Paket USPS rusak dan penipuan pengiriman ulang palsu¶

Menerima pesan teks penting yang menyatakan bahwa paket Layanan Pos Amerika Serikat tidak dapat dikirimkan karena alamat jalan yang tidak lengkap kini menjadi salah satu ancaman dunia maya yang paling umum pada perangkat seluler. Serangan phishing layanan pesan singkat (SMS) ini, yang dikenal sebagai smishing, menampilkan pencitraan merek pos yang realistis, simulasi kode batang pelacakan, dan bahasa resmi. Pesan tersebut mengarahkan Anda ke situs web palsu yang mirip tempat Anda diminta memverifikasi alamat rumah dan membayar sedikit biaya pengiriman ulang, biasanya antara 0,30 USD dan 3,00 USD, dengan memasukkan nomor kartu debit atau kredit, tanggal kedaluwarsa, kode keamanan, dan detail penagihan.

Biaya pengiriman ulang yang kecil hanyalah mekanisme penipuan yang dirancang untuk menangkap informasi lengkap kartu kredit dan catatan identitas pribadi Anda. Setelah dikirimkan, jaringan kriminal segera memulai transaksi ritel online yang tidak sah, mendaftarkan kartu Anda dalam langganan palsu yang berulang, atau mencoba pengambilalihan akun menggunakan pencegat kata sandi satu kali secara real-time. Dalam beberapa kasus di perangkat Android, mengeklik tautan berbahaya memicu pengunduhan diam-diam aplikasi trojan perbankan yang memantau penekanan tombol dan mencegat kode autentikasi multifaktor. Mengambil tindakan pengendalian segera pada kartu pembayaran, perangkat seluler, dan file kredit Anda dapat menetralisir kerugian finansial dan mencegah pencurian identitas jangka panjang.

Lakukan ini sekarang¶

Jika Anda mengeklik tautan teks pos palsu atau mengirimkan rincian pembayaran di situs web pengiriman ulang, segera lakukan enam tindakan berikut:

1. Kunci atau batalkan kartu pembayaran yang disusupi sekarang juga:
   • Buka aplikasi mobile banking Anda atau hubungi penerbit kartu menggunakan nomor darurat penipuan yang tercetak di bagian belakang kartu Anda.
   • Gunakan kontrol kartu aplikasi untuk langsung mengubah status kartu Anda menjadi "Terkunci" atau laporkan kartu sebagai disusupi.
   • Minta kartu pengganti segera dengan enam belas digit nomor rekening, tanggal kedaluwarsa, dan kode keamanan CVV yang benar-benar baru.
2. Tinjau transaksi yang tertunda dan sengketakan biaya penipuan:
   • Periksa riwayat transaksi terkini Anda untuk mengetahui adanya tagihan mikro yang tidak dikenal atau otorisasi pedagang tidak sah yang tertunda.
   • Perintahkan bank Anda untuk menolak semua otorisasi langganan berulang dan mengeluarkan tagihan balik resmi berdasarkan peraturan perlindungan konsumen federal.
   • Nyatakan secara eksplisit kepada perwakilan penipuan: "Saya memasukkan detail kartu saya di situs web phishing palsu yang meniru pengiriman pos."
3. Periksa perangkat seluler Anda dari aplikasi atau profil yang tidak sah:
   • Di Android, buka Pengaturan -> Aplikasi dan periksa aplikasi tidak dikenal yang baru saja diinstal (seperti pelacak paket palsu atau pemutar Flash).
   • Di iPhone, buka Pengaturan -> Umum -> VPN & Manajemen Perangkat dan verifikasi bahwa tidak ada profil konfigurasi manajemen perangkat seluler (MDM) atau sertifikat perusahaan yang tidak sah yang diinstal.
   • Jika ditemukan aplikasi atau profil konfigurasi yang tidak dikenal, segera hapus dan mulai ulang perangkat.
4. Teruskan pesan teks berbahaya untuk melaporkan pengirimnya:
   • Salin isi pesan teks dan teruskan langsung ke kode pendek spam operator universal 7726 (yang berarti SPAM).
   • Teruskan pesan dan rincian pengirim ke Layanan Inspeksi Pos Amerika Serikat di spam@uspis.gov.
   • Ambil tangkapan layar pesan teks dan URL situs web sebelum menghapus utas percakapan.
5. Lindungi identitas pribadi Anda jika Anda mengirimkan alamat lengkap dan data pribadi:
   • Jika formulir phishing meminta nomor Jaminan Sosial, tanggal lahir, atau nama gadis ibu Anda, perlakukan identitas Anda sebagai terekspos.
   • Tempatkan peringatan penipuan sementara atau pembekuan keamanan penuh pada file kredit Anda di Equifax, Experian, dan TransUnion.
   • Pantau laporan kredit Anda secara teratur untuk pertanyaan tidak sah atau jalur perdagangan yang baru dibuka.
6. Laporkan portal yang rusak ke database keamanan siber federal:
   • Ajukan pengaduan kejahatan internet ke Pusat Pengaduan Kejahatan Internet FBI di ic3.gov.
   • Kirimkan URL phishing berbahaya ke Google Safe Browsing dan Cybersecurity and Infrastructure Security Agency (CISA) untuk melindungi konsumen lain.
   • Laporkan praktik bisnis yang menipu kepada Komisi Perdagangan Federal di reportfraud.ftc.gov.

