「包裹被扣」:假冒 Correos 簡訊與其他包裹詐騙

「Correos:由於郵資不足,您的包裹未能投遞。請在此補繳費用(1.68 歐元)。」再加上一個連結。這封以 Correos、DHL、UPS、FedEx 或 Seur 名義發送的簡訊(視波次而定),是西班牙最頑固的簡訊釣魚活動之一。它之所以有效,是因為幾乎人人都在網購,也幾乎人人都曾有包裹在途中:訊息正好落在肥沃的土壤上。

金額故意小得可笑。對方的目標從來不是那兩歐元,而是要你把完整的信用卡資料輸入一個仿冒快遞公司的假網站,有時還包括你隨後收到的驗證碼,以便盜刷更大的金額。

為什麼即使你沒等包裹也會上當

詐騙者不知道你是否在等訂單,他們也不需要知道:

• 數量。 他們把同一封簡訊發給數千個號碼。在今天的電商環境下,很高比例的收件人真的有包裹在途中或最近剛收過,訊息自然吻合。
• 微不足道的金額。 一兩歐元不會觸發警報。沒有人會像查證 300 歐元付款那樣去「查證」一筆 1.68 歐元的付款。
• 催促與零摩擦。 「現在付款,明天收貨」促使你當場用手機處理,無暇停下來查看寄件人或網域。
• 輪換的偽裝。 當某個品牌被識破(大家開始提醒「那封 Correos 簡訊是假的」),活動就換成另一家快遞公司。骨架永遠和假冒 DGT 罰單簡訊一樣:知名機構 + 待辦事項 + 緊迫感 + 付款連結。

如何辨識假簡訊

以下任何一個跡象單獨看都不是決定性的,但合在一起就是相當可靠的判斷:

• 要求透過連結支付費用。 快遞公司不會透過意外簡訊中的連結收取海關或郵資費用。真正的海關費用會透過可追溯的管道通知,並附上貨件文件。
• 連結不是官方網域。 帶有多餘連字號的網域(「correos-envios」、「dhl-paquete」、「seur-seguimiento」)或奇怪的後綴。在手機螢幕上,匆忙之中容易矇混;冷靜細看就會露出馬腳。
• 沒有提及任何真實追蹤號碼。 假簡訊籠統地說「您的包裹」,因為它根本不知道是哪一件。正規通知會包含追蹤號碼,且與商店給你的一致。
• 寄件人不固定。 有時是隨便一個手機號,有時是仿冒公司的名稱。簡訊寄件人可以偽造:不能證明任何事。
• 文筆破綻。 拙劣的翻譯、奇怪的大小寫、誇張的緊迫感(「退回包裹前的最後通知」)。真正的公司寫得比這好得多。

如何查證真正的貨件

方法永遠只有一個,適用於任何公司:

1. 不要點擊簡訊中的連結。 關掉它。
2. 自己打開官方管道:你購物的商店 App、訂單確認郵件,或自己輸入網址開啟快遞公司的官方網站。
3. 在那裡輸入你的追蹤號碼。 如果真有問題(海關、地址不全、投遞嘗試),會顯示在官方追蹤中。如果什麼都沒有,那封簡訊就是假的。

這個順序(關掉訊息,自己進入官方管道)和我們建議的查證銀行來電或簡訊以及查證稅務或社保通知的方法相同。這是能從根源斬斷最多詐騙的習慣。

如果你已經輸入了信用卡資料怎麼辦

• 立刻打給你的銀行,說明經過,要求凍結信用卡並換發新卡。這是能一舉斬斷問題的措施。
• 如果你還輸入了簡訊收到的驗證碼,也要告訴銀行:可能已經有一筆授權交易。
• 留意未來幾週的帳單,並在銀行 App 中開啟交易通知。盜刷不一定馬上出現。
• 帶著簡訊和連結的截圖報警。如需協助,INCIBE 的 017 專線免費。
• 在垃圾號碼目錄中舉報寄件號碼。

快速問答

如果我真的在等包裹,而且簡訊吻合呢? 巧合不能證明任何事:市面上有這麼多訂單在流動,碰巧猜中很容易。務必用你的追蹤號碼透過官方管道查證。只需一分鐘,就能徹底消除疑慮。

快遞公司會發真正的簡訊嗎? 會,有些公司會發投遞通知或投遞失敗提醒。差別在於,真正的通知不會要求你透過連結付款:它會引導你到官方 App 或網站,提及你的追蹤號碼,也不會以立即退件威脅來催促你。

WhatsApp 或郵件也有一樣的騙局嗎? 有,同樣的誘餌在 WhatsApp、郵件中流傳,甚至透過假貼紙上的 QR 碼傳播。管道會變,防禦不變:絕不從收到的連結付款,自己透過官方管道查證。

如果你收到這類訊息,請到 NoCall 的號碼目錄舉報:這些活動會把號碼重複使用好幾天,你的舉報就是下一個人在輸入信用卡資料前會看到的警告。