Prijevara USPS paketa i lažna ponovna isporuka¶

Receiving an urgent text message claiming that a United States Postal Service package cannot be delivered due to an incomplete street address is now one of the most common cyber threats on mobile devices. These short message service (SMS) phishing attacks, known as smishing, display realistic postal branding, simulated tracking barcodes, and official language. The message directs you to a fraudulent lookalike website where you are asked to verify your home address and pay a small redelivery fee, typically between 0.30 USD and 3.00 USD, by entering your debit or credit card number, expiration date, security code, and billing details.

The tiny redelivery fee is merely a deceptive mechanism designed to capture your full credit card information and personal identity records. Once submitted, criminal networks immediately initiate unauthorized online retail transactions, enroll your card in recurring fraudulent subscriptions, or attempt account takeovers using real-time one-time password interceptors. In some cases on Android devices, clicking the malicious link triggers the silent download of banking trojan applications that monitor keystrokes and intercept multi-factor authentication codes. Taking immediate containment measures on your payment cards, mobile device, and credit files can neutralize financial loss and prevent long-term identity theft.

Učinite to sada¶

If you clicked a fake postal text link or submitted payment details on a redelivery website, take these six actions immediately:

1. Lock or cancel the compromised payment card right now:
   • Open your mobile banking app or call the card issuer using the emergency fraud number printed on the back of your card.
   • Use the app card controls to instantly toggle your card status to "Locked" or report the card as compromised.
   • Request an immediate replacement card with a completely new sixteen-digit account number, expiration date, and CVV security code.
2. Review pending transactions and dispute fraudulent charges:
   • Check your recent transaction history for unfamiliar micro-charges or pending unauthorized merchant authorizations.
   • Instruct your bank to decline all recurring subscription authorizations and issue a formal chargeback under federal consumer protection rules.
   • State explicitly to the fraud representative: "I entered my card details on a fraudulent phishing website impersonating postal delivery."
3. Inspect your mobile device for unauthorized apps or profiles:
   • On Android, open Settings -> Apps and check for recently installed unknown applications (such as fake package trackers or Flash players).
   • On iPhone, open Settings -> General -> VPN & Device Management and verify that no unauthorized mobile device management (MDM) configuration profiles or enterprise certificates were installed.
   • If an unknown application or configuration profile is found, remove it immediately and restart the device.
4. Forward the malicious text message to report the sender:
   • Copy the text message body and forward it directly to the universal carrier spam shortcode 7726 (which spells SPAM).
   • Forward the message and sender details to the United States Postal Inspection Service at spam@uspis.gov.
   • Take a screenshot of the text message and website URL before deleting the conversation thread.
5. Protect your personal identity if you submitted full address and personal data:
   • If the phishing form requested your Social Security number, date of birth, or mother's maiden name, treat your identity as exposed.
   • Place temporary fraud alerts or full security freezes on your credit files at Equifax, Experian, and TransUnion.
   • Monitor your credit reports regularly for unauthorized inquiries or newly opened trade lines.
6. Report the smishing portal to federal cybersecurity databases:
   • File an internet crime complaint with the FBI Internet Crime Complaint Center at ic3.gov.
   • Submit the malicious phishing URL to Google Safe Browsing and the Cybersecurity and Infrastructure Security Agency (CISA) to protect other consumers.
   • Report the deceptive business practice to the Federal Trade Commission at reportfraud.ftc.gov.

Incident triage flowchart¶

Follow this step-by-step decision pathway to assess your level of exposure, contain potential card fraud, and secure your mobile smartphone:

flowchart TD
    A["Received SMS Claiming Postal Delivery Failure"] --> B{"Did you click the web link in the text?"}
    B -->|"No: Only received text"| C["Forward SMS to 7726 and spam@uspis.gov, delete message, block number"]
    B -->|"Yes: Clicked link"| D{"Did you enter card details, password, or personal info?"}
    D -->|"No: Closed browser immediately"| E["Clear mobile browser cache and cookies, check device for downloaded files"]
    D -->|"Yes: Submitted card or info"| F["Jedinica za prijevare izdavatelja pozivne kartice odmah poništava karticu"]
    F --> G["Osporite neriješene troškove i opozovite ponavljajuće autorizacije"]
    G --> H{"Jeste li poslali broj socijalnog osiguranja ili datum rođenja?"}
    H -->|"Da: Potpuni identitet otkriven"| I["Postavite sigurnosna zamrzavanja na Equifax, Experian i TransUnion"]
    H -->|"Ne: Unesena je samo kartica"| J["Pratite bankovne izvode 60 dana, provjerite kreditna izvješća"]
    I --> K["Prijavite URL za krađu identiteta FBI-u IC3, FTC-u i CISA-i"]
    J --> K