Diagram alur triase insiden¶

Ikuti jalur pengambilan keputusan langkah demi langkah ini untuk menilai tingkat keterpaparan Anda, mengatasi potensi penipuan kartu, dan mengamankan ponsel cerdas Anda:

flowchart TD
    A["Menerima SMS Klaim Kegagalan Pengiriman Pos"] --> B{"Apakah Anda mengeklik tautan web di teks?"}
    B -->|"Tidak: Hanya menerima SMS"| C["Teruskan SMS ke 7726 dan spam@uspis.gov, hapus pesan, blokir nomor"]
    B -->|"Ya: Tautan yang diklik"| D{"Apakah Anda memasukkan detail kartu, kata sandi, atau informasi pribadi?"}
    D -->|"Tidak: Segera tutup browser"| E["Hapus cache dan cookie browser seluler, periksa perangkat untuk file yang diunduh"]
    D -->|"Ya: Mengirimkan kartu atau info"| F["Unit Penipuan Penerbit Kartu Panggilan Segera Membatalkan Kartu"]
    F --> G["Sengketa Biaya yang Tertunda dan Cabut Otorisasi Berulang"]
    G --> H{"Apakah Anda memasukkan nomor Jaminan Sosial atau tanggal lahir?"}
    H -->|"Ya: Identitas lengkap terungkap"| I["Tempatkan Keamanan Dibekukan di Equifax, Experian, dan TransUnion"]
    H -->|"Tidak: Hanya kartu yang dimasukkan"| J["Pantau laporan bank selama 60 hari, verifikasi laporan kredit"]
    I --> K["Laporkan URL Phishing ke FBI IC3, FTC, dan CISA"]
    J --> K

Bagaimana fungsi operasi smishing pos¶

Smishing pengiriman pos tidak dilakukan oleh penghobi yang terisolasi; hal ini diatur oleh sindikat kejahatan dunia maya yang terorganisir dengan menggunakan perangkat keras spam yang terdistribusi, perangkat phishing proxy terbalik, dan jalur pembayaran keuangan otomatis.

