Je SMS od DPD podvodná?
Dobrý deň, dnes mi prišla takáto SMS od dpd, môže ísť o podvod ?
Stručné zhrnutie
- Podvodné SMS, ktoré sa tvária ako DPD, používajú falošné odkazy a často žiadajú najprv neškodné údaje (napr. číslo domu), potom malý "doplatok" (spravidla 1–2 €) a nakoniec formulár na zadanie údajov platobnej karty alebo pridanie karty do mobilnej peňaženky.
- Overenie zásielky treba robiť cez oficiálnu stránku alebo oficiálnu aplikáciu DPD cez HTTPS, prípadne zadať sledovacie číslo priamo na stránke DPD; zámok pri URL nemusí znamenat bezpečnosť a doménu treba čítať odzadu (napr. dpd-sk.dorucenie-balik.info má doménu dorucenie-balik.info).
- Ak nastane kompromitácia karty, odporúča sa okamžite zablokovať kartu v aplikácii banky (niekedy sú to tri kliknutia), skontrolovať pridania do peňaženiek, nastaviť nízky limit pre internetové platby a nahlásiť incident SK-CERTu a NBÚ (incident@nbu.gov.sk).
Najčastejšie otázky
Q: Ako zistím, či je SMS údajne od DPD podvodná?
A: Skontrolujte URL bez kliknutia, čítajte adresu odzadu po prvú lomku (napr. dpd-sk.dorucenie-balik.info → doména dorucenie-balik.info), overte sledovacie číslo na oficiálnej stránke alebo v oficiálnej aplikácii DPD a zavolajte podpore DPD namiesto klikania na odkaz.
Q: Čo mám urobiť, ak som klikol na odkaz a zadal údaje karty?
A: Ihneď zablokujte kartu cez mobilnú aplikáciu banky, skontrolujte a zrušte akékoľvek pridanie karty do mobilnej peňaženky, nahláste podvod banke a nahláste incident SK-CERTu a NBÚ (incident@nbu.gov.sk).
Q: Ako presne podvod funguje, keď požaduje „číslo domu“?
A: Útočníci najprv žiadajú neškodné údaje (napr. číslo domu) aby overili, že ide o živú reakciu, potom zobrazia požiadavku na malý poplatok (spravidla 1–2 €) a následne formulár na zadanie údajov karty a potvrdenie pridania karty do peňaženky pomocou SMS OTP.
Q: Ako sa chrániť pred podvodmi, ktoré ponúkajú stiahnutie aplikácie na sledovanie zásielky?
A: Neinštalujte aplikácie mimo Obchod Play, v nastaveniach Androidu zakážte inštaláciu neznámych aplikácií a pravidelne kontrolujte sekciu Nastavenia → Prístupnosť, či tam nie je neznáma aplikácia s povolením čítať správy a overovacie kódy.
Q: Kam mám nahlásiť podozrivú SMS alebo phishing?
A: Polícia odporúča nereagovať a neklikať; incident je možné nahlásiť SK-CERTu a Národnému bezpečnostnému úradu (NBÚ) na adresu incident@nbu.gov.sk.
Q: Prečo nie je bezpečné spoliehať sa len na „zámok“ v URL alebo na to, že odosielateľ SMS zobrazuje DPD?
A: Podvodníci môžu nastaviť text odosielateľa SMS aj subdomény podľa vlastného výberu a aj stránky s padlockom (HTTPS) môžu byť falošné; doménu treba čítať odzadu a overiť ju podľa prvého lomítka.
Závery z diskusie
Zhoda
- Falošné SMS s odkazmi predstierajú, že sú od kuriérskych služieb (napr. DPD) a ide o phishing, preto sa na odkazy nemá klikať.
- Overenie zásielky cez oficiálnu stránku alebo aplikáciu DPD a zablokovanie karty v bankovej aplikácii sú odporúčané kroky po podozrivej SMS.
Sporné názory
- Niektorí diskutujúci tvrdia, že DPD na Slovensku neposiela SMS, iní tvrdia, že DPD SMS posiela (obidve varianty sú uvádzané ako možné).
- Niektorí hovoria, že prvá obrazovka podvodu pýta len neškodné údaje (číslo domu) a slúži na overenie, iní považujú už aj takúto prvú obrazovku za nebezpečnú, pretože vedie k ďalším krokom vedúcim k získaniu platobných údajov.
Otvorené otázky
- Ktoré presné komunikačné kanály (SMS vs e-mail) a formáty oficiálne využíva DPD na Slovensku a ako ich občan jednoznačne rozlíšiť?
- Aké sú presné kontaktné údaje a postupy na nahlásenie phishingu pre SK-CERT dostupné pre verejnosť?