Kako funkcioniraju poštanski poslovi¶

Smishing poštanske dostave ne obavljaju izolirani hobisti; njime upravljaju organizirani sindikati kibernetičkog kriminala koji koriste hardver za distribuiranu neželjenu poštu, setove za krađu identiteta za obrnuti proxy i automatizirane kanale za isplatu novca.

+-----------------------------------------------------------------------------+
|                     POSTAL SMISHING ATTACK ARCHITECTURE                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  1. Mass SMS Blast             SIM farms and compromised iMessage botnets   |
|     (Millions daily)           send automated texts to sequential numbers.  |
|                                                                             |
|  2. Spoofed Redelivery URL     Victim clicks lookalike domain               |
|     (Reverse proxy kit)        (e.g., usps-redeliver-tracking-hub.com).     |
|                                                                             |
|  3. Fake Tracking Interface    Page displays realistic USPS branding,       |
|     (Address verification)     simulated tracking status, and address form. |
|                                                                             |
|  4. Card Harvesting Trap       Page demands $0.35 redelivery fee;           |
|     (CVV, expiration, ZIP)     captures complete payment credentials.       |
|                                                                             |
|  5. Real-Time OTP Intercept    Scammer attempts Apple Pay provisioning;     |
|     (Adversary-in-the-Middle)  tricks victim into typing bank SMS code.     |
|                                                                             |
+-----------------------------------------------------------------------------+

Infrastruktura masovne distribucije: SIM farme i botneti¶

Zločinački sindikati svakodnevno šalju milijune smiješnih poruka pretplatnicima mobilnih telefona preko čitavih pozivnih brojeva koristeći specijalizirani hardver:

• Hardverske SIM farme (GSM modemi): Stalci višekanalnih GSM modema koji sadrže stotine unaprijed plaćenih mobilnih SIM kartica kupljenih ukradenim sredstvima ili aktiviranih pod lažnim imenima. Ovi uređaji automatski rotiraju telefonske brojeve kako bi zaobišli filtre neželjene pošte operatera.
• Kompromitirani iMessage i RCS botneti: Napadači koriste softverske skripte za otimanje Apple iMessage i Google RCS računa, dopuštajući im slanje poruka s plavim oblačićima ili šifriranih RCS tekstova izravno žrtvama putem podatkovnih kanala, potpuno zaobilazeći SMS vatrozide mobilnog operatera.
• Smishing-as-a-Service (SmaaS): akteri prijetnji na mračnom webu prodaju setove za smishing po principu "ključ u ruke" koji uključuju svježe popise aktivnih brojeva mobilnih telefona, automatizirane API-je pristupnika SMS-a i unaprijed hostirane poštanske predloške uz naknadu za pretplatu.

Obrnuti proxy kompleti za krađu identiteta i slične domene¶

Kada žrtva dodirne vezu u poruci, web-preglednik učitava sofisticirani obrnuti proxy phishing okvir (kao što su Modlishka, Evilginx ili prilagođeni poštanski kompleti):

• Typosquatting domene: Napadači registriraju podložne domene koje oponašaju službene državne usluge, kao što su usps-tracking-support-redelivery.com, post-office-portal-us.com, ili usps-update-delivery-info.org.
• Dinamičko geografsko ciljanje: Poslužitelj za krađu identiteta provjerava IP adresu dolaznog posjetitelja. Ako se posjetitelj nalazi u Ujedinjenom Kraljevstvu, poslužitelj ga preusmjerava na lažni Royal Mail predložak; ako ste u Kanadi, na lažni portal Kanadske pošte; a ako je u Sjedinjenim Državama, na lažnu USPS odredišnu stranicu.
• Prikrivanje robota i alata za indeksiranje: poslužitelj automatski detektira robote za indeksiranje tražilice, istraživače kibernetičke sigurnosti i robote za skeniranje prijetnji, poslužujući im bezopasnu praznu stranicu ili pogrešku 404 dok isporučuje zlonamjerni predložak za krađu identiteta isključivo pravim korisnicima mobilnih pametnih telefona.