+-----------------------------------------------------------------------------+
|                     POSTAL SMISHING ATTACK ARCHITECTURE                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  1. Mass SMS Blast             SIM farms and compromised iMessage botnets   |
|     (Millions daily)           send automated texts to sequential numbers.  |
|                                                                             |
|  2. Spoofed Redelivery URL     Victim clicks lookalike domain               |
|     (Reverse proxy kit)        (e.g., usps-redeliver-tracking-hub.com).     |
|                                                                             |
|  3. Fake Tracking Interface    Page displays realistic USPS branding,       |
|     (Address verification)     simulated tracking status, and address form. |
|                                                                             |
|  4. Card Harvesting Trap       Page demands $0.35 redelivery fee;           |
|     (CVV, expiration, ZIP)     captures complete payment credentials.       |
|                                                                             |
|  5. Real-Time OTP Intercept    Scammer attempts Apple Pay provisioning;     |
|     (Adversary-in-the-Middle)  tricks victim into typing bank SMS code.     |
|                                                                             |
+-----------------------------------------------------------------------------+

Infrastruktur distribusi massal: SIM farm dan botnet¶

Criminal syndicates blast millions of smishing messages daily to mobile phone subscribers across entire area codes using specialized hardware:

• Hardware SIM Farms (Modem GSM): Rak modem GSM multi-saluran yang berisi ratusan kartu SIM seluler prabayar yang dibeli dengan dana curian atau diaktifkan dengan nama palsu. Perangkat ini secara otomatis merotasi nomor telepon untuk melewati filter spam operator.
• Compromised iMessage and RCS Botnets: Attackers use software scripts to hijack Apple iMessage and Google RCS accounts, allowing them to send blue-bubble messages or encrypted RCS texts directly to victims over data channels, completely bypassing cellular carrier SMS firewalls.
• Smishing-as-a-Service (SmaaS): Dark web threat actors sell turn-key smishing kits that include fresh lists of active mobile phone numbers, automated SMS gateway APIs, and pre-hosted postal templates for a subscription fee.

Reverse proxy phishing kits and lookalike domains¶

When a victim taps the link in the message, the web browser loads a sophisticated reverse proxy phishing framework (such as Modlishka, Evilginx, or custom postal kits):

• Domain Typosquatting: Attackers register lookalike domains that mimic official government services, such as usps-tracking-support-redelivery.com, post-office-portal-us.com, or usps-update-delivery-info.org.
• Dynamic Geotargeting: The phishing server inspects the incoming visitor's IP address. If the visitor is located in the United Kingdom, the server redirects them to a fake Royal Mail template; if in Canada, to a fake Canada Post portal; and if in the United States, to a fake USPS landing page.
• Bot and Crawler Cloaking: The server automatically detects search engine indexing crawlers, cybersecurity researchers, and threat scanning bots, serving them a harmless blank page or a 404 error while delivering the malicious phishing template exclusively to genuine mobile smartphone users.

The real-time adversary-in-the-middle payment trap¶

The payment page appears to process a trivial charge, such as 0.35 USD, 1.20 USD, or 2.99 USD, under the guise of an "administrative redelivery fee" or "package holding surcharge":

• When you type your card details and click "Submit," the phishing kit does not process a 0.35 USD charge.
• Instead, an automated bot in the background takes your sixteen-digit card number, CVV code, and billing ZIP code and immediately attempts to bind your card to a mobile wallet (such as Apple Pay, Google Wallet, or Samsung Pay) on the attacker's smartphone.
• When your bank detects the new wallet enrollment, it generates an authentic SMS verification passcode sent directly to your phone.
• The fake postal website immediately displays an authentic-looking field reading: "For security, enter the 6-digit verification code sent by your bank."
• If you type that code into the website, the attacker's script submits it to your bank, successfully adding your card to their physical smartphone. The scammer can now make unlimited contactless purchases in retail stores until your card limit is exhausted.

Identifying fake postal text messages¶

Official postal carriers adhere to strict digital communication protocols. Recognizing the structural differences between legitimate notifications and fraudulent smishing messages allows you to spot threats instantly.

