Smishing de pacote USPS e golpe falso de reentrega¶

Receber uma mensagem de texto urgente alegando que um pacote do serviço postal dos Estados Unidos não pode ser entregue devido a um endereço incompleto é agora uma das ameaças cibernéticas mais comuns em dispositivos móveis. Esses ataques de phishing de serviço de mensagens curtas (SMS), conhecidos como smishing, exibem marcas postais realistas, códigos de barras de rastreamento simulados e idioma oficial. A mensagem direciona você para um site fraudulento onde você é solicitado a verificar seu endereço residencial e pagar uma pequena taxa de nova entrega, normalmente entre 0,30 USD e 3,00 USD, inserindo o número do seu cartão de débito ou crédito, data de validade, código de segurança e detalhes de cobrança.

A pequena taxa de nova entrega é apenas um mecanismo enganoso projetado para capturar todas as informações do seu cartão de crédito e registros de identidade pessoal. Uma vez enviadas, as redes criminosas iniciam imediatamente transações de varejo on-line não autorizadas, inscrevem seu cartão em assinaturas fraudulentas recorrentes ou tentam assumir o controle de contas usando interceptadores de senhas de uso único em tempo real. Em alguns casos, em dispositivos Android, clicar no link malicioso aciona o download silencioso de aplicativos trojan bancários que monitoram as teclas digitadas e interceptam códigos de autenticação multifatorial. Tomar medidas imediatas de contenção em seus cartões de pagamento, dispositivos móveis e arquivos de crédito pode neutralizar perdas financeiras e evitar roubo de identidade a longo prazo.

Faça isso agora¶

Se você clicou em um link de texto postal falso ou enviou detalhes de pagamento em um site de reenvio, execute estas seis ações imediatamente:

1. Bloqueie ou cancele o cartão de pagamento comprometido agora mesmo:
   • Abra seu aplicativo de mobile banking ou ligue para o emissor do cartão usando o número de emergência contra fraude impresso no verso do seu cartão.
   • Use os controles do cartão do aplicativo para alternar instantaneamente o status do seu cartão para "Bloqueado" ou reportar o cartão como comprometido.
   • Solicite um cartão de substituição imediato com um número de conta de dezesseis dígitos completamente novo, data de validade e código de segurança CVV.
2. Revise transações pendentes e conteste cobranças fraudulentas:
   • Verifique seu histórico de transações recentes em busca de micro cobranças desconhecidas ou autorizações pendentes de comerciantes não autorizados.
   • Instrua seu banco a recusar todas as autorizações de assinatura recorrentes e emitir um estorno formal de acordo com as regras federais de proteção ao consumidor.
   • Declare explicitamente ao representante da fraude: "Inseri os detalhes do meu cartão em um site de phishing fraudulento que se faz passar por entrega postal."
3. Inspecione seu dispositivo móvel em busca de aplicativos ou perfis não autorizados:
   • No Android, abra Configurações -> Aplicativos e verifique se há aplicativos desconhecidos instalados recentemente (como rastreadores de pacotes falsos ou Flash players).
   • No iPhone, abra Configurações -> Geral -> VPN e gerenciamento de dispositivos e verifique se nenhum perfil de configuração de gerenciamento de dispositivo móvel (MDM) ou certificado corporativo não autorizado foi instalado.
   • Se um aplicativo ou perfil de configuração desconhecido for encontrado, remova-o imediatamente e reinicie o dispositivo.
4. Encaminhe a mensagem de texto maliciosa para denunciar o remetente:
   • Copie o corpo da mensagem de texto e encaminhe-o diretamente para o shortcode de spam da operadora universal 7726 (que significa SPAM).
   • Encaminhe a mensagem e os detalhes do remetente para o Serviço de Inspeção Postal dos Estados Unidos em spam@uspis.gov.
   • Faça uma captura de tela da mensagem de texto e do URL do site antes de excluir o tópico da conversa.
5. Proteja sua identidade pessoal se você enviou endereço completo e dados pessoais:
   • Se o formulário de phishing solicitar seu número de Seguro Social, data de nascimento ou nome de solteira de sua mãe, trate sua identidade como exposta.
   • Coloque alertas temporários de fraude ou congelamentos totais de segurança em seus arquivos de crédito na Equifax, Experian e TransUnion.
   • Monitore regularmente seus relatórios de crédito em busca de consultas não autorizadas ou linhas comerciais recém-abertas.
6. Denuncie o portal smishing aos bancos de dados federais de segurança cibernética:
   • Registre uma reclamação de crime na Internet no Centro de reclamações de crimes na Internet do FBI em ic3.gov.
   • Envie o URL de phishing malicioso para o Google Safe Browsing e para a Cybersecurity and Infrastructure Security Agency (CISA) para proteger outros consumidores.
   • Denuncie a prática comercial enganosa à Comissão Federal de Comércio em reportfraud.ftc.gov.

