalen med ditt spårningsnummer. Det tar en minut och undanröjer allt tvivel.

Skickar transportföretag riktiga sms? Ja, vissa skickar leveransaviseringar eller meddelanden om misslyckade försök. Skillnaden är att det riktiga meddelandet inte ber dig betala via en länk: det hänvisar till sin officiella app eller webbplats, nämner ditt spårningsnummer och stressar dig inte med hot om omedelbar retur.

Händer samma sak på WhatsApp eller via e-post? Ja, samma bete cirkulerar på WhatsApp, via e-post och till och med via QR-koder på falska klistermärken. Kanalen ändras; försvaret gör inte det: betala aldrig från en länk du får, kontrollera alltid själv via den officiella kanalen.

Om du fått ett av dessa meddelanden, rapportera det i NoCalls nummerkatalog: dessa kampanjer återanvänder nummer i flera dagar, och din rapport är varningen som nästa person ser innan de skriver in sitt kort.