Mobile device compromise: phishing versus banking trojans¶

While most postal delivery smishing attacks seek credit card details and identity data through web forms, some campaigns deploy mobile malware designed to establish persistent access on smartphones.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE THREAT VECTOR MATRIX                         |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Device Platform       Attack Vector                  Technical Impact      |
|  -------------------------------------------------------------------------  |
|  Apple iOS             Web Phishing Form              Harvests card, CVV,   |
|  (iPhone)              (No APK installation)          and billing address   |
|                                                                             |
|  Apple iOS             Malicious MDM Profile          Installs rogue root   |
|  (iPhone)              (Prompt to install profile)    certificates and VPN  |
|                                                                             |
|  Google Android        Web Phishing Form              Harvests card, CVV,   |
|  (Samsung, Pixel)      (No APK installation)          and billing address   |
|                                                                             |
|  Google Android        Malicious APK Download         Deploys banking       |
|  (Sideloaded App)      (TeaBot, FluBot, Anatsa)       trojan with keylogger |
|                                                                             |
+-----------------------------------------------------------------------------+

Apple iOS: mobile configuration profiles and Safari phishing¶

On Apple devices running iOS, the mobile operating system prohibits direct application installation outside the official App Store unless an enterprise mobile device management profile is accepted:

• If you only visited the website in Safari and typed your payment details, your physical iPhone is not infected with malware. The compromise is limited to the data you submitted on the form.
• However, if the website prompted you to download a "USPS Security Certificate" or "Delivery Profile" and directed you into Settings to install a configuration profile, reject the prompt immediately.
• A malicious MDM profile allows an attacker to route all your internet traffic through a rogue proxy server, intercepting passwords and unencrypted data.
• To check for rogue profiles on your iPhone, open Settings -> General -> VPN & Device Management. If any unknown profile appears, tap it and select Remove Management.

Google Android: sideloaded APK banking trojans¶

On Android devices, scammers frequently attempt to trick users into downloading and installing malicious application package (APK) files:

• The phishing website displays an alert: "To track your package in real time, download the official USPS Mobile Tracking Assistant."
• The browser downloads a file named USPS_Track.apk atau Package_Service.apk.
• If you tap the downloaded file and bypass Android security warnings (such as allowing installation from unknown sources), you install a potent banking trojan (such as TeaBot, FluBot, or Anatsa).

• When a victim accidentally authorizes installation of a sideloaded APK, the malware immediately requests permission to enable Android Accessibility Services. These accessibility features are originally designed to help users with physical disabilities by reading screen text aloud or automating gestures. However, banking trojans exploit accessibility access to establish complete administrative control over the mobile operating system:

• Real-Time Keylogging and Screen Scraping: The malicious background service records every character typed into the keyboard, capturing usernames, master passwords, and personal identification numbers across all applications.

• Malicious Screen Overlays: When the victim opens a legitimate banking or cryptocurrency application, the trojan detects the app launch and instantly renders a transparent or pixel-perfect counterfeit login screen directly over the genuine app. When you enter your credentials, they are sent to the attacker server while the app crashes or shows a simulated loading screen.
• Automated SMS Interception: The trojan intercepts incoming SMS text messages containing one-time passcodes sent by banks, silently deletes the notifications so you never see them, and transmits the authentication codes to the scammer within milliseconds.

Step-by-step containment protocol for compromised payment cards¶

When payment credentials have been entered into a fraudulent redelivery portal, taking decisive action with your financial institution halts unauthorized charges.

flowchart TD
    A["Card Details Entered on Fake Redelivery Page"] --> B["Open Mobile Banking App and Lock Card Immediately"]
    B --> C["Call Card Issuer 24/7 Fraud Department"]
    C --> D["Request Complete Card Cancellation and Reissue"]
    D --> E["Review All Transactions from Last 72 Hours"]
    E --> F{"Are there unauthorized charges or pending holds?"}
    F -->|"Ya"| G["Initiate Regulation Z / E Consumer Dispute for Fraudulent Items"]
    F -->|"No: Caught before charges"| H["Verify No Digital Wallets (Apple/Google Pay) Were Added"]
    G --> I["Revoke All Tokenized Subscriptions Linked to Stolen Card"]
    H --> I
    I --> J["Monitor Checking Account and Credit Card for 60 Days"]

Locking and reissuing compromised payment cards¶

Do not wait to see whether an unauthorized charge appears on your statement. The moment you realize the website was illegitimate, initiate card cancellation:

• Log in to your bank's mobile application and locate the card security settings. Tap Lock Card or Freeze Card to prevent real-time authorization attempts.
• Contact the issuing bank's 24/7 fraud department using the telephone number stamped on the reverse side of your physical card.
• State clearly: "I mistakenly entered my card number, expiration date, and CVV code on an online phishing website. I need this card canceled immediately and a replacement issued with a new account number."
• Confirm with the representative that the bank disables tokenized merchant updates. Many credit card issuers participate in automated card updater services that automatically give merchants your new card number when a card is reissued; explicitly request that the bank sever all existing recurring merchant links.