Fluxograma de triagem de incidentes¶

Siga este caminho de decisão passo a passo para avaliar seu nível de exposição, conter possíveis fraudes de cartão e proteger seu smartphone móvel:

flowchart TD
    A["SMS recebido alegando falha na entrega postal"] --> B{"Você clicou no link da web no texto?"}
    B -->|"Não: apenas texto recebido"| C["Encaminhar SMS para 7726 e spam@uspis.gov, excluir mensagem, bloquear número"]
    B -->|"Sim: link clicado"| D{"Você inseriu detalhes do cartão, senha ou informações pessoais?"}
    D -->|"Não: fechei o navegador imediatamente"| E["Limpe o cache e os cookies do navegador móvel, verifique se há arquivos baixados no dispositivo"]
    D -->|"Sim: cartão ou informações enviadas"| F["Call Card Issuer Fraud Unit Immediately to Cancel Card"]
    F --> G["Dispute Pending Charges and Revoke Recurring Authorizations"]
    G --> H{"Did you submit Social Security number or date of birth?"}
    H -->|"Yes: Full identity exposed"| I["Place Security Freezes at Equifax, Experian, and TransUnion"]
    H -->|"No: Only card entered"| J["Monitor bank statements for 60 days, verify credit reports"]
    I --> K["Report Phishing URL to FBI IC3, FTC, and CISA"]
    J --> K

How postal smishing operations function¶

Postal delivery smishing is not executed by isolated hobbyists; it is orchestrated by organized cybercrime syndicates using distributed spam hardware, reverse proxy phishing kits, and automated financial cash-out pipelines.

+-----------------------------------------------------------------------------+
|                     POSTAL SMISHING ATTACK ARCHITECTURE                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  1. Mass SMS Blast             SIM farms and compromised iMessage botnets   |
|     (Millions daily)           send automated texts to sequential numbers.  |
|                                                                             |
|  2. Spoofed Redelivery URL     Victim clicks lookalike domain               |
|     (Reverse proxy kit)        (e.g., usps-redeliver-tracking-hub.com).     |
|                                                                             |
|  3. Fake Tracking Interface    Page displays realistic USPS branding,       |
|     (Address verification)     simulated tracking status, and address form. |
|                                                                             |
|  4. Card Harvesting Trap       Page demands $0.35 redelivery fee;           |
|     (CVV, expiration, ZIP)     captures complete payment credentials.       |
|                                                                             |
|  5. Real-Time OTP Intercept    Scammer attempts Apple Pay provisioning;     |
|     (Adversary-in-the-Middle)  tricks victim into typing bank SMS code.     |
|                                                                             |
+-----------------------------------------------------------------------------+

The mass distribution infrastructure: SIM farms and botnets¶

Criminal syndicates blast millions of smishing messages daily to mobile phone subscribers across entire area codes using specialized hardware:

• Hardware SIM Farms (GSM Modems): Racks of multi-channel GSM modems containing hundreds of prepaid cellular SIM cards purchased with stolen funds or activated under fake names. These devices automatically rotate telephone numbers to bypass carrier spam filters.
• Compromised iMessage and RCS Botnets: Attackers use software scripts to hijack Apple iMessage and Google RCS accounts, allowing them to send blue-bubble messages or encrypted RCS texts directly to victims over data channels, completely bypassing cellular carrier SMS firewalls.
• Smishing-as-a-Service (SmaaS): Dark web threat actors sell turn-key smishing kits that include fresh lists of active mobile phone numbers, automated SMS gateway APIs, and pre-hosted postal templates for a subscription fee.