Zamka plaćanja protivnik u sredini u stvarnom vremenu¶

Čini se da stranica za plaćanje obrađuje beznačajnu naknadu, kao što je 0,35 USD, 1,20 USD ili 2,99 USD, pod krinkom "administrativne naknade za ponovnu dostavu" ili "dodatne naknade za držanje paketa":

• Kada upišete podatke o kartici i kliknete "Pošalji", komplet za krađu identiteta ne obrađuje naplatu od 0,35 USD.
• Umjesto toga, automatizirani bot u pozadini uzima vaš šesnaestoznamenkasti broj kartice, CVV kod i poštanski broj za naplatu i odmah pokušava povezati vašu karticu s mobilnim novčanikom (kao što je Apple Pay, Google Wallet ili Samsung Pay) na pametnom telefonu napadača.
• Kada vaša banka otkrije novu prijavu novčanika, generira autentičnu SMS šifru za potvrdu koja se šalje izravno na vaš telefon.
• Lažna poštanska web stranica odmah prikazuje polje autentičnog izgleda: "Radi sigurnosti unesite 6-znamenkasti kontrolni kod koji vam je poslala vaša banka."
• Ako upišete taj kod na web mjesto, napadačeva skripta ga šalje vašoj banci, uspješno dodajući vašu karticu na njihov fizički pametni telefon. Prevarant sada može neograničeno kupovati beskontaktno u maloprodajnim trgovinama dok se ne potroši ograničenje vaše kartice.

Prepoznavanje lažnih poštanskih tekstualnih poruka¶

Službeni poštanski prijevoznici pridržavaju se strogih digitalnih komunikacijskih protokola. Prepoznavanje strukturnih razlika između legitimnih obavijesti i lažnih smishing poruka omogućuje vam trenutno uočavanje prijetnji.

Kompromitiranje mobilnog uređaja: krađa identiteta protiv bankovnih trojanaca¶

Dok većina napada smishing poštanskom dostavom traži podatke o kreditnoj kartici i podatke o identitetu putem web obrazaca, neke kampanje koriste mobilni zlonamjerni softver dizajniran za uspostavljanje trajnog pristupa na pametnim telefonima.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE THREAT VECTOR MATRIX                         |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Device Platform       Attack Vector                  Technical Impact      |
|  -------------------------------------------------------------------------  |
|  Apple iOS             Web Phishing Form              Harvests card, CVV,   |
|  (iPhone)              (No APK installation)          and billing address   |
|                                                                             |
|  Apple iOS             Malicious MDM Profile          Installs rogue root   |
|  (iPhone)              (Prompt to install profile)    certificates and VPN  |
|                                                                             |
|  Google Android        Web Phishing Form              Harvests card, CVV,   |
|  (Samsung, Pixel)      (No APK installation)          and billing address   |
|                                                                             |
|  Google Android        Malicious APK Download         Deploys banking       |
|  (Sideloaded App)      (TeaBot, FluBot, Anatsa)       trojan with keylogger |
|                                                                             |
+-----------------------------------------------------------------------------+

Apple iOS: profili mobilne konfiguracije i Safari phishing¶

Na Apple uređajima sa sustavom iOS, mobilni operativni sustav zabranjuje izravnu instalaciju aplikacije izvan službene App Store osim ako nije prihvaćen poslovni profil za upravljanje mobilnim uređajem:

• Ako ste web stranicu posjetili samo u pregledniku Safari i upisali podatke o plaćanju, vaš fizički iPhone nije zaražen zlonamjernim softverom. Kompromis je ograničen na podatke koje ste poslali na obrascu.
• Međutim, ako vas je web mjesto zatražilo da preuzmete "USPS sigurnosni certifikat" ili "Profil isporuke" i uputilo vas u Postavke za instaliranje konfiguracijskog profila, odmah odbacite upit.
• Zlonamjerni MDM profil omogućuje napadaču da sav vaš internetski promet usmjeri preko lažnog proxy poslužitelja, presrećući lozinke i nešifrirane podatke.
• Kako biste provjerili lažne profile na vašem iPhoneu, otvorite Postavke -> Općenito -> VPN i upravljanje uređajima. Ako se pojavi neki nepoznati profil, dodirnite ga i odaberite Ukloni upravljanje.

