Pakettihuijaus: miksi tulliviesti osuu juuri odotettuun hetkeen

Pakettiviesti on huijauksena poikkeuksellisen tehokas, koska se ei vaadi uhrilta virhettä vaan pelkkää arjen normaalia toimintaa. Verkosta tilataan jatkuvasti, lähetyksiä on liikkeellä yhtä aikaa useita, eikä kukaan muista ulkoa mikä kuljetusliike toi minkäkin paketin. Siihen aukkoon viesti asettuu.

Yleisin väärä käsitys on, että osuva ajoitus todistaa jotain. Moni ajattelee, että koska juuri odotan pakettia, viestin täytyy liittyä siihen tai ainakin lähettäjän täytyy tietää tilauksestani. Kumpikaan ei yleensä pidä paikkaansa. Tässä artikkelissa käydään läpi, mistä ajoitus syntyy, mitä oikea kuljetusliike ja Tulli voivat sinulta pyytää, miten seurantakoodi tarkistetaan oikein ja mitä pienen maksun takana on. Muut Suomessa liikkuvat viestityypit on koottu artikkeliin huijausviestit Suomessa.

Miksi viesti osuu juuri silloin kun odotat pakettia

Huijauskampanja ei valitse vastaanottajia. Puhelinnumerot ovat pitkälti generoituja tai ostettuja listoja, ja sama viesti lähtee kerralla suurelle joukolle. Kun tarpeeksi monella suomalaisella on minä tahansa viikkona jokin lähetys matkalla, osa vastaanottajista saa viestin juuri sopivaan väliin. Tämä on sama ilmiö kuin horoskoopissa: väite on tehty niin, että se osuu riittävän moneen.

Vaikutelmaa vahvistaa muistin toiminta. Muistat sen viestin, joka osui odotukseesi, mutta et niitä kymmentä, jotka tulivat viikkoina jolloin et odottanut mitään. Ne poistuivat huomaamatta. Jäljelle jää tunne, että huijari tiesi.

Kampanjat myös ajoitetaan. Alennuskaudet ja joulua edeltävät viikot ovat aikaa, jolloin lähetyksiä on liikkeellä eniten, ja silloin sama viesti osuu suurempaan osaan vastaanottajista. Ajoitus on siis harkittua, mutta se kohdistuu kalenteriin eikä sinuun.

Poikkeuksia on. Jos verkkokaupasta on vuotanut tilaustietoja, viesti voi sisältää oikean nimen, oikean tuotteen tai oikean seurantakoodin. Tällaiset kohdennetut viestit ovat harvinaisempia mutta selvästi vaarallisempia, koska niistä puuttuu kaikki tavallinen outous. Siksi tunnistus ei voi nojata siihen, tuntuuko viesti oikealta, vaan siihen mitä se pyytää sinua tekemään.

Mitä oikea kuljetusliike ja Tulli voivat pyytää

EU:n ulkopuolelta tulevasta tavaralähetyksestä peritään arvonlisävero riippumatta siitä, kuinka halpa tavara on. Varsinaista tullia peritään vasta, kun tavaran arvo ylittää 150 euroa, ja tästä rajasta on EU:ssa valmisteltu muutoksia, joten sen pysyvyyteen ei kannata luottaa. Käytännössä maksun perii usein kuljetusliike, joka tekee tulli-ilmoituksen puolestasi ja laskuttaa siitä oman käsittelymaksunsa. Tämä on aitoa toimintaa, ja juuri siksi huijaus toimii.

Ero aidon ja väärän välillä ei ole siinä, onko maksupyyntö olemassa, vaan siinä miten maksu suoritetaan.

• Kuljetusliikkeen aito maksu hoidetaan sen omassa palvelussa tai sovelluksessa, jonka avaat itse. Sama tieto löytyy sieltä ilman viestin linkkiä.
• Tulli asioi omassa palvelussaan, johon kirjaudutaan vahvalla tunnistautumisella. Tulli ei lähetä yksityishenkilölle tekstiviestiä, jossa on suora maksulinkki ja kenttä kortin numerolle.
• Aidon maksun summa on suhteessa tavaran arvoon ja sisältää eritellyn veron ja käsittelymaksun. Huijauksen summa on tyypillisesti muutama euro ja täysin irrallaan siitä, mitä olet tilannut.

Jos et ole tilannut mitään EU:n ulkopuolelta, tullimaksuun vetoava viesti on jo lähtökohtaisesti väärässä. EU:n sisältä tulevassa lähetyksessä ei ole tullausta lainkaan.

