O campanie de fraudă prin SMS, construită în jurul numelui și identității vizuale DPD, încearcă să obțină datele de card ale persoanelor care așteaptă colete. Consecințele pot apărea rapid, de la plăți neautorizate până la retrageri de bani din conturile victimelor.
Mecanismul este simplu. Utilizatorul primește un mesaj în care este anunțat că există o problemă cu livrarea, cel mai des o adresă greșită sau incompletă. Sub pretextul rezolvării urgente, i se cere să actualizeze datele prin accesarea unui link. Acesta nu duce la site-ul oficial DPD, ci la o pagină falsă care imită serviciul de curierat. Într-o primă etapă sunt cerute datele de livrare, iar apoi numărul cardului și codul CVV, invocându-se o taxă mică pentru relivrare sau pentru modificarea adresei.
Riscul nu se oprește la acea sumă aparent nesemnificativă. Odată ce datele cardului sunt introduse pe pagina falsă, atacatorii pot iniția tranzacții neautorizate. În plus, victima poate fi nevoită să blocheze cardul, să îl înlocuiască, să își monitorizeze conturile și, dacă apar retrageri sau plăți necunoscute, să raporteze cazul către autorități. Efectele se resimt și mai larg, pentru că astfel de episoade afectează încrederea în livrările online și în interacțiunile digitale asociate comenzilor.
Potrivit Financiarul, atacatorii profită de un context cu șanse mari de reacție rapidă, așteptarea unui colet. Tocmai de aceea, CERT Polska și DPD Polska recomandă verificarea expeditorului și a adresei site-ului, precum și folosirea exclusivă a site-ului oficial sau a aplicației companiei de curierat pentru verificarea statusului livrării. Cu alte cuvinte, statusul unui colet nu ar trebui verificat din linkul primit prin SMS, ci prin acces direct pe pagina oficială introdusă manual sau din aplicația firmei.
Directoratul Național de Securitate Cibernetică din România avertizează că datele personale sau financiare nu trebuie divulgate prin SMS, e-mail sau telefon. Avertismentul vizează inclusiv PIN-ul, numărul cardului și codurile de activare sau autentificare. Regula este valabilă și în mediul de business, unde astfel de informații nu ar trebui transmise nici în procese interne improvizate, nici către furnizori, dacă solicitarea vine printr-un canal nesecurizat.
Dacă mesajul cere actualizarea adresei de livrare și plata unei taxe, verificarea trebuie făcută în contul oficial al clientului sau în aplicația firmei de curierat. O taxă de relivrare solicitată într-o pagină deschisă din SMS este chiar momentul în care tentativa încearcă monetizarea datelor furate.
În situația în care datele cardului au fost deja introduse pe o pagină suspectă, recomandarea este contactarea imediată a băncii pentru blocarea cardului. Rapiditatea reacției poate reduce pierderea financiară, pentru că micșorează intervalul în care pot fi procesate plăți neautorizate. Dacă au apărut retrageri de bani sau tranzacții necunoscute, incidentul trebuie raportat și autorităților. În România, incidentele de securitate cibernetică pot fi raportate la DNSC la numărul 1911 sau prin platforma PNRISC. În Polonia, CERT Polska recomandă trimiterea SMS-urilor suspecte la numărul gratuit 8080, pentru blocarea domeniilor folosite de atacatori.
Nu sunt disponibile aici cifre privind numărul persoanelor afectate în România sau valoarea totală a pagubelor raportate. Sunt însă clare tiparul de atac, punctul de monetizare și pașii de limitare a daunelor: verificarea expeditorului, verificarea URL-ului, folosirea exclusivă a canalelor oficiale, blocarea imediată a cardului și raportarea incidentului.