Spomenuté značky a firmy
DPD, Slovenská pošta, DHL, Tatrabanka, Spotify, SK-CERT, NBÚ, Polícia, Obchod Play, Android
Spomenuté produkty a metódy
phishing, falošné SMS s odkazmi, overenie čísla zásielky na oficiálnej stránke DPD, oficiálna aplikácia DPD, čítanie domény odzadu (príklad dpd-sk.dorucenie-balik.info → dorucenie-balik.info), stiahnutie aplikácie mimo Obchod Play (sideload), prístupnosť (Accessibility) povolenie na Androide, pridanie karty do mobilnej peňaženky, potvrdzovací kód (SMS OTP), blokovanie karty v aplikácii banky, nízky limit internetových platieb, nahlásenie SK-CERT a NBÚ (incident@nbu.gov.sk), malý „doplatok“ 1–2 € lákací krok, prípadné neoprávnené transakcie (uvádzaný príklad 480 €)
Miesta a osoby
Slovensko, Saudská Arábia
@anonym_autor mne DPD doručí aj bez čísla domu. Veď ak ti vie poslať sms, vie aj zavolať, aké máš číslo domu. Nenalet 😏
anna777115 a mooonika1975 sa pýtajú na dobrú vec a myslím, že to tu nikto celkom nedopovedal. Tá stránka za odkazom totiž kartu nepýta hneď.
Prvý krok je presne to neškodné, doplňte číslo domu alebo adresu. Nie je to preto, že by ich zaujímalo, kde bývate. Je to preto, aby to vyzeralo ako naozajstná stránka kuriéra a aby si overili, že za tým číslom je živý človek, ktorý reaguje. Až na ďalšej obrazovke príde, že zásielka čaká na doplatok za opätovné doručenie alebo na colný poplatok, spravidla euro-dve. Tá suma je zámerne smiešna, lebo pri jednom eure človek neprepína do opatrného režimu tak ako pri stovke. A tam už je formulár na kartu.
maranco to potom popísal presne, vylákajú údaje z karty aj potvrdzovací kód, kartu si pridajú do peňaženky v mobile a platia ňou. K tomu sa dá doplniť jedna vec, ktorá sa dá ešte stihnúť. Ten kód vám nechodí za tie dve eurá. V správe z banky býva napísané, o akú operáciu ide, teda pridanie karty do peňaženky alebo meno obchodníka, ktoré s kuriérom nemá nič spoločné. Je to posledná brzda a stačí ju prečítať.
Viacerí ste písali, nech sa človek pozrie na odkaz, ale ako ho čítať, to tu nezaznelo. Adresa sa číta odzadu po prvú lomku. Keď je v správe niečo ako dpd-sk.dorucenie-balik.info, doména je dorucenie-balik.info a to dpd-sk pred bodkou je len ozdoba, ktorú si tam napíše ktokoľvek. A zámok pri adrese nič nedokazuje, podvodné stránky ho majú tiež.
Ešte jedna vec, na ktorú sa naráža čoraz častejšie. Na Androide sa niekedy namiesto formulára ponúkne stiahnutie appky na sledovanie zásielky, ktorá sa neinštaluje z Obchodu Play, ale priamo zo stránky. Bezpečnostné firmy o takých kampaniach mierených aj na Slovensko píšu opakovane. Keď sa takému programu povolí Prístupnosť, vie čítať prichádzajúce správy aj overovacie kódy, takže potvrdzovanie cez SMS prestane chrániť. Preto sa oplatí mať v nastaveniach zakázané inštalovanie neznámych aplikácií pre prehliadač a občas sa pozrieť do Nastavenia, Prístupnosť, či tam nesedí niečo, čo ste si neinštalovali.
A keby to už niekto vyplnil, prvá vec nie je volať na infolinku, ale zablokovať kartu priamo v aplikácii banky, sú to tri kliknutia a ide to aj o polnoci. Potom sa v aplikácii oplatí pozrieť, či karta nie je pridaná do nejakej peňaženky alebo zariadenia, ktoré nepoznáte, a to zrušiť. Samotnú správu sa dá nahlásiť SK-CERT-u, na NBÚ na to majú adresu incident zavináč nbu.gov.sk.
A k otcovi. Ten nízky limit na internetové platby nemusí byť doživotný, v aplikácii sa dá zdvihnúť na tú chvíľu, keď reálne potrebuje kúpiť niečo drahšie. Takže ho to neobmedzí, len mu to pri každej väčšej sume dá pár sekúnd navyše na rozmyslenie, a presne o tie sekundy pri týchto podvodoch ide.