"Paket zadržan": lažni SMS v imenu Correos in druge paketske prevare

»Correos: paketa ni bilo mogoče dostaviti zaradi manjkajoče poštnine. Poravnajte plačilo (1,68 €) tukaj.« In povezava. Ta SMS, glede na val v imenu Correos, DHL, UPS, FedEx ali Seur, je ena najvztrajnejših smishing kampanj v Španiji. Deluje, ker skoraj vsi kupujejo prek spleta in ima skoraj vsakdo kdaj paket na poti: sporočilo pade na rodovitna tla.

Znesek je namenoma smešno nizek. Cilj nikoli ni bil pobrati ta dva evra: gre za to, da vneseš celotne podatke svoje kartice na lažno spletno stran, ki posnema dostavno podjetje, včasih pa tudi potrditveno kodo, ki jo prejmeš zatem, da lahko zaračunajo večje zneske.

Zakaj prime, tudi če nobenega paketa ne pričakuješ

Goljufi ne vedo, ali pričakuješ naročilo. Tega ne potrebujejo:

• Obseg. Pošljejo isti SMS na tisoče številk. Ob današnji spletni trgovini ima velik odstotek prejemnikov resnično nekaj na poti ali je imel pred kratkim, in sporočilo se ujema.
• Zanemarljiv znesek. En ali dva evra ne sprožita alarmov. Plačila 1,68 € nihče ne »preverja« tako kot plačila 300.
• Mudnost in nič trenja. »Plačaj zdaj in jutri ga dobiš« te potiska, da to rešiš na mestu, s telefona, ne da bi se ustavil in pogledal pošiljatelja ali domeno.
• Vrteča se preobleka. Ko se znamka zažge (ljudje začnejo opozarjati, da je »ta SMS v imenu Correos lažen«), kampanja preide na drugega prevoznika. Okostje je vedno enako kot pri lažnem SMS o globi DGT: znana ustanova + nerešena zadeva + mudnost + povezava za plačilo.

Kako prepoznaš lažni SMS

Noben od teh znakov sam po sebi ni dokončen, skupaj pa so precej zanesljiva diagnoza:

• Zahteva plačilo stroškov prek povezave. Dostavna podjetja ne urejajo plačil carine ali poštnine prek povezave v nepričakovanem SMS. Resnične carinske stroške sporočajo po sledljivih kanalih in z dokumentacijo pošiljke.
• Povezava ni uradna domena. Domene z odvečnimi vezaji (»correos-envios«, »dhl-paquete«, »seur-seguimiento«) ali čudnimi končnicami. Na zaslonu telefona, v naglici, gredo skozi; poglej mirno in bodejo v oči.
• Ne omenja nobene resnične sledilne številke. Lažni SMS govori o »vašem paketu« na splošno, ker ne ve, za katerega gre. Legitimno obvestilo vsebuje sledilno številko, ta pa se ujema s tisto, ki ti jo je dala trgovina.
• Spremenljiv pošiljatelj. Včasih kar naključen mobilnik, včasih ime, ki posnema podjetje. Pošiljatelja SMS je mogoče ponarediti: ne dokazuje ničesar.
• Slogovne napake. Nerodni prevodi, čudne velike začetnice, pretirana mudnost (»zadnje opozorilo pred vračilom paketa«). Resnična podjetja pišejo bolje.

Kako preveriš resnično pošiljko

Postopek je vedno enak in velja za vsako podjetje:

1. Ne klikni povezave v SMS. Zapri ga.
2. Odpri uradni kanal sam: aplikacijo trgovine, kjer si kupil, e-pošto s potrditvijo naročila, ali uradno spletno stran prevoznika tako, da naslov vtipkaš sam.
3. Vnesi tja svojo sledilno številko. Če obstaja resnična težava (carina, nepopoln naslov, poskus dostave), se bo pokazala v uradnem sledenju. Če se ne pokaže nič, je bil SMS lažen.

To zaporedje (zapri sporočilo, pojdi sam v uradni kanal) je enako, kot ga priporočamo za preverjanje klica ali SMS tvoje banke in za preverjanje obvestila davčne uprave ali socialne varnosti. To je navada, ki v kali zatre največ prevar.

Kaj storiti, če si kartico že vnesel

• Takoj pokliči svojo banko, povej, kaj se je zgodilo, in zaprosi za blokado kartice ter izdajo nove. To je ukrep, ki težavo odreže na mah.
• Če si poleg tega vnesel še potrditveno kodo, ki si jo prejel prek SMS, povej banki tudi to: morda že obstaja odobrena transakcija.
• Spremljaj bremenitve v naslednjih tednih in vklopi obvestila o prometu v aplikaciji banke. Goljufive bremenitve ne prispejo vedno takoj.
• Podaj prijavo s posnetki SMS in povezave. Številka 017 organizacije INCIBE je brezplačna, če potrebuješ pomoč.
• Prijavi številko pošiljatelja v imeniku številk za neželeno pošto.

Hitra vprašanja

Kaj pa, če paket res pričakujem in se SMS ujema? Ujemanje ne preverja ničesar: ob toliko naročilih v obtoku je naključen zadetek enostaven. Vedno preveri po uradnem kanalu s svojo sledilno številko. Vzame minuto in popolnoma odpravi dvom.

Ali dostavna podjetja pošiljajo resnične SMS? Da, nekatera pošiljajo obvestila o dostavi ali neuspelih poskusih. Razlika je v tem, da resnično obvestilo ne zahteva plačila prek povezave: napoti te na svojo uradno aplikacijo ali spletno stran, omeni tvojo sledilno številko in ne priganja z grožnjami o takojšnjem vračilu.

Se enako dogaja prek WhatsAppa ali e-pošte? Da, ista vaba kroži prek WhatsAppa, e-pošte in celo prek QR kod na lažnih nalepkah. Kanal se menja; obramba ne: nikoli ne plačuj s povezave, ki jo prejmeš, preveri sam po uradnem kanalu.

Če si prejel eno od teh sporočil, ga prijavi v imeniku številk NoCall: te kampanje iste številke ponovno uporabljajo več dni, tvoja prijava pa je opozorilo, ki ga bo videla naslednja oseba, preden vnese svojo kartico.