Google Android: APK bankarski trojanci sa strane¶

Na Android uređajima prevaranti često pokušavaju prevariti korisnike da preuzmu i instaliraju datoteke paketa zlonamjernih aplikacija (APK):

• Web stranica za krađu identiteta prikazuje upozorenje: "Da biste pratili svoj paket u stvarnom vremenu, preuzmite službeni USPS Mobile Tracking Assistant."
• Preglednik preuzima datoteku pod nazivom USPS_Track.apk ili Package_Service.apk.
• Ako dodirnete preuzetu datoteku i zaobiđete sigurnosna upozorenja Androida (kao što je dopuštanje instalacije iz nepoznatih izvora), instalirat ćete moćnog bankarskog trojanca (kao što su TeaBot, FluBot ili Anatsa).

• Kada žrtva slučajno autorizira instalaciju bočno učitanog APK-a, zlonamjerni softver odmah traži dopuštenje za omogućavanje usluga pristupačnosti Androida. Ove značajke pristupačnosti izvorno su osmišljene kako bi pomogle korisnicima s fizičkim nedostacima čitanjem teksta na zaslonu naglas ili automatiziranjem pokreta. Međutim, bankarski trojanci iskorištavaju pristup pristupačnosti kako bi uspostavili potpunu administrativnu kontrolu nad mobilnim operativnim sustavom:

• Real-Time Keylogging i Screen Scraping: Zlonamjerna pozadinska usluga bilježi svaki znak upisan na tipkovnici, hvatajući korisnička imena, glavne lozinke i osobne identifikacijske brojeve u svim aplikacijama.

• Zlonamjerni prekrivači zaslona: kada žrtva otvori legitimnu aplikaciju za bankarstvo ili kriptovalutu, trojanac detektira pokretanje aplikacije i trenutno prikazuje transparentan ili pikselski savršen lažni zaslon za prijavu izravno preko originalne aplikacije. Kada unesete svoje vjerodajnice, one se šalju poslužitelju napadača dok se aplikacija ruši ili prikazuje simulirani zaslon za učitavanje.
• Automatizirano presretanje SMS-ova: Trojanac presreće dolazne SMS tekstualne poruke koje sadrže jednokratne zaporke koje šalju banke, tiho briše obavijesti tako da ih nikada ne vidite i šalje autentifikacijske kodove prevarantu unutar milisekundi.

Korak po korak protokol zadržavanja za kompromitirane platne kartice¶

Kada se vjerodajnice za plaćanje unesu u lažni portal za ponovnu dostavu, poduzimanjem odlučne radnje s vašom financijskom institucijom zaustavljaju se neovlaštena terećenja.

flowchart TD
    A["Podaci o kartici uneseni na lažnoj stranici za ponovnu dostavu"] --> B["Otvorite aplikaciju za mobilno bankarstvo i odmah zaključajte karticu"]
    B --> C["Izdavatelj pozivne kartice Odjel za prijevare koji radi 24/7"]
    C --> D["Zatražite potpuno otkazivanje i ponovno izdavanje kartice"]
    D --> E["Pregledajte sve transakcije u zadnja 72 sata"]
    E --> F{"Postoje li neovlaštena terećenja ili čekanja na čekanju?"}
    F -->|"da"| G["Pokretanje spora potrošača prema Uredbi Z/E za lažne artikle"]
    F -->|"Ne: Uhvaćen prije optužbi"| H["Provjerite da nisu dodani digitalni novčanici (Apple/Google Pay)."]
    G --> I["Opozovite sve tokenizirane pretplate povezane s ukradenom karticom"]
    H --> I
    I --> J["Pratite tekući račun i kreditnu karticu 60 dana"]

Zaključavanje i reizdavanje kompromitiranih platnih kartica¶

Nemojte čekati da vidite hoće li se na vašem izvodu pojaviti neovlaštena naplata. U trenutku kada shvatite da je web stranica nelegitimna, pokrenite otkazivanje kartice:

