لینک پرداخت را در دایرکت می‌فرستند، صفحه دقیقاً شبیه درگاه بانک بالا می‌آید، لوگوی شاپرک هم گوشه‌اش نشسته — و شما رمز دوم را وارد می‌کنید. چند دقیقه بعد نه کالایی در کار است، نه پیجی که جواب بدهد. درگاه پرداخت جعلی دقیقاً برای همین لحظه ساخته شده: لحظه‌ای که هم اعتماد کرده‌اید و هم عجله دارید.
خبر خوب این است که تشخیص درگاه جعلی سخت نیست. فقط باید بدانید کجا را نگاه کنید، و این کار کمتر از ده ثانیه وقت می‌برد.
درگاه پرداخت جعلی چیست و چطور کار می‌کند؟
یک صفحه اینترنتی است که ظاهر درگاه بانکی را کپی کرده؛ همان رنگ‌ها، همان چیدمان، همان فیلدهای شماره کارت و رمز دوم. تفاوت در جایی است که دیده نمی‌شود: اطلاعاتی که وارد می‌کنید به‌جای شبکه بانکی، مستقیم به دست کلاهبردار می‌رسد.
بعد از آن معمولاً یکی از دو اتفاق می‌افتد. یا صفحه خطا می‌دهد و از شما می‌خواهد «دوباره تلاش کنید» — که هدفش گرفتن یک رمز پویای تازه‌تر است — یا در همان دقایق، برداشت از حساب انجام می‌شود. در نسخه‌های حرفه‌ای‌تر حتی یک پیامک تأیید جعلی هم برایتان می‌آید تا چند دقیقه دیرتر متوجه شوید.
۶ نشانه‌ای که درگاه جعلی را لو می‌دهد
۱. دامنه صفحه به shaparak.ir ختم نمی‌شود. مهم‌ترین نشانه همین است. درگاه‌های پرداخت بانکی در ایران روی دامنه‌های زیرمجموعه shaparak.ir بالا می‌آیند. اگر آدرس چیزی شبیه shaparak-pay.com یا bank-shaparak.ir یا هر ترکیب شبیه‌سازی‌شده دیگری بود، همان‌جا صفحه را ببندید. کلاهبردارها روی شباهت ظاهری اسم حساب باز کرده‌اند، نه روی دقت شما.
۲. آدرس با https شروع نمی‌شود. قفل کنار نوار آدرس را نگاه کنید. نبودِ قفل یعنی قطعاً از آن صفحه عبور نکنید. اما یک نکته مهم: بودنِ قفل به‌تنهایی تضمین امنیت نیست، چون گرفتن گواهی https برای هر سایتی ساده و رایگان است. قفل شرط لازم است، نه کافی.
۳. لینک را از دایرکت یا پیام‌رسان برایتان فرستاده‌اند. لینک کوتاه‌شده در صفحه پرداخت هیچ توجیهی ندارد. درگاه واقعی از دل سایت یا سیستم سفارش فروشگاه باز می‌شود، نه از پیامی که کسی برایتان کپی کرده است.
۴. صفحه بیشتر از حد لازم اطلاعات می‌خواهد. درگاه بانکی هیچ‌وقت نام کاربری و رمز اینترنت‌بانک، رمز اول کارت یا کد ملی برای «تأیید هویت» نمی‌خواهد. دیدن چنین فیلدی یعنی کار تمام است؛ صفحه را ببندید.
۵. نام پذیرنده و مبلغ نمی‌خواند. در درگاه واقعی، نام پذیرنده و مبلغ دقیق تراکنش بالای صفحه نوشته شده است. اگر نام پذیرنده خالی است، یا مبلغ با چیزی که توافق کرده‌اید فرق دارد، پرداخت را کامل نکنید.
۶. فشار زمانی غیرعادی. «دو دقیقه فرصت دارید» یا «موجودی رو به اتمام است» روی یک صفحه پرداخت، ابزار روانی است. عجله باعث می‌شود جزئیات را نبینید و کلاهبردار دقیقاً همین را می‌خواهد.
کارت‌به‌کارت چه فرقی با درگاه رسمی دارد؟
کارت‌به‌کارت خودش جعلی نیست، اما ریسک دیگری دارد: هیچ واسطه‌ای بین شما و فروشنده وجود ندارد. وقتی از درگاه رسمی پرداخت می‌کنید، تراکنش به نام یک پذیرنده احراز هویت‌شده ثبت می‌شود و رد آن در شبکه بانکی قابل پیگیری است.