Reverse proxy phishing kits and lookalike domains¶

When a victim taps the link in the message, the web browser loads a sophisticated reverse proxy phishing framework (such as Modlishka, Evilginx, or custom postal kits):

• Domain Typosquatting: Attackers register lookalike domains that mimic official government services, such as usps-tracking-support-redelivery.com, post-office-portal-us.com, or usps-update-delivery-info.org.
• Dynamic Geotargeting: The phishing server inspects the incoming visitor's IP address. If the visitor is located in the United Kingdom, the server redirects them to a fake Royal Mail template; if in Canada, to a fake Canada Post portal; and if in the United States, to a fake USPS landing page.
• Bot and Crawler Cloaking: The server automatically detects search engine indexing crawlers, cybersecurity researchers, and threat scanning bots, serving them a harmless blank page or a 404 error while delivering the malicious phishing template exclusively to genuine mobile smartphone users.

The real-time adversary-in-the-middle payment trap¶

The payment page appears to process a trivial charge, such as 0.35 USD, 1.20 USD, or 2.99 USD, under the guise of an "administrative redelivery fee" or "package holding surcharge":

• When you type your card details and click "Submit," the phishing kit does not process a 0.35 USD charge.
• Instead, an automated bot in the background takes your sixteen-digit card number, CVV code, and billing ZIP code and immediately attempts to bind your card to a mobile wallet (such as Apple Pay, Google Wallet, or Samsung Pay) on the attacker's smartphone.
• When your bank detects the new wallet enrollment, it generates an authentic SMS verification passcode sent directly to your phone.
• The fake postal website immediately displays an authentic-looking field reading: "For security, enter the 6-digit verification code sent by your bank."
• If you type that code into the website, the attacker's script submits it to your bank, successfully adding your card to their physical smartphone. The scammer can now make unlimited contactless purchases in retail stores until your card limit is exhausted.

Identifying fake postal text messages¶

Official postal carriers adhere to strict digital communication protocols. Recognizing the structural differences between legitimate notifications and fraudulent smishing messages allows you to spot threats instantly.

Comprometimento de dispositivos móveis: phishing versus trojans bancários¶

Embora a maioria dos ataques smishing de entrega postal busque detalhes de cartão de crédito e dados de identidade por meio de formulários da web, algumas campanhas implantam malware móvel projetado para estabelecer acesso persistente em smartphones.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE THREAT VECTOR MATRIX                         |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Device Platform       Attack Vector                  Technical Impact      |
|  -------------------------------------------------------------------------  |
|  Apple iOS             Web Phishing Form              Harvests card, CVV,   |
|  (iPhone)              (No APK installation)          and billing address   |
|                                                                             |
|  Apple iOS             Malicious MDM Profile          Installs rogue root   |
|  (iPhone)              (Prompt to install profile)    certificates and VPN  |
|                                                                             |
|  Google Android        Web Phishing Form              Harvests card, CVV,   |
|  (Samsung, Pixel)      (No APK installation)          and billing address   |
|                                                                             |
|  Google Android        Malicious APK Download         Deploys banking       |
|  (Sideloaded App)      (TeaBot, FluBot, Anatsa)       trojan with keylogger |
|                                                                             |
+-----------------------------------------------------------------------------+

Apple iOS: perfis de configuração móvel e phishing Safari¶

Em dispositivos Apple que executam iOS, o sistema operacional móvel proíbe a instalação direta de aplicativos fora da App Store oficial, a menos que um perfil corporativo de gerenciamento de dispositivos móveis seja aceito:

• Se você visitou o site apenas no Safari e digitou seus detalhes de pagamento, seu iPhone físico não está infectado com malware. O compromisso é limitado aos dados que você enviou no formulário.
• No entanto, se o site solicitar que você baixe um “Certificado de segurança USPS” ou “Perfil de entrega” e direcioná-lo para Configurações para instalar um perfil de configuração, rejeite a solicitação imediatamente.
• Um perfil MDM malicioso permite que um invasor roteie todo o tráfego da Internet por meio de um servidor proxy não autorizado, interceptando senhas e dados não criptografados.
• Para verificar perfis não autorizados no seu iPhone, abra Configurações -> Geral -> VPN e gerenciamento de dispositivos. Se algum perfil desconhecido aparecer, toque nele e selecione Remover gerenciamento.