• Prijavite se u mobilnu aplikaciju svoje banke i pronađite sigurnosne postavke kartice. Dodirnite Zaključaj karticu ili Zamrzni karticu kako biste spriječili pokušaje autorizacije u stvarnom vremenu.
• Obratite se odjelu za prijevare banke izdavatelja koji radi 24 sata dnevno, 7 dana u tjednu koristeći telefonski broj utisnut na poleđini vaše fizičke kartice.
• Jasno recite: "Pogreškom sam unio broj svoje kartice, datum isteka i CVV kod na mrežnoj web stranici za krađu identiteta. Ovu karticu trebam odmah poništiti i izdati zamjensku s novim brojem računa."
• Potvrdite kod predstavnika da banka onemogućuje tokenizirana ažuriranja trgovca. Mnogi izdavatelji kreditnih kartica sudjeluju u automatiziranim uslugama ažuriranja kartica koje trgovcima automatski daju vaš novi broj kartice kada se kartica ponovno izda; izričito zahtijevati da banka prekine sve postojeće trgovačke veze koje se ponavljaju.

Osporavanje lažnih transakcija prema federalnom zakonu o potrošačima¶

Ako su napadači uspjeli izvršiti neovlaštene naplate prije nego što ste zaključali karticu, federalni bankarski zakoni ograničavaju vašu osobnu financijsku odgovornost:

• Zakon o poštenoj kreditnoj naplati (FCBA, 12 CFR, dio 1026 / Uredba Z): Za transakcije kreditnom karticom, vaša maksimalna zakonska odgovornost prema saveznom zakonu za neovlaštene naknade iznosi 50 USD. Većina velikih izdavatelja kartica (Visa, Mastercard, American Express, Discover) održava pravila nulte odgovornosti koja u potpunosti odriču ove naknade od 50 USD kada odmah prijavite prijevaru.
• Zakon o elektroničkom prijenosu sredstava (EFTA, 12 CFR, dio 1005 / Uredba E): Za transakcije debitnom karticom povezane s tekućim računima, vrijeme je ključno. Ako svoju banku obavijestite u roku od dva radna dana od saznanja o kompromisu, vaša je obveza ograničena na 50 USD. Ako se prijavite između dva i šezdeset kalendarskih dana nakon što je vaš mjesečni izvod poslan, vaša obveza raste na 500 USD. Nakon šezdeset dana riskirate gubitak sav novac ukraden s vašeg računa.
• Vodite pisani dnevnik svakog telefonskog razgovora sa svojom bankom, uključujući datum, vrijeme, ime predstavnika i broj slučaja spora.

Dekontaminacija mobilnih uređaja i jačanje sigurnosti¶

Čišćenje i ojačavanje vašeg mobilnog uređaja sprječava stalni nadzor, sakupljanje vjerodajnica i ponavljajuće napade neželjene pošte.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE DECONTAMINATION CHECKLIST                    |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [X] Clear Mobile Browser Cache: Purge Safari, Chrome, or Firefox cache,    |
|      cookies, and website data to remove cached phishing sessions.          |
|                                                                             |
|  [X] Audit Installed Applications: Inspect all apps, removing any unknown  |
|      software, especially apps installed outside official app stores.       |
|                                                                             |
|  [X] Audit Accessibility Permissions (Android): Revoke accessibility       |
|      access for any third-party app not explicitly trusted.                |
|                                                                             |
|  [X] Remove Enterprise MDM Profiles (iOS): Delete unfamiliar device        |
|      management certificates under Settings -> VPN & Device Management.     |
|                                                                             |
|  [X] Enable Spam Filtering: Activate native carrier and operating system    |
|      spam call and message filters (Silence Unknown Callers / Spam Shield). |
|                                                                             |
+-----------------------------------------------------------------------------+

Čišćenje predmemorije mobilnog preglednika i pohrane sesije¶

Web stranice za krađu identiteta pohranjuju skripte za praćenje, tokene sesije i objekte lokalne predmemorije unutar vašeg mobilnog preglednika za praćenje odgovora posjetitelja:

• iOS Safari: Otvorite Postavke -> Safari -> Očisti povijest i podatke web stranice. Odaberite "Sva povijest" i potvrdite. Ovo zatvara sve otvorene kartice preglednika i briše pohranjene kolačiće, predmemorirane slike i unose lokalne web baze podataka.
• Android Google Chrome: Otvorite Chrome, dodirnite tri točkice u gornjem desnom kutu, odaberite Postavke -> Privatnost i sigurnost -> Obriši podatke o pregledavanju. Odaberite "Sve vrijeme", označite "Kolačići i podaci web-mjesta" i "Spremljene slike i datoteke" i dodirnite Izbriši podatke.