Miten viesti on rakennettu näyttämään aidolta

Tekstiviestin lähettäjänimi on kenttä, jonka lähettävä järjestelmä täyttää itse. Kun siihen kirjoitetaan tunnetun kuljetusliikkeen nimi, puhelin voi ryhmitellä viestin samaan ketjuun aitojen viestien kanssa. Silloin huijaus näkyy vanhojen, oikeiden ilmoitusten alapuolella, mikä on vahva uskottavuussignaali. Sama mekanismi selitetään tarkemmin artikkelissa tietojenkalastelu.

Osoite on toinen puoli. Huijaussivun verkkotunnus rakennetaan niin, että tuttu nimi näkyy alussa mutta varsinainen omistaja on lopussa: muotoa posti-seuranta.example.net tai posti.fi.tullaus-maksu.example. Puhelimen kapea osoiterivi katkaisee osoitteen usein juuri siitä kohdasta, jossa totuus olisi. Osoitteen lukeminen oikein on oma taitonsa, ja se käydään läpi artikkelissa URL-osoitteen osat.

Lukko osoiterivillä ei auta tässä. Varmenne todistaa, että yhteys kyseiseen verkkotunnukseen on salattu, ei että verkkotunnus kuuluu Postille. Huijaussivustolla on nykyään käytännössä aina lukko.

Kolmas osa on kiire. Viesti kertoo, että lähetys on pysäytetty tai palautetaan lähettäjälle, ellei maksua suoriteta pian. Määräaika on keksitty, mutta sen tehtävä on estää se, että avaisit oman tilaushistoriasi ja huomaisit ristiriidan.

Sama huijaus tulee myös sähköpostina ja QR-koodina

Tekstiviesti on yleisin kanava, mutta se ei ole ainoa. Sähköpostiversio on usein huolellisemmin tehty, koska siihen mahtuu logo, taulukkomuotoinen lähetystieto ja alatunniste, joka on kopioitu suoraan aidosta viestistä. Sähköpostissa lähettäjän osoite on kuitenkin helpompi tarkistaa kuin tekstiviestin nimikenttä: katso koko osoite, älä näyttönimeä, ja lue verkkotunnus oikealta vasemmalle.

Kolmas muoto on QR-koodi. Sitä käytetään sekä sähköposteissa että fyysisinä tarroina, joita liimataan pakettiautomaattien ja ilmoitustaulujen pintaan. QR-koodi on huijarille kätevä kahdesta syystä. Ihminen ei voi lukea siitä osoitetta etukäteen, ja koodin skannaaminen siirtää tapahtuman puhelimelle, jonka kapealla ruudulla osoite on vaikeimmin tarkistettavissa. Sama sääntö toimii tässäkin: skannaa koodi jos haluat, mutta lue avautuva osoite ennen kuin syötät mitään, ja jos sivu pyytää maksua, sulje se ja mene toimittajan omaan palveluun.

Puhelinsoitto on neljäs muoto. Siinä soittaja kertoo tullimaksusta ja tarjoutuu hoitamaan sen puolestasi, jos annat kortin tiedot puhelimessa. Tämä on sama kaava kuin muissakin puhelinhuijauksissa, ja sen tekninen tausta on selitetty artikkelissa puhelinhuijaukset. Kanava vaihtuu, tavoite ei.

Näin tarkistat lähetyksen oikein

Tämä on koko artikkelin tärkein kohta, ja se toimii riippumatta siitä, kuinka aidolta viesti näyttää.

1. Älä avaa viestin linkkiä. Et tarvitse sitä mihinkään, koska kaikki sama tieto on saatavilla toista kautta.
2. Etsi oma tilausvahvistuksesi sähköpostista. Siitä näet, mistä kaupasta tilasit, mikä kuljetusliike toimittaa ja mikä on lähetyksen seurantakoodi.
3. Avaa kuljetusliikkeen seurantapalvelu itse: kirjoita osoite käsin, käytä omaa kirjanmerkkiäsi tai avaa sen sovellus.
4. Syötä seurantakoodi siellä. Jos viestissä oli koodi, kokeile myös sitä. Olematon tai toiseen maahan osoittava koodi paljastaa huijauksen heti.
5. Jos sinulla ei ole yhtään avointa tilausta, viesti on huijaus riippumatta sisällöstä. Poista se.
6. Jos jokin jää epäselväksi, soita kuljetusliikkeen asiakaspalveluun numerosta, jonka otat sen omilta sivuilta, et viestistä.