Google Android: trojans bancários APK transferidos por sideload¶

Em dispositivos Android, os golpistas frequentemente tentam enganar os usuários para que baixem e instalem arquivos de pacotes de aplicativos maliciosos (APK):

• O site de phishing exibe um alerta: “Para rastrear seu pacote em tempo real, baixe o USPS Mobile Tracking Assistant oficial”.
• O navegador baixa um arquivo chamado USPS_Track.apk ou Package_Service.apk.
• Se você tocar no arquivo baixado e ignorar os avisos de segurança do Android (como permitir a instalação de fontes desconhecidas), você instalará um poderoso trojan bancário (como TeaBot, FluBot ou Anatsa).

• Quando uma vítima autoriza acidentalmente a instalação de um APK transferido por sideload, o malware solicita imediatamente permissão para ativar os Serviços de acessibilidade do Android. Esses recursos de acessibilidade foram originalmente projetados para ajudar usuários com deficiências físicas, lendo o texto da tela em voz alta ou automatizando gestos. No entanto, os trojans bancários exploram o acesso de acessibilidade para estabelecer controlo administrativo completo sobre o sistema operativo móvel:

• Keylogging e captura de tela em tempo real: o serviço malicioso em segundo plano registra cada caractere digitado no teclado, capturando nomes de usuário, senhas mestras e números de identificação pessoal em todos os aplicativos.

• Sobreposições de tela maliciosas: quando a vítima abre um aplicativo bancário ou de criptomoeda legítimo, o trojan detecta a inicialização do aplicativo e exibe instantaneamente uma tela de login falsificada, transparente ou com pixels perfeitos, diretamente sobre o aplicativo original. Quando você insere suas credenciais, elas são enviadas ao servidor do invasor enquanto o aplicativo trava ou mostra uma tela de carregamento simulada.
• Interceptação automática de SMS: o trojan intercepta mensagens de texto SMS recebidas contendo códigos de uso único enviados por bancos, exclui silenciosamente as notificações para que você nunca as veja e transmite os códigos de autenticação ao golpista em milissegundos.

Protocolo de contenção passo a passo para cartões de pagamento comprometidos¶

Quando as credenciais de pagamento são inseridas em um portal de reenvio fraudulento, tomar medidas decisivas junto à sua instituição financeira interrompe cobranças não autorizadas.

flowchart TD
    A["Detalhes do cartão inseridos na página de devolução falsa"] --> B["Abra o aplicativo Mobile Banking e bloqueie o cartão imediatamente"]
    B --> C["Emissor de cartão telefônico Departamento de fraude 24 horas por dia, 7 dias por semana"]
    C --> D["Solicitar cancelamento completo e reemissão do cartão"]
    D --> E["Revise todas as transações das últimas 72 horas"]
    E --> F{"Existem cobranças não autorizadas ou retenções pendentes?"}
    F -->|"Sim"| G["Iniciar Disputa do Consumidor do Regulamento Z/E para Itens Fraudulentos"]
    F -->|"Não: pego antes das acusações"| H["Verifique se nenhuma carteira digital (Apple/Google Pay) foi adicionada"]
    G --> I["Revogar todas as assinaturas tokenizadas vinculadas ao cartão roubado"]
    H --> I
    I --> J["Monitore conta corrente e cartão de crédito por 60 dias"]

Bloqueio e reemissão de cartões de pagamento comprometidos¶

Não espere para ver se uma cobrança não autorizada aparece no seu extrato. No momento em que você perceber que o site era ilegítimo, inicie o cancelamento do cartão:

• Faça login no aplicativo móvel do seu banco e localize as configurações de segurança do cartão. Toque em Bloquear cartão ou Congelar cartão para evitar tentativas de autorização em tempo real.
• Entre em contato com o departamento antifraude 24 horas por dia, 7 dias por semana do banco emissor, usando o número de telefone estampado no verso do seu cartão físico.
• Declare claramente: "Introduzi por engano o número do meu cartão, a data de validade e o código CVV num site de phishing online. Preciso que este cartão seja cancelado imediatamente e que seja emitido um substituto com um novo número de conta."
• Confirme com o representante se o banco desativa as atualizações tokenizadas do comerciante. Muitos emissores de cartão de crédito participam de serviços automatizados de atualização de cartão que fornecem automaticamente aos comerciantes o seu novo número de cartão quando um cartão é reemitido; solicitar explicitamente que o banco corte todos os links comerciais recorrentes existentes.