Neutralizacija zlonamjernih Android aplikacija¶

Ako ste preuzeli i instalirali datoteku aplikacije s veze za krađu identiteta na Android telefonu, odmah uklonite prijetnju:

• Ponovo pokrenite svoj Android pametni telefon u Sigurnom načinu rada (na većini modela pritisnite i držite tipku za uključivanje, zatim dodirnite i držite ikonu "Isključi" na zaslonu dok se ne pojavi upit "Ponovo pokreni u sigurni način rada"). Siguran način rada sprječava rad zlonamjernih aplikacija trećih strana u pozadini.
• Otvorite Postavke -> Aplikacije -> Vidi sve aplikacije.
• Pomičite se kroz popis tražeći sumnjive aplikacije bez odgovarajućih korporativnih ikona, aplikacije s generičkim nazivima (kao što su "Paketna usluga", "Ažuriranje sustava", "Flash Player" ili "USPS Assist") ili aplikacije instalirane na dan incidenta.
• Odaberite sumnjivu aplikaciju, dodirnite Prisilno zaustavi, zatim dodirnite Deinstaliraj.
• Ako je gumb "Deinstaliraj" zasivljen, zlonamjerni je softver dobio privilegije administratora uređaja. Otvorite Postavke -> Sigurnost -> Administratorske aplikacije uređaja, pronađite zlonamjernu aplikaciju, isključite njezina administratorska dopuštenja i nastavite s deinstalacijom.

Filtriranje slatkih poruka na razini operativnog sustava¶

I Apple iOS i Google Android uključuju ugrađene alate za filtriranje za utišavanje neželjenih tekstualnih poruka s brojeva koji nisu pohranjeni u vašim kontaktima:

• Apple iOS: Otvorite Postavke -> Poruke, pomaknite se prema dolje do "Filtriranje poruka" i uključite Filtriranje nepoznatih pošiljatelja. Ovo stvara zasebnu karticu u vašoj aplikaciji Poruke za dolazne tekstove s nepoznatih brojeva, utišavanje zvukova obavijesti i držanje zlonamjernih poveznica izvan vašeg primarnog prikaza.
• Google Android (Google Messages): Otvorite Google Messages, dodirnite svoj avatar profila u gornjem desnom kutu, dodirnite Postavke poruka -> Zaštita od neželjene pošte i uključite Omogući zaštitu od neželjene pošte. Ovaj mehanizam za neuronsko filtriranje automatski otkriva i usmjerava sumnjive tekstove u vašu mapu "Spam & Blocked" bez vibriranja telefona.

Službeni kanali za prijavu i provedba zakona o pošti¶

Podnošenje detaljnih izvješća o prijevari saveznim agencijama pomaže poštanskim inspektorima mapirati sindikate neželjene pošte, zaplijeniti lažne domene i uništiti kriminalnu infrastrukturu poslužitelja.

+-----------------------------------------------------------------------------+
|                      OFFICIAL FRAUD REPORTING DIRECTORY                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Organization             Contact Channel           Purpose                 |
|  -------------------------------------------------------------------------  |
|  Carrier Spam Service     Forward SMS to 7726       Triggers carrier-wide   |
|                           (Universal shortcode)     spam block              |
|                                                                             |
|  US Postal Inspection     spam@uspis.gov            Federal criminal        |
|  Service (USPIS)          1-877-876-2455            investigation of fraud  |
|                                                                             |
|  FBI Internet Crime       ic3.gov                   Transnational cyber-    |
|  Complaint Center (IC3)                             crime tracking          |
|                                                                             |
|  Federal Trade            reportfraud.ftc.gov       Consumer deceptive trade|
|  Commission (FTC)                                   practice reporting      |
|                                                                             |
|  Google Safe Browsing     safebrowsing.google.com/  Submits malicious URL   |
|                           safebrowsing/report_phish for browser blocking    |
|                                                                             |
+-----------------------------------------------------------------------------+

