⭐ נקודות עיקריות
- חברת ESET מתריעה כי קבלת חבילות ללא הזמנה עשויה להעיד על הונאת סחר ושימוש במידע אישי.
- התוקפים משתמשים בפרטים אישיים שדלפו לביצוע רכישות פיקטיביות וכתיבת ביקורות מזויפות לקידום מוצרים.
- סריקת קודים המצורפים לחבילה עלולה להוביל לאתרי פישינג או להורדת נוזקות למכשיר.
- ההמלצה: להימנע מסריקת קודים חשודים, לבדוק חיובים באשראי ולדווח לפלטפורמת הסחר.
חברת אבטחת המידע ESET מתייחסת לדיווחים של משתמשים על קבלת חבילות שלא הזמינו, תופעה שעשויה להיראות תמימה או כטעות במשלוח, אך בפועל עלולה להצביע על הונאת סחר מקוון מתוחכמת המוכרת יותר כהונאת “הברשה” (Brushing Scam).
במקרים רבים מדובר בדפוס פעולה של האקרים המשתמשים בפרטים אישיים של המקבלים כחלק מתרמית רחבה יותר.
מנגנון ההונאה: כך זה עובד
השיטה מתבססת על שימוש במידע אישי, כגון שמות וכתובות, אשר נאסף ממאגרי מידע שדלפו או ממידע גלוי ברשתות החברתיות.
הגורמים הזדוניים משתמשים בפרטים אלו כדי לבצע רכישות פיקטיביות של מוצרים שהם עצמם משווקים בפלטפורמות סחר מקוון שונות.
לאחר ביצוע ה”רכישה”, החבילה נשלחת לכתובת הקורבן. המטרה העיקרית של התוקפים היא היכולת לפרסם לאחר מכן ביקורת חיובית מזויפת כ”רוכש מאומת” (Verified Purchase).
ביקורות אלו נועדו לשפר את דירוג המוצר ואת החשיפה שלו בפני צרכנים אמיתיים בפלטפורמות הסחר הגדולות.
עידן אברמוב, מנהל טכנולוגיות בקומסקיור, המפיצה הרשמית של ESET בישראל, אמר:
תרמיות מסוג זה נפוצות במיוחד בפלטפורמות סחר גדולות, בהן מנגנון הביקורות מהווה גורם מרכזי בהחלטות רכישה. למשל, חברת אמזון דיווחה כי בשנת 2024 חסמה באופן יזום מאות מיליוני ביקורות חשודות כחלק מהמאבק בתופעת הביקורות המזויפות. גם פלטפורמות סחר פופולריות נוספות, בהן Temu ואתרי סחר בינלאומיים אחרים, משמשות יעד לפעילות דומה, כאשר הדפוס זהה: רכישה פיקטיבית, משלוח לכתובת אקראית ופרסום ביקורת מזויפת.
הסכנות הטמונות בחבילה
מעבר לפגיעה באמינות הצרכנית ובמערכות הדירוג, ב-ESET מדגישים כי קבלת החבילה אינה אירוע נטול סיכונים עבור המקבל. לרוב מדובר בפריטים זולים כגון כיסויי טלפון, צעצועים קטנים או אביזרי מטבח, הנשלחים ללא פרטי שולח ברורים.
הסיכון המיידי טמון לעיתים בתוכן הנלווה: בחלק מהמקרים מצורף לחבילה פתק עם קוד QR לסריקה שיכול להוביל את המשתמש לאתרי פישינג המיועדים לגניבת פרטים נוספים, או אף לגרום להורדת קבצים זדוניים למכשיר הנייד.
נוסף על כך, עצם קבלת החבילה מעידה כי פרטיו האישיים של המקבל מצויים בידי הגורמים העברייניים. פעולה זו עשויה לשמש כ”בדיקת היתכנות” לתקינות הפרטים, לקראת ניסיונות עתידיים של גניבת זהות, הזמנת כרטיסי אשראי על שם הקורבן או ביצוע עבירות הונאה אחרות.
כיצד מומלץ לפעול?
מומלץ לנקוט משנה זהירות בעת קבלת חבילה בלתי צפויה. בשלב הראשון, יש לוודא כי לא מדובר במתנה לגיטימית או בהזמנה שנשכחה.
אם מדובר בחבילה חשודה, יש להימנע לחלוטין מסריקת קודים המופיעים עליה או בתוכה ומפתיחת קישורים נלווים.
בנוסף, מומלץ לבצע מעקב יזום אחר פעילות בחשבונות הבנק וכרטיסי האשראי כדי לשלול חיובים חריגים, ולדאוג להפעלת אימות דו-שלבי (2FA) בחשבונות מקוונים להגברת האבטחה.