Disputando transações fraudulentas sob a lei federal do consumidor¶

Se os invasores conseguiram executar cobranças não autorizadas antes de você bloquear o cartão, os estatutos bancários federais limitam sua responsabilidade financeira pessoal:

• Fair Credit Billing Act (FCBA, 12 CFR Parte 1026/Regulamento Z): Para transações com cartão de crédito, sua responsabilidade legal máxima sob a lei federal por cobranças não autorizadas é de 50 USD. A maioria dos principais emissores de cartões (Visa, Mastercard, American Express, Discover) mantém políticas de responsabilidade zero que isentam totalmente essa taxa de 50 dólares quando você denuncia uma fraude imediatamente.
• Lei de Transferência Eletrônica de Fundos (EFTA, 12 CFR Parte 1005 / Regulamento E): Para transações com cartão de débito vinculadas a contas correntes, o tempo é crítico. Se você notificar seu banco dentro de dois dias úteis após tomar conhecimento do comprometimento, sua responsabilidade será limitada a US$ 50. Se você reportar entre dois e sessenta dias corridos após a transmissão do seu extrato mensal, sua responsabilidade aumenta para 500 USD. Após sessenta dias, você corre o risco de perder todo o dinheiro roubado de sua conta.
• Mantenha um registro escrito de todas as conversas telefônicas com seu banco, incluindo data, hora, nome do representante e número do caso de disputa.

Descontaminação de dispositivos móveis e reforço da segurança¶

Limpar e proteger seu dispositivo móvel evita vigilância contínua, coleta de credenciais e ataques repetitivos de spam smishing.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE DECONTAMINATION CHECKLIST                    |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [X] Clear Mobile Browser Cache: Purge Safari, Chrome, or Firefox cache,    |
|      cookies, and website data to remove cached phishing sessions.          |
|                                                                             |
|  [X] Audit Installed Applications: Inspect all apps, removing any unknown  |
|      software, especially apps installed outside official app stores.       |
|                                                                             |
|  [X] Audit Accessibility Permissions (Android): Revoke accessibility       |
|      access for any third-party app not explicitly trusted.                |
|                                                                             |
|  [X] Remove Enterprise MDM Profiles (iOS): Delete unfamiliar device        |
|      management certificates under Settings -> VPN & Device Management.     |
|                                                                             |
|  [X] Enable Spam Filtering: Activate native carrier and operating system    |
|      spam call and message filters (Silence Unknown Callers / Spam Shield). |
|                                                                             |
+-----------------------------------------------------------------------------+

Limpando o cache do navegador móvel e o armazenamento da sessão¶

Os sites de phishing armazenam scripts de rastreamento, tokens de sessão e objetos de cache local no navegador do seu celular para rastrear as respostas dos visitantes:

• iOS Safari: Abra Configurações -> Safari -> Limpar histórico e dados do site. Selecione "Todo o histórico" e confirme. Isso fecha todas as guias abertas do navegador e exclui cookies armazenados, imagens em cache e entradas de bancos de dados locais da web.
• Android Google Chrome: abra o Chrome, toque nos três pontos no canto superior direito, selecione Configurações -> Privacidade e segurança -> Limpar dados de navegação. Escolha "Sempre", marque "Cookies e dados do site" e "Imagens e arquivos armazenados em cache" e toque em Limpar dados.