Podnošenje izvješća Službi poštanske inspekcije Sjedinjenih Država¶

Služba poštanske inspekcije Sjedinjenih Američkih Država savezna je agencija za provođenje zakona odgovorna za istragu prijevara putem pošte, krivotvorenja pošte i prijevarnih napada usmjerenih na korisnike USPS-a:

• Proslijedite nasmijanu tekstualnu poruku na spam@uspis.gov.
• U tijelo svoje e-pošte uključite snimku zaslona tekstualne poruke koja prikazuje izvorni telefonski broj, datum i vrijeme primitka te točan URL web stranice prikazan u poruci.
• Cyber ​​istražitelji USPIS-a koordiniraju s registrima domena, pružateljima usluga hostinga i saveznim tužiteljima kako bi zaplijenili lažne domene i zatvorili phishing infrastrukturu.

Javljanje operaterima mobilnih telekomunikacija putem 7726¶

Univerzalni kratki kod 7726 (ispisivanje SPAM-a na standardnoj telefonskoj tipkovnici) održavaju operateri mobilnih mreža diljem svijeta (uključujući AT&T, Verizon, T-Mobile, Vodafone i EE):

• Kopirajte tekst lažne poruke.
• Napravite novu odlaznu SMS poruku adresiranu na 7726 i zalijepite tekst.
• Vaš će operater odmah odgovoriti automatskim upitom tražeći izvorni telefonski broj ili adresu e-pošte s koje je spam poslan.
• Odgovorite s telefonskim brojem pošiljatelja.
• Centri za analizu prijetnji operatera koriste ova skupna izvješća za ažuriranje SMS vatrozida na mrežnoj razini u stvarnom vremenu, blokirajući identične poruke prije nego što dođu do milijuna drugih pretplatnika.

Protecting against USPS Informed Delivery account takeover and mail diversion¶

A dangerous secondary vector of postal smishing involves fraudulent account creation on the legitimate USPS Informed Delivery platform. When attackers harvest your full name, physical street address, and payment card details, they sometimes attempt to register an unauthorized account in your name on usps.com:

• Informed Delivery Feature Abuse: Informed Delivery allows residents to preview greyscale digital images of incoming letter-sized mail and track packages scheduled to arrive at their address. If a cybercriminal registers an account using your address, they can view scanned images of incoming bank statements, tax documents, credit card replacement letters, and government correspondence before the mail reaches your physical mailbox.
• Unauthorized Change of Address (COA): Attackers may use harvested personal information to submit an electronic Change of Address request through the postal service, diverting your physical mail to a vacant home, package drop, or commercial mail receiving agency. Once your mail is redirected, criminals intercept newly issued credit cards, replacement debit cards, and sensitive financial records without your knowledge.
• Provjera statusa računa: Posjetite usps.com, idite na portal Informed Delivery i pokušajte se prijaviti ili stvoriti račun sa svojim osobnim podacima. Ako platforma pokazuje da već postoji račun za vašu adresu pod adresom e-pošte koju ne prepoznajete, odmah kontaktirajte službu za korisnike USPS-a.
• Osobna potvrda identiteta: Ako je stvoren neovlašteni račun, posjetite lokalni poštanski ured s dva oblika državne identifikacije i dokazom adrese. Zatražite da poštanski službenici ukinu neovlašteni digitalni račun i zaustave prijevaru na vašoj fizičkoj adresi za dostavu kako bi blokirali promjene elektroničke adrese.

Upravljanje stresom i zdravstvene posljedice¶

Postati žrtva internetske prijevare često uzrokuje akutni emocionalni stres, samooptuživanje i osjećaj ranjivosti. Otkriće da ste jednostavnim pritiskom na telefon kriminalcima predali broj vaše kreditne kartice ili osobne podatke o identitetu može izazvati fizički šok, nesanicu, povišeni krvni tlak i tjeskobu.