Disputing fraudulent transactions under federal consumer law¶

If the attackers managed to execute unauthorized charges before you locked the card, federal banking statutes limit your personal financial liability:

• Fair Credit Billing Act (FCBA, 12 CFR Part 1026 / Regulation Z): For credit card transactions, your maximum legal liability under federal law for unauthorized charges is 50 USD. Most major card issuers (Visa, Mastercard, American Express, Discover) maintain zero-liability policies that waive this 50 USD fee entirely when you report fraud promptly.
• Electronic Fund Transfer Act (EFTA, 12 CFR Part 1005 / Regulation E): For debit card transactions linked to checking accounts, timing is critical. If you notify your bank within two business days of learning about the compromise, your liability is capped at 50 USD. If you report between two and sixty calendar days after your monthly statement is transmitted, your liability rises to 500 USD. Beyond sixty days, you risk losing all money stolen from your account.
• Simpan catatan tertulis dari setiap percakapan telepon dengan bank Anda, termasuk tanggal, waktu, nama perwakilan, dan nomor kasus sengketa.

Dekontaminasi perangkat seluler dan penguatan keamanan¶

Membersihkan dan memperkuat perangkat seluler Anda mencegah pengawasan berkelanjutan, pengambilan kredensial, dan serangan spam smishing yang berulang.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE DECONTAMINATION CHECKLIST                    |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [X] Clear Mobile Browser Cache: Purge Safari, Chrome, or Firefox cache,    |
|      cookies, and website data to remove cached phishing sessions.          |
|                                                                             |
|  [X] Audit Installed Applications: Inspect all apps, removing any unknown  |
|      software, especially apps installed outside official app stores.       |
|                                                                             |
|  [X] Audit Accessibility Permissions (Android): Revoke accessibility       |
|      access for any third-party app not explicitly trusted.                |
|                                                                             |
|  [X] Remove Enterprise MDM Profiles (iOS): Delete unfamiliar device        |
|      management certificates under Settings -> VPN & Device Management.     |
|                                                                             |
|  [X] Enable Spam Filtering: Activate native carrier and operating system    |
|      spam call and message filters (Silence Unknown Callers / Spam Shield). |
|                                                                             |
+-----------------------------------------------------------------------------+

Membersihkan cache browser seluler dan penyimpanan sesi¶

Situs web phishing menyimpan skrip pelacakan, token sesi, dan objek cache lokal dalam browser seluler Anda untuk melacak respons pengunjung:

• iOS Safari: Buka Pengaturan -> Safari -> Hapus Riwayat dan Data Situs Web. Pilih "Semua Riwayat" dan konfirmasi. Ini akan menutup semua tab browser yang terbuka dan menghapus cookie yang tersimpan, gambar cache, dan entri database web lokal.
• Android Google Chrome: Buka Chrome, ketuk tiga titik di pojok kanan atas, pilih Pengaturan -> Privasi dan keamanan -> Hapus data penelusuran. Pilih "Sepanjang waktu", centang "Cookie dan data situs" dan "Gambar dan file dalam cache", lalu ketuk Hapus data.