Neutralizando aplicativos Android maliciosos¶

Se você baixou e instalou um arquivo de aplicativo de um link de phishing em um telefone Android, remova a ameaça imediatamente:

• Reinicie seu smartphone Android no Modo de segurança (na maioria dos modelos, pressione e segure o botão Liga/Desliga e toque e segure o ícone "Desligar" na tela até que o prompt "Reinicializar no modo de segurança" apareça). O Modo de segurança evita que aplicativos maliciosos de terceiros sejam executados em segundo plano.
• Abra Configurações -> Aplicativos -> Ver todos os aplicativos.
• Percorra a lista em busca de aplicativos suspeitos sem ícones corporativos adequados, aplicativos com nomes genéricos (como “Package Service”, “System Update”, “Flash Player” ou “USPS Assist”) ou aplicativos instalados no dia do incidente.
• Selecione o aplicativo suspeito, toque em Forçar parada e em Desinstalar.
• Se o botão “Desinstalar” estiver esmaecido, o malware obteve privilégios de administrador do dispositivo. Abra Configurações -> Segurança -> Aplicativos de administração de dispositivos, localize o aplicativo malicioso, desative suas permissões de administrador e prossiga com a desinstalação.

Filtrando mensagens smishing no nível do sistema operacional¶

Tanto o Apple iOS quanto o Google Android incluem ferramentas de filtragem integradas para silenciar mensagens de texto não solicitadas de números não armazenados em seus contatos:

• Apple iOS: abra Configurações -> Mensagens, role para baixo até "Filtragem de mensagens" e ative Filtrar remetentes desconhecidos. Isso cria uma guia separada em seu aplicativo Mensagens para textos recebidos de números desconhecidos, silenciando sons de notificação e mantendo links maliciosos fora de sua visualização principal.
• Google Android (Google Mensagens): abra o Mensagens do Google, toque no avatar do seu perfil no canto superior direito, toque em Configurações de mensagens -> Proteção contra spam e ative Ativar proteção contra spam. Este mecanismo de filtragem neural de crowdsourcing detecta e encaminha automaticamente textos suspeitos de smishing para sua pasta "Spam e bloqueados" sem vibrar seu telefone.

Canais oficiais de denúncia e aplicação da lei postal¶

O envio de relatórios detalhados de fraude às agências federais ajuda os inspetores postais a mapear sindicatos de spam, apreender domínios fraudulentos e derrubar infraestrutura de servidores criminosos.

+-----------------------------------------------------------------------------+
|                      OFFICIAL FRAUD REPORTING DIRECTORY                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Organization             Contact Channel           Purpose                 |
|  -------------------------------------------------------------------------  |
|  Carrier Spam Service     Forward SMS to 7726       Triggers carrier-wide   |
|                           (Universal shortcode)     spam block              |
|                                                                             |
|  US Postal Inspection     spam@uspis.gov            Federal criminal        |
|  Service (USPIS)          1-877-876-2455            investigation of fraud  |
|                                                                             |
|  FBI Internet Crime       ic3.gov                   Transnational cyber-    |
|  Complaint Center (IC3)                             crime tracking          |
|                                                                             |
|  Federal Trade            reportfraud.ftc.gov       Consumer deceptive trade|
|  Commission (FTC)                                   practice reporting      |
|                                                                             |
|  Google Safe Browsing     safebrowsing.google.com/  Submits malicious URL   |
|                           safebrowsing/report_phish for browser blocking    |
|                                                                             |
+-----------------------------------------------------------------------------+

Reportando ao Serviço de Inspeção Postal dos Estados Unidos¶

O Serviço de Inspeção Postal dos Estados Unidos é a agência federal de aplicação da lei responsável por investigar fraudes postais, falsificações postais e ataques de smishing direcionados a clientes do USPS:

• Encaminhe a mensagem de texto smishing para spam@uspis.gov.
• No corpo do e-mail, inclua uma captura de tela da mensagem de texto mostrando o número de telefone de origem, a data e hora do recebimento e o URL exato do site exibido na mensagem.
• Os investigadores cibernéticos do USPIS coordenam-se com registradores de domínios, provedores de hospedagem e promotores federais para apreender domínios fraudulentos e encerrar a infraestrutura de phishing.