در کارت‌به‌کارت، پول به یک شماره کارت شخصی می‌رود. اگر کالا نرسید، باید ثابت کنید این انتقال بابت خرید بوده است، نه هدیه یا قرض. این کار نشدنی نیست، ولی مسیر پیگیری را طولانی‌تر و پرزحمت‌تر می‌کند.
اگر چاره‌ای جز کارت‌به‌کارت نداشتید، این چند کار را انجام دهید:
- نام صاحب کارت را قبل از واریز بپرسید و بعد از واریز با نامی که در رسید ثبت شده مقایسه کنید؛ نخواندن این دو با هم می‌تواند نشانه کارت اجاره‌ای باشد.
- گفت‌وگوی دایرکت را پاک نکنید و از توافق قیمت و مشخصات کالا اسکرین‌شات بگیرید.
- رسید تراکنش را نگه دارید.
- برای اولین خرید از یک پیج، مبلغ را کوچک نگه دارید یا پرداخت در محل بخواهید.
برای فروشنده‌ها: درگاه رسمی هزینه نیست، استدلال است
اگر فروشنده‌اید، هر بار که مشتری را به کارت‌به‌کارت هدایت می‌کنید عملاً از او می‌خواهید ریسک را بپذیرد. درگاه پرداخت رسمی این بار را از دوش مشتری برمی‌دارد و همان چیزی است که فاصله بین «دوستش دارم» و «خریدم» را کم می‌کند.
سه کاری که اثرش از تخفیف بیشتر است:
- درگاه پرداخت رسمی از یک شرکت پرداخت‌یار دارای مجوز بگیرید و لینک ثابتش را در بایو قرار دهید.
- در یک هایلایت، مسیر پرداخت را قدم‌به‌قدم نشان دهید تا مشتری بداند چه صفحه‌ای قرار است ببیند.
- هیچ‌وقت لینک پرداخت را از حساب‌های جانبی یا با لینک‌کوتاه‌کننده نفرستید؛ همین یک عادت، اعتماد ساخته‌شده را خراب می‌کند.
رمز را وارد کرده‌ام، حالا چه کنم؟
در این مرحله سرعت از همه چیز مهم‌تر است:
۱. کارت را فوراً از طریق اپلیکیشن بانک یا تماس با پشتیبانی بانک مسدود کنید. ۲. رمزهای اینترنت‌بانک و همراه‌بانک را تغییر دهید. ۳. تراکنش‌ها را بررسی کنید و از هر برداشت مشکوک اسکرین‌شات بگیرید. ۴. موضوع را در سامانه پلیس فتا به نشانی cyberpolice.ir ثبت کنید و رسیدها و تصویر گفت‌وگو را ضمیمه کنید.
این مطلب یک راهنمای عمومی است و مشاوره حقوقی محسوب نمی‌شود؛ برای پیگیری پرونده با کارشناس پلیس فتا یا وکیل مشورت کنید.
سؤال‌های پرتکرار
وجود لوگوی شاپرک روی صفحه یعنی درگاه واقعی است؟ نه. لوگو فقط یک تصویر است و کپی کردنش چند ثانیه طول می‌کشد. ملاک، دامنه‌ای است که در نوار آدرس می‌بینید، نه تصویری که داخل صفحه گذاشته‌اند.
درگاه جعلی فقط رمز دوم می‌خواهد؟ معمولاً شماره کارت، تاریخ انقضا، CVV2 و رمز پویا را با هم می‌خواهد؛ یعنی همان چیزی که برای انجام یک تراکنش واقعی کافی است. به همین دلیل وارد کردن این اطلاعات در یک صفحه مشکوک، عملاً یعنی دادن اجازه برداشت.
فروشنده اینماد دارد، باز هم باید دامنه را چک کنم؟ بله. اینماد به یک کسب‌وکار تعلق می‌گیرد، اما لینکی که در دایرکت به دست شما می‌رسد لزوماً از طرف همان کسب‌وکار نیست. بررسی دامنه هزینه‌ای ندارد و تبدیل کردنش به عادت، ارزشش را دارد.
قبل از رسیدن به صفحه پرداخت
بیشتر این بررسی‌ها را می‌شود زودتر انجام داد: اینکه پیج چند وقت است فعال است، الگوی تعاملش طبیعی است یا نه، کامنت‌هایش باز است و کاربران دیگر چه تجربه‌ای از خرید ثبت کرده‌اند. اینستاشو همین سیگنال‌ها را کنار هم می‌گذارد و برای هر پیج فروشگاهی یک امتیاز اعتماد می‌سازد، تا تصمیم‌تان را قبل از پرداخت بگیرید، نه بعد از آن.