Menetralisir aplikasi Android berbahaya¶

Jika Anda mengunduh dan menginstal file aplikasi dari tautan phishing di ponsel Android, segera hapus ancaman tersebut:

• Mulai ulang ponsel Android Anda dalam Safe Mode (pada sebagian besar model, tekan dan tahan tombol Daya, lalu sentuh dan tahan ikon "Matikan" di layar hingga perintah "Reboot ke mode aman" muncul). Mode Aman mencegah aplikasi malware pihak ketiga berjalan di latar belakang.
• Buka Pengaturan -> Aplikasi -> Lihat semua aplikasi.
• Gulir daftar untuk mencari aplikasi mencurigakan tanpa ikon perusahaan yang sesuai, aplikasi dengan nama umum (seperti "Layanan Paket", "Pembaruan Sistem", "Flash Player", atau "USPS Assist"), atau aplikasi yang diinstal pada hari kejadian.
• Pilih aplikasi yang mencurigakan, ketuk Paksa Berhenti, lalu ketuk Copot Pemasangan.
• Jika tombol "Copot" berwarna abu-abu, malware telah memperoleh hak istimewa Administrator Perangkat. Buka Pengaturan -> Keamanan -> Aplikasi admin perangkat, temukan aplikasi berbahaya, matikan izin administratornya, dan lanjutkan dengan mencopot pemasangan.

Memfilter pesan smishing di tingkat sistem operasi¶

Baik Apple iOS dan Google Android menyertakan alat pemfilteran bawaan untuk membungkam pesan teks yang tidak diminta dari nomor yang tidak disimpan di kontak Anda:

• Apple iOS: Buka Pengaturan -> Pesan, gulir ke bawah ke "Pemfilteran Pesan", dan aktifkan Filter Pengirim Tidak Dikenal. Ini membuat tab terpisah di aplikasi Pesan Anda untuk teks masuk dari nomor tak dikenal, membungkam suara notifikasi, dan menjauhkan tautan berbahaya dari tampilan utama Anda.
• Google Android (Google Messages): Buka Google Messages, ketuk avatar profil Anda di kanan atas, ketuk Setelan pesan -> Perlindungan spam, dan aktifkan Aktifkan perlindungan spam. Mesin pemfilteran saraf crowdsourced ini secara otomatis mendeteksi dan merutekan teks yang dicurigai rusak ke folder "Spam & Diblokir" tanpa menggetarkan ponsel Anda.

Saluran pelaporan resmi dan penegakan hukum pos¶

Mengirimkan laporan penipuan terperinci ke lembaga federal membantu pemeriksa pos memetakan sindikat spam, menyita domain palsu, dan menghapus infrastruktur server kriminal.

+-----------------------------------------------------------------------------+
|                      OFFICIAL FRAUD REPORTING DIRECTORY                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Organization             Contact Channel           Purpose                 |
|  -------------------------------------------------------------------------  |
|  Carrier Spam Service     Forward SMS to 7726       Triggers carrier-wide   |
|                           (Universal shortcode)     spam block              |
|                                                                             |
|  US Postal Inspection     spam@uspis.gov            Federal criminal        |
|  Service (USPIS)          1-877-876-2455            investigation of fraud  |
|                                                                             |
|  FBI Internet Crime       ic3.gov                   Transnational cyber-    |
|  Complaint Center (IC3)                             crime tracking          |
|                                                                             |
|  Federal Trade            reportfraud.ftc.gov       Consumer deceptive trade|
|  Commission (FTC)                                   practice reporting      |
|                                                                             |
|  Google Safe Browsing     safebrowsing.google.com/  Submits malicious URL   |
|                           safebrowsing/report_phish for browser blocking    |
|                                                                             |
+-----------------------------------------------------------------------------+

Melaporkan ke Layanan Inspeksi Pos Amerika Serikat¶

Layanan Inspeksi Pos Amerika Serikat adalah lembaga penegak hukum federal yang bertanggung jawab untuk menyelidiki penipuan surat, pemalsuan pos, dan serangan smishing yang menargetkan pelanggan USPS:

• Teruskan pesan teks smishing ke spam@uspis.gov.
• Di badan email Anda, sertakan tangkapan layar pesan teks yang menunjukkan nomor telepon asal, tanggal dan waktu diterima, dan URL situs web persis yang ditampilkan dalam pesan.
• Penyelidik dunia maya USPIS berkoordinasi dengan pendaftar domain, penyedia hosting, dan jaksa federal untuk menyita domain palsu dan menutup infrastruktur phishing.