Reporte às operadoras de telecomunicações móveis através do 7726¶

O código de acesso universal 7726 (soletrado SPAM em um teclado telefônico padrão) é mantido por operadoras de redes móveis em todo o mundo (incluindo AT&T, Verizon, T-Mobile, Vodafone e EE):

• Copie o texto da mensagem fraudulenta.
• Crie uma nova mensagem de texto endereçada a 7726 e cole o texto.
• Sua operadora responderá imediatamente com um prompt automático solicitando o número de telefone ou endereço de e-mail de origem que enviou o spam.
• Responda com o número de telefone do remetente.
• Os centros de análise de ameaças de operadoras usam esses relatórios agregados para atualizar firewalls de SMS em nível de rede em tempo real, bloqueando mensagens idênticas antes que cheguem a milhões de outros assinantes.

Proteção contra controle de conta do USPS Informed Delivery e desvio de correspondência¶

Um perigoso vetor secundário de smishing postal envolve a criação fraudulenta de contas na plataforma legítima do USPS Informed Delivery. Quando os invasores coletam seu nome completo, endereço físico e detalhes do cartão de pagamento, às vezes eles tentam registrar uma conta não autorizada em seu nome em usps.com:

• Abuso do recurso de entrega informada: a entrega informada permite que os residentes visualizem imagens digitais em escala de cinza de correspondências recebidas em tamanho carta e rastreiem pacotes programados para chegar ao seu endereço. Se um cibercriminoso registrar uma conta usando seu endereço, ele poderá visualizar imagens digitalizadas de extratos bancários recebidos, documentos fiscais, cartas de substituição de cartão de crédito e correspondência governamental antes que a correspondência chegue à sua caixa de correio física.
• Mudança de endereço não autorizada (COA): os invasores podem usar informações pessoais coletadas para enviar uma solicitação eletrônica de mudança de endereço por meio do serviço postal, desviando sua correspondência física para uma casa vazia, entrega de pacotes ou agência de recebimento de correspondência comercial. Depois que sua correspondência é redirecionada, os criminosos interceptam cartões de crédito recém-emitidos, cartões de débito substitutos e registros financeiros confidenciais sem o seu conhecimento.
• Verificando o status da conta: Visite usps.com, acesse o portal Entrega Informada e tente entrar ou criar uma conta com seus dados pessoais. Se a plataforma indicar que já existe uma conta para o seu endereço em um endereço de e-mail que você não reconhece, entre em contato com o atendimento ao cliente do USPS imediatamente.
• Verificação de identidade pessoalmente: se uma conta não autorizada tiver sido criada, visite a agência dos correios local com duas formas de identificação governamental e comprovante de endereço. Solicite que os funcionários dos correios encerrem a conta digital não autorizada e coloquem uma retenção fraudulenta em seu endereço de entrega físico para bloquear alterações de endereço eletrônico.

Gestão do estresse e consequências para a saúde¶

Ser vítima de um golpe online geralmente produz sofrimento emocional agudo, autoculpa e sentimentos de vulnerabilidade. Descobrir que um simples toque no telefone forneceu o número do seu cartão de crédito ou detalhes de identidade pessoal aos criminosos pode provocar choque físico, insônia, pressão arterial elevada e ansiedade.

Reconheça que as mensagens smishing postais são elaboradas profissionalmente por equipes criminosas que exploram o fato de que milhões de pessoas aguardam pacotes todos os dias. Se o estresse de um compromisso financeiro causar aperto no peito, falta de ar, tremores intensos ou pânico, procure atendimento médico imediatamente. Considere concluir um curso certificado de primeiros socorros, RCP e primeiros socorros psicológicos através da Cruz Vermelha, da St John Ambulance ou de um fornecedor local para construir confiança e competência prática na gestão de choques físicos e crises agudas de saúde durante emergências familiares.

Perguntas frequentes¶

O Serviço Postal dos Estados Unidos alguma vez envia mensagens de texto sobre entregas de pacotes?¶

O Serviço Postal dos Estados Unidos envia notificações de texto apenas para clientes que se registraram explicitamente para atualizações de rastreamento no site oficial (usps.com) para um número de rastreamento específico ou que se inscreveram no Informed Delivery. Mensagens de texto automatizadas legítimas do USPS chegam exclusivamente do código de acesso oficial de cinco dígitos 28777 (USPS) e nunca contêm links que direcionam os usuários para atualizar detalhes de endereço ou pagar taxas de reenvio. O serviço postal nunca envia mensagens de texto não solicitadas exigindo informações pessoais ou números de cartão de crédito para liberar um pacote.

