В сентябре 2026 года жители Бельгии стали получать письма от имени национального почтового оператора bpost. Сообщение на нидерландском или французском языке гласило: посылка не доставлена, потому что не уплачена таможенная пошлина в 4,95 евро. В теме письма указан номер отслеживания, что придаёт обращению правдоподобность. Сумма настолько мала, что получатель платит почти не задумываясь. На этом и строится расчёт авторов рассылки. Повод выглядит обыденно, поэтому человек не проверяет ни адрес отправителя, ни сайт, куда ведёт ссылка.
Описание
Схема давно вышла за пределы одной страны. В США письма приходят от имени USPS и сообщают о неверном адресе или невозможности доставки. Во Франции подделывают Colissimo и Chronopost, в Испании - Correos, в Италии - Poste Italiane, в Нидерландах - PostNL. Тексты отличаются, цель одна: вынудить человека перейти на фальшивый сайт курьерской службы и оставить там личные и финансовые сведения. Массовость объясняется просто. Базы адресов стоят недорого, а сама рассылка не требует сложной инфраструктуры. Жертвами становятся и частные лица, и сотрудники компаний, которые оформляют доставку на рабочий адрес.
Тема доставки удобна для мошенников по нескольким причинам. Уведомления о посылках ждут миллионы людей, реакция на них почти автоматическая. Логистические компании рассылают такие письма массово, поэтому подозрительное сообщение не выделяется на общем фоне. Крупные распродажи и праздники дополнительно увеличивают поток отправлений, и в эти периоды число подделок растёт.
Оплата пошлины - только предлог. Как показал разбор этой кампании, ссылка из письма сначала проходит через сервис сокращения ссылок, а уже затем перенаправляет на поддельную страницу. Домены имитируют официальный адрес bpost. В них встречаются слова о получении посылки на нидерландском и французском, а также посторонние зоны верхнего уровня. Получатель разницы не замечает: переход происходит мгновенно, адресная строка выглядит правдоподобно, а вёрстка повторяет оригинал. Мошенники используют сразу несколько таких адресов, поэтому блокировка одного из них почти ничего не меняет.
Фальшивая страница копирует фирменный стиль bpost и обещает безопасность. Там есть надписи про защищённое SSL-соединение (шифрование канала связи между браузером и сайтом), 256-битное шифрование, соответствие SEPA (единой зоне платежей в евро) и "безопасный платёж". Все эти ярлыки добавили сами мошенники. Они ничего не подтверждают. Даже подлинный сертификат говорит лишь о шифровании канала и не свидетельствует о честности получателя денег. Воспринимать такой признак как гарантию нельзя.
Первый экран запрашивает имя, телефон, электронную почту и возраст. Возраст в такой ситуации выглядит лишним, однако его собирают. Второй экран просит номер банковского счёта, номер карты, срок её действия и сумму платежа. Здесь и раскрывается настоящая цель - не пошлина, а полные банковские реквизиты. Отдельная деталь: страница упоминает получение средств, хотя письмо говорит о необходимости заплатить. Противоречие бросается в глаза, если читать внимательно. Многие жертвы заполняют форму до конца, потому что уже потратили время на первые поля.
Ошибки в поддельных страницах случаются. В нидерландской версии одна из кнопок подписана как "поиск по Индии" вместо слова "оплатить". Такие огрехи выдают обман. Полагаться на них не стоит: часть фишинговых страниц собрана аккуратно, без опечаток и странных переводов. Авторы кампаний быстро исправляют замеченные недочёты и меняют домены, как только те попадают в чёрные списки. Отсутствие видимых ошибок ничего не доказывает.
Похищенные данные редко остаются у одной группы. Номера карт используют для покупок или продают другим преступникам. Имя, телефон и адрес помогают делать следующие обращения убедительнее: человек охотнее верит тому, кто знает детали его прошлого заказа. Для банков и почтовых операторов это оборачивается дополнительной нагрузкой. Клиенты начинают сомневаться в любых уведомлениях, включая настоящие, и перестают реагировать на подлинные письма о доставке. Возврат спорных списаний тоже требует времени и заявлений.
Проверить подозрительное письмо можно без специальных знаний. Официальные сервисы доставки не требуют полных реквизитов карты ради пошлины в несколько евро. Номер заказа сверяют в личном кабинете на сайте оператора, набрав адрес вручную, а не по ссылке из письма. Двухфакторная аутентификация в банке и уведомления о каждой операции помогают заметить чужой платёж в первые минуты. Если данные карты всё же попали на чужую страницу, карту блокируют сразу и сообщают в банк. Корпоративным службам стоит напоминать сотрудникам о таких рассылках до праздничного сезона, когда нагрузка на логистику максимальна.
Кампании с посылками держатся на одном приёме: маленькая сумма, понятный повод, спешка. Пока этот расчёт работает, география рассылок будет расширяться, а названия курьерских служб в письмах станут меняться вместе с ней. Заметить обман помогает привычка проверять отправителя и не оплачивать мелкие сборы по ссылкам из писем.
Индикаторы компрометации
