ZH
一包意外收到的包裹看似是免费的礼物，但这也可能是你的个人信息已被滥用的迹象。以下将介绍什么是“刷单诈骗”、为何会发生此类诈骗，以及如何保护自己。
简而言之
一个印有你姓名和地址的包裹突然送达。你并没有下单。里面装着一件小巧廉价的物品，可能是手机壳、一对手链，或者一包种子。没有发票，没有寄件地址，没有任何线索能说明它从何而来。
你很可能会耸耸肩把它收起来。大多数人都是这么做的。但这个包裹其实是某种事情的征兆——在它送到你家门口之前，这件事就已经发生了：你的个人信息在未经你许可的情况下被滥用了。下面就来揭秘这究竟是怎么回事，以及该如何应对。
“刷单诈骗”是指在亚马逊、eBay、Temu或AliExpress等电商平台上，第三方卖家在收件人未下单的情况下，将商品寄送到真实地址，以此将交易标记为“已送达”，并以该人的名义发布五星“已验证购买”评价。
一位Reddit用户在未下单的情况下收到了这颗奇怪的土豆
这一术语源于“刷”卖家的数据。电商平台的商品排名部分取决于销量，以及评论中有多少来自“已验证买家”——即平台能确认确实收到商品的用户。在算法中，已验证评论的权重远高于匿名评论，消费者也更信任这类评论。 通过真实销售来合法建立这种信任需要时间。而造假则更便宜、更快捷，这种差距正是“刷单”背后的整个商业模式。
卖家需要一个有效的姓名和收货地址，且不能是他们自己的。这些信息通常来自数据中介网站、过去数据泄露事件中外泄的数据库，或者直接在互联网上交易被盗个人数据的区域购买的名单。
拿到你的个人信息后，他们会开设一个（或多个）看似普通顾客的账户，然后下单购买自己的商品，并将你的地址作为收货地址。他们自己支付货款，通常使用无法追溯到真实身份的支付方式。 由于商品确实被送达，电商平台会将其记录为已完成且经过验证的交易。一旦物流状态显示“已送达”，卖家便会使用该虚假账户重新登录并留下极高的好评。将这种操作复制到数百个地址上，一款平庸的产品就能在几天内跃居搜索结果榜首。
这些商品几乎总是价格低廉且重量轻，因为卖家需自掏腰包支付运费，并希望将成本控制在接近零的水平。这就是为什么“刷单”包裹往往是发圈、廉价首饰、手机配件或种子包之类的东西，而不是任何真正有价值的东西。
美国邮政检查局指出，一种较新的变体会在包裹内附上一张印有二维码的卡片，诱导你扫描二维码以查明礼物寄件人或领取某种奖励。 扫描后会跳转到一个看似真实的假网站，通常伪装成银行或政府门户网站，旨在窃取您的登录凭据或个人信息。这种伎俩被称为“quishing”（QR码钓鱼的缩写），它将原本以被动为主的诈骗转变为直接盗取您财物的主动尝试。 如果包裹中附有二维码，无论它承诺什么，都不要扫描。
由于你的信用卡并未被扣款，人们很容易将此事视为无害。但请想想这个包裹实际上证明了什么：一个你从未接触过的人已经掌握了你的全名和家庭住址，且准确到足以通过邮政系统寄送包裹。这些数据并非凭空出现。 这强烈表明你的个人信息出现在了本不该出现的地方，无论是过去的数据泄露事件、数据中介网站，还是网络暗角中被出售的名单。
此外还存在一个更隐蔽的问题。目前，某电商平台上正有一条附有你姓名的评论，而该评论针对的是一款你从未购买、也从未见过实际使用情况的产品。如果该卖家的产品后来被发现存在缺陷、不安全，或成为纠纷的对象，你的名字将公开地与你从未给予过的赞誉联系在一起。
切勿扫描包裹中附带的任何二维码，也切勿拨打内附说明中印有的、声称会解释这件“礼物”的电话号码。从法律角度而言，在美国你有权保留未经请求的商品，且无需向寄件人支付任何费用，因此无需尝试退货或付款。
请检查该商品可能来自的电商平台上的账户。登录后查找你不认识的订单，或以你的名义发布的、你从未写过的评论。大多数主要电商平台针对此类情况都设有专门的举报流程。例如在亚马逊上，你可以直接举报并要求删除任何以你的名义发布的虚假评论。
即使没有资金流动，也请严肃对待此次数据泄露事件。请立即更改与收件地址关联的账户密码，特别是如果您在其他地方重复使用了该密码。 调取您的信用报告并留意未曾开通的账户，因为用于“刷卡”的被盗数据有时会被再次利用，进而导致更严重的身份盗用。在reportfraud.ftc.gov向美国联邦贸易委员会（FTC）提交报告，有助于监管机构掌握全局情况，从而追查实施此类骗局的卖家。
还有一件事值得做：不要在运输标签上仍附有您的姓名或卖家的退货信息时，就直接将物品丢弃。在回收纸箱之前，请剪下或粉碎任何显示您地址的标签。
如果收到的物品不是小饰品，而是种子、不明液体或任何无法辨识的物品，请不要种植、饮用或按常规方式处理。此前曾有来自海外的无标识种子包作为“刷单”骗局的一部分出现，农业主管部门警告称，这些种子可能携带入侵物种或植物病害，一旦种植将造成实际损害。 请联系您所在州的植物监管机构，或在美国联系美国农业部动植物卫生检验局（USDA APHIS），并按照他们的处置说明操作，切勿将其扔进垃圾桶或堆肥箱。
“刷单”骗局虽不会让您的银行账户被清空，但这通常只是冰山一角。它往往是数周或数月前在其他地方发生的数据泄露事件的可见尾声。请将这件免费包裹视为检查您的账户并加强数据保护的提示，而非好运降临。
诈骗分子从不休息，你的反诈骗工具又怎能停歇？立即下载 ScamAdviser 应用，随时随地守护安全。
亚当·柯林斯是ScamAdviser的一名网络安全研究员，出于隐私和安全考虑，他使用化名开展工作。在数字安全一线工作四年多以来，他擅长将复杂的威胁转化为可操作的建议。他的使命是：揭露风险信号，让您能够自信地浏览网络。
