Fałszywe powiadomienie z UPS

Od wczoraj (poniedziałek, 12. czerwca) przysyłacie na nasz numer do zgłaszania podejrzanych SMS-ów, 508700900, sporo podobnych wiadomości. Ich nadawcą ma być rzekomo firma kurierska UPS, a treść brzmi (jeden z przykładów):

UPS: Twoja paczka o numerze F258548528 podlega opłacie celnej (2,99 EUR), odwiedź stronę : track-ups[.]net

Zamieszczone poniżej zrzuty ekranów pochodzą z witryny hxxps://ups-mytrackingpost[.]com.

Uwaga: Kolejne SMS-y mogą zacząć się pojawiać niebawem – zaobserwowaliśmy wzrost rejestracji domen, podszywających się pod UPS, przykładowo:

ups.forward-my-delivery[.]com
ups.trackpackage-post[.]com
my-parcel-ups[.]com
ups.myparcel-customs[.]com

Jak zatem wygląda podróż potencjalnej ofiary po stronie oszustów?

Po kliknięciu w link trafiamy na witrynę udającą stronę śledzenia paczki. Grafiki i kolorystyka przypominają tę prawdziwą. Strona jest – jak przystało na wersje mobilne – skromna. Dla przestępcy to dobrze. W sytuacji, gdy de facto widać tylko przycisk „Śledzenie”, ofiara nie będzie się zbytnio zastanawiać.

Jak można się było łatwo domyśleć, paczka nr F258548528 nie istnieje w systemie UPS. Jeśli jednak nie sprawdzimy tego na prawdziwej stronie, klikając trafimy na coś takiego:

Wprawne oko wyłapie pewną nieścisłość. Wg. SMS-a płatność miała wynieść 2,99€, podczas gdy na powyższym zrzucie widnieje kwota o 1 euro większa. Klikamy zatem „Zapłać teraz”.

To już można by rzec klasyk. Wpisujemy swoje dane (my oczywiście wpisaliśmy testowy nr karty) i…

Ten etap oszustwa to akurat nowość. Na dodatek całkiem sprytna, bowiem większość internautów nie ma przesadnej wiedzy o tym, jak działają systemy płatności Google, Samsunga, czy Apple, weźmie więc ten monit za dobrą monetę. W naszej opinii są to wiadomości 3D-Secure, potwierdzające transakcję kartą płatniczą! Jeśli ofiara nie spojrzy na treść SMS-a i bezrefleksyjnie przepisze kod, zatwierdzi tym samym transakcję, którą w tym momencie przestępcy przeprowadzają jej kartą!

Uważajcie, nigdy i nigdzie nie wpisujcie danych swoich kart płatniczych, jeśli nie macie absolutnej pewności, że to prawdziwa, nie fraudowa transakcja.