Tämä järjestys purkaa myös kohdennetun huijauksen, jossa nimi ja tuote ovat oikein. Vuodetusta tiedosta huolimatta huijari ei pysty muuttamaan sitä, mitä kuljetusliikkeen oma järjestelmä näyttää.

Mitä pieni maksu oikeasti tekee

Muutaman euron summa on huijauksen tarkin yksityiskohta. Se on valittu niin pieneksi, ettei se tunnu päätökseltä. Ihminen, joka ei maksaisi sataa euroa epäilyttävälle sivulle, maksaa kaksi euroa "vain päästäkseen asiasta eroon". Rahalla ei kuitenkaan ole huijarille juuri merkitystä.

Maksulomake kerää kortin numeron, voimassaoloajan, turvakoodin, nimen ja usein osoitteen. Se on kokonainen korttitietopaketti, jolla voi maksaa muualla. Lisäksi lomakkeeseen on tavallisesti kirjoitettu pienellä sitoumus toistuvasta veloituksesta: kertamaksu on tosiasiassa tilaus, jota veloitetaan viikoittain tai kuukausittain, kunnes se erikseen perutaan. Veloitukset ovat maltillisia juuri siksi, että ne eivät herättäisi huomiota tiliotteella.

Vahva tunnistautuminen ei yksin pysäytä tätä. Kun hyväksyt maksun pankkisovelluksessa, hyväksyt sen mitä pankki näyttää sinulle, et sitä mitä huijaussivulla luki. Siksi kannattaa opetella lukemaan hyväksyntänäkymä: saajan nimi, summa ja tieto siitä, koskeeko hyväksyntä kertamaksua vai jatkuvaa valtuutusta. Jos jokin näistä ei täsmää, hylkää.

Jos annoit korttitiedot

Nopeus ratkaisee enemmän kuin täydellisyys. Tee nämä siinä järjestyksessä kuin ne onnistuvat.

1. Sulje kortti heti pankkisi sovelluksesta tai sulkupalvelusta. Kortin sulkeminen katkaisee myös alkaneet toistuvat veloitukset.
2. Käy tilitapahtumat läpi ja etsi pieniä, tuntemattomia veloituksia. Koeveloitus on usein sentin luokkaa ja tehdään ennen isompaa.
3. Kerro pankille nimenomaisesti, että kyseessä oli huijaus ja että kortille on voitu perustaa toistuva veloitus. Pyydä sen esto.
4. Tee reklamaatio kortin veloituksista. Korttimaksun oikaisukeinot on selitetty artikkelissa maksun peruutus ja takaisinperintä, ja suojan taso riippuu siitä, käytitkö debit- vai luottokorttia, mikä käydään läpi artikkelissa luottokortti vai debit.
5. Ota kuvakaappaukset viestistä, sivustosta ja veloituksista ennen kuin poistat mitään. Tee sitten rikosilmoitus poliisille.
6. Jos rahaa on jo siirtynyt, etene artikkelin rahat menivät huijarille mukaan.

Jos syötit sivustolle myös verkkopankkitunnukset tai kertakäyttökoodin, tilanne on vakavampi kuin pelkkä korttitieto, ja pankkiin pitää soittaa heti.

Näin teet itsestäsi huonon kohteen

Yksittäisen viestin tunnistaminen on taito, mutta kestävämpi ratkaisu on järjestää asiat niin, ettei yksi väärä klikkaus riitä.

• Käytä verkko-ostoksiin erillistä korttia tai virtuaalikorttia, jolla on pieni katevaraus. Silloin vuotanut kortti ei ole pääsy palkkatilillesi.
• Ota käyttöön ilmoitukset kaikista korttitapahtumista. Toistuva veloitus paljastuu ensimmäisestä eikä kymmenennestä.
• Pidä tilausvahvistukset yhdessä paikassa. Kun tiedät kahdessa sekunnissa mitä olet tilannut, viestin uskottavuus romahtaa.
• Sopikaa kotona sääntö: kukaan ei maksa mitään viestin linkin kautta. Sääntö on helpompi muistaa kuin tunnusmerkkilista, ja se suojaa myös silloin kun huijaus on tehty hyvin.
• Ilmoita huijausviestistä Kyberturvallisuuskeskukselle ja siirrä se roskapostiin. Väärennettyihin verkkokauppoihin liittyvät tunnusmerkit käsitellään erikseen artikkelissa huijaverkkokaupat.

Jos huomaat jälkikäteen käyneesi sivulla mutta et syöttäneesi mitään, riski on pieni. Pelkkä sivun avaaminen ei yleensä tee mitään, koska huijauksen koko teho on lomakkeessa.