在 Wallapop 或 Vinted 賣東西,「買家」索取我的資料或傳來連結

你把不再使用的東西刊登到 Wallapop、Vinted 或 Milanuncios(西班牙熱門的二手交易平台;同樣的詐騙在蝦皮、旋轉拍賣、Facebook Marketplace 等世界各地的類似網站上也很常見),幾分鐘後就冒出一位熱情的買家。他不殺價,不問商品的任何細節,而且非常急。他以「這樣比較快」為由要你的 WhatsApp 或電子郵件,沒多久就傳來一個連結:「我已經付款了,進這裡收錢」或「我已經叫好物流,請確認你的資料,讓司機上門取件」。打開後,你會看到一個和平台一模一樣的頁面,要求你填寫信用卡號碼、有效期限和 CVV 安全碼。這不是收款,而是竊盜。拆穿整個騙局的規則很簡單:收錢永遠不需要提供你的信用卡資料或任何驗證碼。

假買家詐騙是怎麼運作的?

它有幾種變化,但幾乎都依循相同的步驟:

• 把你帶離平台。 第一步是把對話轉到 WhatsApp、簡訊、Telegram 或電子郵件。離開官方聊天室後,平台無法察覺詐騙,也無法保護你,騙子就能毫無過濾地傳送連結。
• 傳送假連結。 網站模仿 Wallapop、Vinted、Milanuncios、郵局或物流公司的頁面設計。頁面寫著款項「遭到凍結」或「等待確認」,要解除就必須輸入信用卡。騙子再用這些資料以你的名義消費或扣款。
• 索取驗證碼。 輸入卡號後,你會收到銀行傳來的簡訊,裡面有授權某筆交易的驗證碼。假網站會以「確認你是持卡人」為由要你提供。這組驗證碼就是你的簽名:你用它授權的是一筆付款,而不是收款。
• Bizum 變化型。 騙子不匯錢給你,而是傳來一筆 Bizum 付款請求(Bizum 是西班牙的手機轉帳系統,其他國家也有類似的應用程式),並說你要接受才能收到錢。一旦接受,付錢的人就是你。
• 「多付款」變化型。 騙子聲稱不小心多付了錢(或是「要給運送業者的錢」),要你把差額退回。最初那筆付款根本不存在。

它們的共同點是施壓:買家「馬上要出國」、「物流今天就到」或「付款 30 分鐘後失效」。製造急迫感,就是為了讓你來不及停下來思考。

要怎麼判斷買家是假的?

單一跡象都不足以作為證據,但幾個同時出現,判斷就相當可靠了:

1. 一開始就要求改用 WhatsApp、簡訊或電子郵件,卻沒有明確理由。
2. 對商品毫不過問,也不議價。買什麼對他來說都無所謂。
3. 傳連結要你收款。 平台會在自家應用程式內處理付款與寄送,錢不會在外部網站上「領取」。
4. 網域不是官方的。 帶有連字號、額外字詞(例如「secure-payment」、「confirm-shipping」)或奇怪結尾的網址。要冷靜看清楚,別只瞄一眼。
5. 索取信用卡、CVV、密碼或簡訊驗證碼。 收錢最多只需要你的帳號(IBAN),而且只有在平台外交易時才需要。絕不需要 CVV 或驗證碼。
6. 新註冊帳號或沒有任何評價,名稱往往很普通,也沒有大頭照。
7. 催促和物流藉口:親戚來取貨、「私人」物流、寄到國外。

現在馬上該做什麼?

1. 不要打開連結,也不要填寫任何資料。 如果已經打開但沒輸入任何東西,關掉即可;單純打開通常不會造成損害。
2. 回到平台的官方聊天室。 如果買家是真的,他會同意透過平台內建的付款與寄送系統購買。如果拒絕,答案就很清楚了。
3. 只在應用程式內查看付款狀況,或在網路銀行中查看——要自己從官方應用程式登入,絕不透過別人傳來的連結。
4. 保存證據:聊天截圖、電話號碼或個人頁面、連結(以文字形式複製,不要打開)以及日期。
5. 封鎖並檢舉:在平台上檢舉該帳號,在 WhatsApp 或手機上封鎖該號碼。這樣平台就能在它去騙其他賣家之前把帳號移除。

如果我已經填了資料或驗證碼怎麼辦?

別自責:這些網站做得非常逼真。關鍵在於速度:

1. 立刻致電你的銀行,撥打卡片背面或官方應用程式裡的號碼。要求停用信用卡並核對最近的交易。
2. 對不認得的扣款,以未經授權的交易申報,並申請退款。越早處理,機會越大。我們在如何追回電話詐騙損失的金錢一文中有詳細說明。
3. 如果你接受了 Bizum 請求(或類似支付應用程式中的請求),也要通知銀行:Bizum 是透過銀行運作的。詳情請見 Bizum 詐騙。
4. 變更密碼:變更平台帳號和電子郵件的密碼,並開啟兩步驟驗證。
5. 如果你洩漏了 WhatsApp 驗證碼,可能有人企圖盜用你的帳號:打開 WhatsApp,開啟兩步驟驗證,並提醒聯絡人不要理會借錢的請求。
6. 接下來幾週留意帳戶動態。 你的資料可能被再次用於冒充銀行的電話;採取任何行動前,先了解如何確認銀行來電或簡訊的真假。

要去哪裡報案?

• 在西班牙,向 Policía Nacional(091)或 Guardia Civil(062)報案:附上所有截圖、連結和銀行憑證。銀行處理申訴時可能會要求你提供報案紀錄。在其他國家,請向當地警方報案。
• 在西班牙,撥打 INCIBE 的 017:免費且保密的資安求助專線。他們會告訴你該怎麼做;在其網路使用者安全辦公室(OSI)的網站上,你還能查看目前流行的詐騙警訊。在其他國家,請聯絡國家資安機構或官方的詐騙檢舉管道。
• 平台本身:在應用程式內檢舉該帳號和對話。
• 112(歐洲緊急電話)只在真正緊急的情況下撥打,例如受到威脅或有人找上門。

如果對方是透過電話號碼聯絡你,請把號碼加入騷擾號碼目錄,讓其他賣家也能辨識。

常見問題

只憑我的卡號就能盜刷嗎? 有了卡號、有效期限和 CVV 就能在網路上消費,如果再拿到銀行傳給你的確認碼就更容易了。所以這些網站會一次索取全部資料。永遠不要為了收款而提供這些資料。

買家說平台「規定」我要驗證信用卡,是真的嗎? 不是。如果平台需要你提供什麼,會在官方應用程式內提出,而不是透過陌生人在 WhatsApp 上傳來的連結。

面交安全嗎? 在公共場所見面,以現金或平台的付款系統收款,是合理的做法。不要相信任何以截圖或電子郵件傳來的「付款證明」:真正算數的是你在帳戶或應用程式裡看到的錢。

連結是用簡訊而不是聊天室傳來的,有差別嗎? 沒有。管道變了,陷阱還是一樣。這和假冒物流簡訊是同一套手法。

總結

當你是賣家時,錢是流向你的:收款永遠不需要你付錢、輸入信用卡或提供驗證碼。把對話和付款都留在平台內,提防催促和連結;如果已經填了資料,先打電話給銀行,再去報案。如果你想對可疑號碼和簡訊多一層提醒,NoCall 可以幫你在回覆之前辨識對方是誰。