O tentativă de fraudă prin SMS care folosește numele și identitatea vizuală DPD urmărește să obțină datele de card ale persoanelor care așteaptă colete. Consecințele pot apărea imediat, sub forma unor plăți neautorizate și chiar a unor retrageri de bani din conturile victimelor.
Mecanismul este simplu. Utilizatorul primește un mesaj care anunță o problemă legată de livrare, de obicei o adresă greșită sau incompletă, și este îndemnat să actualizeze rapid datele prin accesarea unui link. Acest link nu duce la site-ul oficial DPD, ci la o pagină falsă care copiază aspectul serviciului de curierat. Acolo sunt cerute mai întâi date de livrare, iar apoi numărul cardului și codul CVV, sub pretextul achitării unei taxe mici pentru relivrare sau pentru modificarea adresei.
Riscul nu se oprește la acea sumă aparent redusă. După ce datele cardului sunt introduse pe pagina falsă, atacatorii pot iniția tranzacții neautorizate. Pe lângă pierderea efectivă de bani, pot apărea și alte costuri, precum blocarea cardului, înlocuirea acestuia, monitorizarea conturilor și, dacă au existat retrageri sau plăți necunoscute, raportarea cazului către autorități. Efectele se extind și asupra comercianților online, firmelor de curierat, băncilor și instituțiilor de securitate cibernetică, care trebuie să gestioneze incidentele și să reducă expunerea clienților.
Recomandările transmise de CERT Polska și DPD Polska sunt clare: expeditorul și adresa site-ului trebuie verificate cu atenție, iar statusul coletului ar trebui consultat exclusiv pe site-ul oficial sau în aplicația firmei de curierat. Potrivit Financiarul, atacatorii profită de un context cu șanse mari de reacție rapidă din partea victimei, respectiv așteptarea unui colet. Tocmai de aceea, un mesaj care insistă pe urgență și cere plata unei sume mici trebuie privit ca un semnal de alarmă.
Directoratul Național de Securitate Cibernetică din România avertizează că datele personale sau financiare nu trebuie divulgate prin SMS, e-mail sau telefon. Avertismentul vizează inclusiv PIN-ul, numărul cardului și codurile de activare sau autentificare. Regula este valabilă și în mediul de business, unde asemenea informații nu ar trebui transmise nici în procese interne improvizate și nici către furnizori, dacă solicitarea vine printr-un canal nesecurizat.
Dacă un mesaj cere actualizarea adresei de livrare și plata unei taxe, verificarea trebuie făcută direct în contul oficial al clientului sau în aplicația firmei de curierat. O taxă de relivrare solicitată într-o pagină deschisă din SMS reprezintă exact momentul în care tentativa urmărește monetizarea datelor furate.
În cazul în care datele cardului au fost deja introduse pe o pagină suspectă, banca trebuie contactată imediat pentru blocarea cardului. Timpul de reacție influențează direct nivelul pierderii financiare, deoarece o blocare rapidă reduce intervalul în care pot fi procesate tranzacții neautorizate. Dacă au apărut retrageri de bani sau plăți necunoscute, incidentul trebuie raportat autorităților. În România, incidentele de securitate cibernetică pot fi raportate la DNSC la numărul 1911 sau prin platforma PNRISC. În Polonia, CERT Polska recomandă trimiterea SMS-urilor suspecte la numărul gratuit 8080, pentru blocarea domeniilor folosite de atacatori.
Nu sunt disponibile aici cifre privind numărul persoanelor afectate în România sau valoarea totală a pagubelor raportate. Sunt însă clare tiparul atacului, punctul în care sunt monetizate datele și măsurile care limitează daunele: verificarea expeditorului, verificarea URL-ului, folosirea exclusivă a canalelor oficiale, blocarea imediată a cardului și raportarea incidentului.
