O campanie de fraudă prin SMS care folosește numele și identitatea vizuală DPD încearcă să obțină datele de card ale persoanelor care așteaptă colete. Consecințele pot apărea imediat, sub forma unor plăți neautorizate și chiar a unor retrageri de bani din conturile victimelor.
Schema începe, de regulă, cu un mesaj care anunță o problemă legată de livrare, cum ar fi o adresă greșită sau incompletă. Destinatarului i se cere să își actualizeze rapid datele accesând un link. Problema este că acel link nu duce la site-ul oficial DPD, ci la o pagină falsă care imită serviciul de curierat. Acolo sunt cerute mai întâi informații de livrare, apoi numărul cardului și codul CVV, sub pretextul achitării unei taxe mici pentru relivrare sau pentru modificarea adresei.
Riscul nu se oprește la o sumă aparent nesemnificativă. După introducerea datelor cardului pe pagina falsă, atacatorii pot porni tranzacții neautorizate. Pe lângă pierderea directă de bani, pot urma blocarea cardului, înlocuirea acestuia, monitorizarea conturilor și, dacă există retrageri sau plăți necunoscute, raportarea cazului către autorități. Efectele se răsfrâng și asupra comercianților online, firmelor de curierat, băncilor și instituțiilor de securitate cibernetică, pentru care astfel de incidente înseamnă presiune operațională și nevoia de a accelera măsurile de prevenție.
Un element esențial este verificarea canalului prin care este cerută acțiunea. CERT Polska și DPD Polska recomandă verificarea expeditorului și a adresei site-ului, precum și folosirea exclusivă a site-ului oficial sau a aplicației firmei de curierat pentru verificarea statusului coletului. Cu alte cuvinte, statusul unei livrări nu ar trebui verificat din linkul primit prin SMS, ci direct din aplicația companiei sau prin accesarea manuală a paginii oficiale. Potrivit Financiarul, atacatorii mizează exact pe un context cu șanse mari de reușită, și anume așteptarea unui colet, pentru a grăbi reacția victimei.
Directoratul Național de Securitate Cibernetică din România avertizează să nu fie divulgate date personale sau financiare prin SMS, e-mail sau telefon. Lista include PIN-ul, numărul cardului și codurile de activare sau autentificare. Aceeași regulă este valabilă și în mediul de business, unde astfel de date nu ar trebui transmise nici în procese interne improvizate, nici către furnizori, dacă solicitarea vine printr-un canal nesecurizat.
Dacă un mesaj cere actualizarea adresei de livrare și plata unei taxe, verificarea trebuie făcută în contul oficial al clientului sau în aplicația firmei de curierat. O taxă de relivrare solicitată pe o pagină deschisă din SMS este punctul în care tentativa încearcă să monetizeze datele furate.
În situația în care datele cardului au fost deja introduse pe o pagină suspectă, recomandarea este contactarea imediată a băncii pentru blocarea cardului. Timpul de reacție contează direct pentru limitarea pierderilor. Dacă au apărut retrageri de bani sau tranzacții necunoscute, incidentul trebuie raportat și autorităților. În România, incidentele de securitate cibernetică pot fi raportate la DNSC la numărul 1911 sau prin platforma PNRISC. În Polonia, CERT Polska recomandă trimiterea SMS-urilor suspecte la numărul gratuit 8080, pentru blocarea domeniilor folosite de atacatori.
Nu sunt disponibile aici cifre privind numărul persoanelor afectate în România sau valoarea totală a pagubelor raportate. Sunt însă clare tiparul de atac, punctul de monetizare și pașii de limitare a daunelor: verificarea expeditorului, verificarea URL-ului, folosirea exclusivă a canalelor oficiale, blocarea imediată a cardului și raportarea incidentului. Regula de bază rămâne aceea că niciun PIN, număr de card, cod CVV sau cod de autentificare nu ar trebui introdus ca răspuns la un SMS, e-mail sau apel telefonic.