Recognize that postal smishing messages are professionally designed by criminal teams who exploit the fact that millions of people await packages every day. If the stress of a financial compromise causes chest tightness, shortness of breath, severe shaking, or panic, seek medical attention immediately. Consider completing a certified first aid, CPR, and psychological first aid course through the Red Cross, St John Ambulance, or a local provider to build confidence and practical competence in managing physical shock and acute health crises during family emergencies.

Često postavljana pitanja¶

Does the United States Postal Service ever send text messages about package deliveries?¶

Poštanska služba Sjedinjenih Američkih Država šalje tekstualne obavijesti samo korisnicima koji su se izričito registrirali za praćenje ažuriranja na službenoj web stranici (usps.com) za određeni broj za praćenje ili koji su se upisali u Informed Delivery. Legitimne automatizirane tekstualne poruke od USPS-a stižu isključivo sa službenog peteroznamenkastog kratkog koda 28777 (USPS) i nikada ne sadrže poveznice koje upućuju korisnike na ažuriranje podataka o adresi ili plaćanje naknade za ponovnu dostavu. Poštanska služba nikada ne šalje neželjene tekstualne poruke tražeći osobne podatke ili brojeve kreditnih kartica za izdavanje paketa.

Što trebam učiniti ako sam unio podatke o svojoj kreditnoj kartici, ali sam zatvorio web stranicu prije slanja?¶

Modern reverse proxy phishing kits frequently use automated form-tracking scripts, such as keyloggers or real-time websocket connections, that capture keystrokes as you type them into individual input boxes, even if you never click the final "Submit" or "Continue" button. Because your card number, expiration date, and CVV code may have been transmitted in real time, you must treat the card as compromised. Contact your financial institution immediately to lock and replace the payment card.

Why do scammers only ask for a tiny fee like 0.35 USD instead of hundreds of dollars?¶

Scammers intentionally request a negligible fee between 0.30 USD and 3.00 USD because consumers rarely hesitate to spend a small amount to resolve a delayed package. This low dollar amount bypasses human skepticism and avoids triggering automated bank fraud rules that scrutinize high-value transactions. Once the scammer captures the full card credentials, they use the stolen data to enroll your card into mobile wallets or initiate unauthorized high-dollar retail transactions.

Can scammers steal my money if I only clicked the link but did not type any information?¶

If you only clicked the link in Safari, Chrome, or another standard mobile browser and immediately closed the tab without submitting information, installing an application, or downloading a configuration profile, your financial accounts remain secure. Modern mobile operating systems isolate web browser tabs within secure sandboxes, preventing websites from extracting stored passwords or payment cards without user interaction. Clear your browser cache and website data as a standard security precaution.

What is the difference between a real USPS tracking number and a fake tracking number in a text?¶

Authentic USPS tracking numbers adhere to standardized formats, typically consisting of 20 to 22 numerical digits starting with 9 (for domestic packages), or 13 alphanumeric characters beginning with two letters, followed by nine digits, and ending with US (for international shipments). Smishing text messages often include completely fabricated strings of random letters and numbers, or omit the tracking number entirely while directing you to click a link. You can verify any tracking number safely by going directly to usps.com and entering the code into the official tracking search bar.

Izvori provjereni¶

• United States Postal Inspection Service (USPIS, United States): Public Awareness Advisory: Smishing Package Delivery Scams and Postal Phishing (uspis.gov).
• Federal Trade Commission (FTC, United States): Consumer Alert: Fake Package Delivery Text Messages and Smishing Attacks (consumer.ftc.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, United States): Combating Mobile Phishing and Smishing Threats: Guidance for Consumers and Organizations (cisa.gov).
• Federal Communications Commission (FCC, United States): Consumer Guide: Robotexts, Smishing, and Package Delivery Scams (fcc.gov).
• National Cyber Security Centre (NCSC, United Kingdom): Phishing and Smishing Scams: Identifying and Reporting Malicious SMS Messages (ncsc.gov.uk).
• Canadian Anti-Fraud Centre (CAFC, Canada): Fraud Prevention: Package Delivery and Courier Smishing Schemes (antifraudcentre-centreantifraude.ca).

Povezani vodiči¶

• Odgovor na povredu podataka i curenje lozinki
• MFA phishing and adversary-in-the-middle bypass
• QR code phishing and quishing defense
• Krađa paketa i piratstvo na trijemu
• Prijevare i prijevare