Frauda prin SMS în numele DPD poate duce la plăți neautorizate și retrageri din conturi

Schema începe, de regulă, cu un mesaj care anunță o problemă legată de livrare, cum ar fi o adresă greșită sau incompletă. Destinatarului i se cere să actualizeze rapid datele accesând un link. Problema este că acel link nu duce la site-ul oficial DPD, ci către o pagină falsă, construită să imite serviciul de curierat. Acolo sunt cerute mai întâi date de livrare, iar apoi numărul cardului și codul CVV, sub pretextul unei taxe mici pentru relivrare sau pentru modificarea adresei.

Riscul real nu se rezumă la acea sumă aparent nesemnificativă. După introducerea datelor cardului pe pagina falsă, atacatorii pot iniția tranzacții neautorizate. În plus, pentru victimă urmează și alte costuri: blocarea cardului, înlocuirea lui, supravegherea conturilor și, dacă au existat retrageri sau plăți necunoscute, sesizarea autorităților. Efectele nu se opresc însă la nivel individual. Astfel de episoade afectează încrederea în livrările online și în interacțiunile digitale asociate comenzilor, iar pentru bănci și instituțiile de securitate cibernetică înseamnă presiune operațională suplimentară.

Un prim filtru important este verificarea atentă a expeditorului și a adresei site-ului. CERT Polska și DPD Polska recomandă folosirea exclusivă a site-ului oficial sau a aplicației firmei de curierat pentru verificarea statusului coletului. Cu alte cuvinte, statusul unei livrări nu ar trebui verificat din linkul primit prin SMS, ci direct în aplicația companiei sau prin accesarea manuală a paginii oficiale. Potrivit Financiarul, atacatorii mizează tocmai pe contextul în care probabilitatea de reacție este mare, așteptarea unui colet. Dacă mesajul insistă pe urgență și cere plata unei sume mici, suspiciunea de fraudă ar trebui să crească.

Directoratul Național de Securitate Cibernetică din România avertizează că datele personale sau financiare nu trebuie divulgate prin SMS, e-mail sau telefon. Avertismentul include PIN-ul, numărul cardului și codurile de activare sau autentificare. Aceeași regulă este valabilă și în mediul de business, unde astfel de informații nu ar trebui transmise nici în procese interne improvizate, nici către furnizori prin canale nesecurizate.

Dacă mesajul cere actualizarea adresei și plata unei taxe, verificarea trebuie mutată în contul oficial al clientului sau în aplicația firmei de curierat. O taxă de relivrare solicitată într-o pagină deschisă din SMS este exact momentul în care tentativa încearcă să monetizeze datele furate.

În situația în care datele cardului au fost deja introduse pe o pagină suspectă, recomandarea este contactarea imediată a băncii pentru blocarea cardului. Timpul de reacție contează direct pentru limitarea pierderilor financiare. Dacă au apărut retrageri de bani sau tranzacții necunoscute, cazul trebuie raportat și autorităților. În România, incidentele de securitate cibernetică pot fi raportate la DNSC la numărul 1911 sau prin platforma PNRISC. În Polonia, CERT Polska recomandă trimiterea SMS-urilor suspecte la numărul gratuit 8080, pentru blocarea domeniilor folosite de atacatori.

Nu sunt disponibile aici cifre privind numărul persoanelor afectate în România sau valoarea totală a pagubelor raportate. Sunt însă clare tiparul de atac, punctul de monetizare și pașii de limitare a daunelor: verificarea expeditorului, verificarea URL-ului, folosirea exclusivă a canalelor oficiale, blocarea imediată a cardului și raportarea incidentului.