Troy Hunt, experto en ciberseguridad y creador del servicio Have I Been Pwned, recibió varios SMS sospechosos atribuidos a FedEx pidiéndole el pago de impuestos de aduana sobre un envío que efectivamente esperaba: una impresora 3D Prusa comprada desde el extranjero. Aunque el 87% de los encuestados en una encuesta en Twitter calificaron el mensaje como claramente fraudulento, el SMS resultó ser legítimo. La investigación revela que el verdadero problema no son solo los atacantes, sino el propio sistema de notificación de FedEx y de su pasarela de pago BPOINT, operada por el Commonwealth Bank de Australia.
El SMS incluía URL manipulables que permitían cambiar el número de envío, el nombre del cliente y el importe a voluntad mediante simples parámetros en la cadena de consulta, sin necesidad de técnicas avanzadas. Los mensajes posteriores presentaban fallos adicionales: enlaces sin esquema ni dominio, uso inconsistente de mayúsculas y un número de contacto 1800 que llevaba a un bucle sin salida en el sistema automatizado. Tras llamar al número oficial de FedEx, un operador confirmó que el envío de US$799 estaba sujeto a tasas de importación por AU$1.215,97. Tres días después llegó un correo electrónico con los datos de pago a través de BPOINT.
El caso ilustra cómo los sistemas legítimos de notificación de envíos replican los mismos patrones de diseño que los estafadores utilizan en sus ataques, lo que dificulta enormemente distinguir un mensaje auténtico de uno fraudulento.