O que devo fazer se inseri os dados do meu cartão de crédito, mas fechei a página antes de enviar?¶

Os modernos kits de phishing de proxy reverso freqüentemente usam scripts automatizados de rastreamento de formulários, como keyloggers ou conexões de websocket em tempo real, que capturam as teclas digitadas conforme você as digita em caixas de entrada individuais, mesmo que você nunca clique no botão final "Enviar" ou "Continuar". Como o número do seu cartão, a data de validade e o código CVV podem ter sido transmitidos em tempo real, você deve tratar o cartão como comprometido. Contate sua instituição financeira imediatamente para bloquear e substituir o cartão de pagamento.

Por que os golpistas pedem apenas uma pequena taxa como 0,35 USD em vez de centenas de dólares?¶

Os golpistas solicitam intencionalmente uma taxa insignificante entre 0,30 USD e 3,00 USD porque os consumidores raramente hesitam em gastar uma pequena quantia para resolver um pacote atrasado. Este baixo montante em dólares contorna o cepticismo humano e evita o desencadeamento de regras automatizadas de fraude bancária que examinam transacções de elevado valor. Depois que o golpista captura as credenciais completas do cartão, ele usa os dados roubados para inscrever seu cartão em carteiras móveis ou iniciar transações de varejo não autorizadas de alto valor.

Os golpistas podem roubar meu dinheiro se eu apenas clicar no link, mas não digitar nenhuma informação?¶

Se você clicou no link apenas no Safari, Chrome ou outro navegador móvel padrão e fechou imediatamente a guia sem enviar informações, instalar um aplicativo ou baixar um perfil de configuração, suas contas financeiras permanecerão seguras. Os sistemas operacionais móveis modernos isolam as guias do navegador da web em sandboxes seguras, evitando que os sites extraiam senhas armazenadas ou cartões de pagamento sem interação do usuário. Limpe o cache do navegador e os dados do site como medida de segurança padrão.

Qual é a diferença entre um número de rastreamento USPS real e um número de rastreamento falso em um texto?¶

Os números de rastreamento USPS autênticos aderem a formatos padronizados, normalmente consistindo de 20 a 22 dígitos numéricos começando com 9 (para pacotes domésticos) ou 13 caracteres alfanuméricos começando com duas letras, seguidos por nove dígitos e terminando com EUA (para remessas internacionais). As mensagens de texto smish geralmente incluem sequências completamente fabricadas de letras e números aleatórios ou omitem totalmente o número de rastreamento enquanto orientam você a clicar em um link. Você pode verificar qualquer número de rastreamento com segurança acessando diretamente usps.com e inserindo o código na barra oficial de pesquisa de rastreamento.

Fontes verificadas¶

• Serviço de Inspeção Postal dos Estados Unidos (USPIS, Estados Unidos): Aconselhamento de Conscientização Pública: Golpes de Entrega de Pacotes Smishing e Phishing Postal (uspis.gov).
• Federal Trade Commission (FTC, Estados Unidos): Alerta ao consumidor: mensagens de texto falsas de entrega de pacotes e ataques de Smishing (consumer.ftc.gov).
• Agência de Cibersegurança e Segurança de Infraestrutura (CISA, Estados Unidos): Combate às ameaças de phishing e smishing móvel: orientação para consumidores e organizações (cisa.gov).
• Comissão Federal de Comunicações (FCC, Estados Unidos): Guia do Consumidor: Golpes de Robotexts, Smishing e Entrega de Pacotes (fcc.gov).
• Centro Nacional de Segurança Cibernética (NCSC, Reino Unido): Golpes de phishing e smishing: identificação e denúncia de mensagens SMS maliciosas (ncsc.gov.uk).
• Centro Canadense Antifraude (CAFC, Canadá): Prevenção de Fraude: Esquemas de Entrega de Pacotes e Smishing de Correio (antifraudcentre-centreantifraude.ca).

Guias relacionados¶

• Resposta a violação de dados e vazamento de senha
• Phishing MFA e desvio de adversário intermediário
• Phishing de código QR e defesa contra quishing
• Roubo de pacotes e pirataria na varanda
• Golpes e fraudes