Melaporkan ke operator telekomunikasi seluler melalui 7726¶

Kode pendek universal 7726 (ejaan SPAM pada keypad telepon standar) dikelola oleh operator jaringan seluler di seluruh dunia (termasuk AT&T, Verizon, T-Mobile, Vodafone, dan EE):

• Salin teks pesan penipuan tersebut.
• Buat pesan teks keluar baru yang dialamatkan ke 7726 dan tempelkan teks tersebut.
• Operator Anda akan segera membalas dengan permintaan otomatis yang menanyakan nomor telepon atau alamat email asal yang mengirimkan spam.
• Balas dengan nomor telepon pengirim.
• Pusat analisis ancaman operator menggunakan laporan gabungan ini untuk memperbarui firewall SMS tingkat jaringan secara real-time, memblokir pesan serupa sebelum mencapai jutaan pelanggan lainnya.

Melindungi terhadap pengambilalihan akun Pengiriman Informasi USPS dan pengalihan surat¶

Vektor sekunder yang berbahaya dari smishing pos melibatkan pembuatan akun palsu pada platform Pengiriman Informasi USPS yang sah. Saat penyerang mengambil nama lengkap, alamat fisik, dan detail kartu pembayaran Anda, terkadang mereka mencoba mendaftarkan akun tidak sah atas nama Anda di usps.com:

• Penyalahgunaan Fitur Pengiriman Informasi: Pengiriman Informasi memungkinkan penghuni melihat gambar digital skala abu-abu dari surat masuk berukuran letter dan melacak paket yang dijadwalkan tiba di alamat mereka. Jika penjahat dunia maya mendaftarkan akun menggunakan alamat Anda, mereka dapat melihat gambar pindaian laporan bank yang masuk, dokumen pajak, surat penggantian kartu kredit, dan korespondensi pemerintah sebelum surat mencapai kotak surat fisik Anda.
• Perubahan Alamat Tidak Sah (COA): Penyerang dapat menggunakan informasi pribadi yang dikumpulkan untuk mengirimkan permintaan Perubahan Alamat elektronik melalui layanan pos, mengalihkan surat fisik Anda ke rumah kosong, penyerahan paket, atau agen penerima surat komersial. Setelah email Anda dialihkan, penjahat akan mencegat kartu kredit yang baru diterbitkan, kartu debit pengganti, dan catatan keuangan sensitif tanpa sepengetahuan Anda.
• Memverifikasi Status Akun: Kunjungi usps.com, buka portal Pengiriman Informasi, dan coba masuk atau buat akun dengan detail pribadi Anda. Jika platform menunjukkan bahwa akun sudah ada untuk alamat Anda dengan alamat email yang tidak Anda kenali, segera hubungi layanan pelanggan USPS.
• Verifikasi Identitas Langsung: Jika akun tidak sah dibuat, kunjungi cabang kantor pos setempat Anda dengan membawa dua bentuk tanda pengenal pemerintah dan bukti alamat. Meminta petugas pos menghentikan akun digital yang tidak sah dan melakukan penangguhan penipuan pada alamat pengiriman fisik Anda untuk memblokir perubahan alamat elektronik.

Manajemen stres dan konsekuensi kesehatan¶

Menjadi korban penipuan online sering kali menimbulkan tekanan emosional yang akut, menyalahkan diri sendiri, dan perasaan rentan. Mengetahui bahwa ketukan sederhana di ponsel Anda yang memberikan nomor kartu kredit atau detail identitas pribadi Anda kepada penjahat dapat memicu syok fisik, insomnia, peningkatan tekanan darah, dan kecemasan.

Sadarilah bahwa pesan-pesan smishing melalui pos dirancang secara profesional oleh tim kriminal yang mengeksploitasi fakta bahwa jutaan orang menunggu paket setiap hari. Jika stres akibat kompromi finansial menyebabkan dada terasa sesak, sesak napas, gemetar parah, atau panik, segera dapatkan bantuan medis. Pertimbangkan untuk menyelesaikan kursus pertolongan pertama, CPR, dan pertolongan pertama psikologis melalui Palang Merah, St John Ambulance, atau penyedia layanan lokal untuk membangun kepercayaan diri dan kompetensi praktis dalam menangani guncangan fisik dan krisis kesehatan akut selama keadaan darurat keluarga.

Pertanyaan yang sering diajukan¶

Apakah Layanan Pos Amerika Serikat pernah mengirim pesan teks tentang pengiriman paket?¶

The United States Postal Service only sends text notifications to customers who have explicitly registered for tracking updates on the official website (usps.com) for a specific tracking number, or who have enrolled in Informed Delivery. Legitimate automated text messages from USPS arrive exclusively from the official five-digit shortcode 28777 (USPS) and never contain links directing users to update address details or pay redelivery fees. The postal service never sends unsolicited text messages demanding personal information or credit card numbers to release a package.

What should I do if I entered my credit card details but closed the webpage before submitting?¶

Modern reverse proxy phishing kits frequently use automated form-tracking scripts, such as keyloggers or real-time websocket connections, that capture keystrokes as you type them into individual input boxes, even if you never click the final "Submit" or "Continue" button. Because your card number, expiration date, and CVV code may have been transmitted in real time, you must treat the card as compromised. Contact your financial institution immediately to lock and replace the payment card.

Why do scammers only ask for a tiny fee like 0.35 USD instead of hundreds of dollars?¶

Scammers intentionally request a negligible fee between 0.30 USD and 3.00 USD because consumers rarely hesitate to spend a small amount to resolve a delayed package. This low dollar amount bypasses human skepticism and avoids triggering automated bank fraud rules that scrutinize high-value transactions. Once the scammer captures the full card credentials, they use the stolen data to enroll your card into mobile wallets or initiate unauthorized high-dollar retail transactions.

Can scammers steal my money if I only clicked the link but did not type any information?¶

If you only clicked the link in Safari, Chrome, or another standard mobile browser and immediately closed the tab without submitting information, installing an application, or downloading a configuration profile, your financial accounts remain secure. Modern mobile operating systems isolate web browser tabs within secure sandboxes, preventing websites from extracting stored passwords or payment cards without user interaction. Clear your browser cache and website data as a standard security precaution.

What is the difference between a real USPS tracking number and a fake tracking number in a text?¶

Authentic USPS tracking numbers adhere to standardized formats, typically consisting of 20 to 22 numerical digits starting with 9 (for domestic packages), or 13 alphanumeric characters beginning with two letters, followed by nine digits, and ending with US (for international shipments). Smishing text messages often include completely fabricated strings of random letters and numbers, or omit the tracking number entirely while directing you to click a link. You can verify any tracking number safely by going directly to usps.com and entering the code into the official tracking search bar.

Sources checked¶

• United States Postal Inspection Service (USPIS, United States): Public Awareness Advisory: Smishing Package Delivery Scams and Postal Phishing (uspis.gov).
• Federal Trade Commission (FTC, United States): Consumer Alert: Fake Package Delivery Text Messages and Smishing Attacks (consumer.ftc.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, United States): Combating Mobile Phishing and Smishing Threats: Guidance for Consumers and Organizations (cisa.gov).
• Federal Communications Commission (FCC, United States): Consumer Guide: Robotexts, Smishing, and Package Delivery Scams (fcc.gov).
• National Cyber Security Centre (NCSC, United Kingdom): Phishing and Smishing Scams: Identifying and Reporting Malicious SMS Messages (ncsc.gov.uk).
• Canadian Anti-Fraud Centre (CAFC, Canada): Fraud Prevention: Package Delivery and Courier Smishing Schemes (antifraudcentre-centreantifraude.ca).

Panduan terkait¶

• Respons pelanggaran data dan kebocoran kata sandi
• MFA phishing and adversary-in-the-middle bypass
• QR code phishing and quishing defense
• Pencurian paket dan pembajakan teras
• Penipuan dan penipuan