没下过单，快递却按你的名字送上门，里面多半是牙膏、湿巾、种子之类不值钱的小东西。这很可能是一场刷单包裹诈骗：卖家借你的姓名和地址伪造一笔真实交易，再以你的名义刷出好评。本文由 365VPN 安全团队介绍刷单包裹的运作方式、包裹里二维码的真正风险，以及收到之后应该做的几件事。
什么是刷单包裹诈骗
刷单包裹诈骗的英文叫 brushing scam。做法并不复杂：卖家从公开渠道、数据泄露或者问卷、抽奖等途径拿到一批真实的姓名和地址，用这些信息在电商平台上下虚假订单，寄出一件廉价小商品，制造一条完整的「下单—发货—签收」记录。交易一旦显示已送达，卖家就能以收件人的名义给自己的商品留下一条带「已验证购买」标记的好评。
名字里的「刷」，刷的就是销量和好评。一条带验证标记的五星好评，在搜索排序和买家信任度上的分量远高于普通评价；对卖家来说，寄一件几块钱的小东西，换来的是一条能持续带来订单的好评，这笔账很划算。美国联邦贸易委员会在 2026 年 8 月发布的提醒中写道，这类包裹往往冒用亚马逊等知名平台的名义寄出，也可能来自一个你从未听说过的个人或商家，里面通常是湿巾、牙膏、种子这类廉价又随机的物品。
需要明确的是，收到这样的包裹，本身不等于银行卡已经被盗，也不等于购物账号已经被攻破。它说明的只有一件事：你的姓名、地址、电话已经在别人手里流通。美国邮政在 2025 年 8 月的提醒中也指出，刷单包裹看似无害，但可能意味着有人已经掌握了收件人的姓名、地址和电话。包裹是信号，不是损失本身；真正的风险在包裹之外。
先排除三种不是诈骗的情况
不是每一个没印象的包裹都是刷单。动手处理之前，先花两分钟排除下面三种可能，免得误伤了真正的礼物和订单：
| 情况 | 怎么判断 | 该怎么做 |
|---|---|---|
| 亲友寄的礼物或代买的东西 | 问一句家人或朋友，有没有人给你寄了东西 | 确认是礼物就正常收下 |
| 自己下过单但忘了，或商家发错货 | 打开购物 App 的订单列表，核对最近的订单和物流单号 | 有对应订单就按正常售后处理 |
| 到付包裹，要求你先付款再签收 | 面单上没有你下过的订单，却要你付运费或货款 | 直接拒收，不付钱、不签收、不拆包 |
| 刷单包裹 | 查不到订单、没人承认寄过、里面是廉价随机小物 | 按下一节的步骤处理 |
到付包裹值得单独说一句：正规快递不会强迫收件人为一单自己没下过的包裹付款。凡是「不付钱就不给货」的陌生包裹，一律拒收，派送员会按流程退回，你不需要承担任何费用。
包裹里最危险的不是东西，是二维码
刷单包裹本身几乎不造成直接损失，真正危险的是有些包裹里附带的一张小卡片。卡片上通常写着「扫码查看是谁送的」「扫码领取返现」「扫码办理退货」，并印着一个二维码。这就是这场骗局的第二层：二维码钓鱼，美国邮政检查局称之为 quishing，即 QR code phishing。
美国联邦调查局网络犯罪投诉中心在 2025 年 7 月发布的提醒（编号 I-073125-PSA）中指出，扫码可能把人带到仿冒的钓鱼网站，套取银行卡号、用户名和密码，也可能诱导安装会窃取手机数据的软件。美国联邦贸易委员会 2026 年 8 月的提醒同样警告，扫码可能进入专门窃取信用卡号、用户名和密码的钓鱼网站。
所以规则很简单：包裹里的二维码一律不扫，卡片上的电话一律不打。想弄清寄件方是谁，用你自己的手机打开购物平台 App 查订单记录，或者直接联系平台官方客服核实。不要用包裹里提供的任何联系方式去「核实」，那条路的终点正是骗子准备好的页面。
收到之后，按这个顺序处理
- **先别付款，也别急着退回。**美国法律规定，未订购的商品可以视为赠品，收件人没有付款或退回的义务。包裹没有拆封、面单上有寄件地址的，可以标注「退回寄件人」，由快递免费退回；已经拆封又不想要的，直接丢弃就可以。不要自己按面单上的地址把东西寄回去，那等于向对方确认这个地址有人收件。
- **检查购物账号。**登录常用的购物平台，确认没有你不认识的订单和扣款。如果发现账号里有陌生订单，先改密码，再开启两步验证。即使没有发现异常，也建议把购物账号的密码换成新的、与其他账号不同的密码。
- **向平台举报卖家。**面单上一般能看到平台名称和订单号，凭这些信息向平台举报该卖家，要求平台调查，并删除以你的名义发布的虚假好评。美国自 2024 年 10 月起施行的消费者评论规则已明确禁止商家制造虚假评论，你的举报是平台处理这类卖家的依据之一。各大电商平台的规则同样禁止刷单行为。
- **检查账单和信用记录。**留意银行卡和支付账单上有没有陌生的小额扣款。美国用户可以在 AnnualCreditReport.com 每周免费查询信用报告，查看有没有自己没开过的账户。国内用户可以在银行 App 里核对近期交易，有疑问直接联系发卡行。
- **向有关部门举报。**美国用户可以向联邦贸易委员会（ReportFraud.ftc.gov）、联邦调查局网络犯罪投诉中心（ic3.gov）和美国邮政检查局（uspis.gov/report）举报；国内用户可以向购物平台举报，也可以拨打 12315 或通过国家反诈中心 App 举报。如果包裹里是种子、植物或不明粉末，不要种植、不要食用，联系快递公司或当地有关部门处理。
怎么减少再收到的可能
刷单包裹防不住每一次，因为姓名和地址一旦流传出去就很难收回，但可以把泄露的口子收小一点：
- 问卷、抽奖、非必要的注册，少留真实的姓名、电话和完整地址，能用昵称和代收点就用昵称和代收点。
- 给每个购物账号设不同的密码，并开启两步验证。密码可以交给密码管理器保管，省得靠记忆重复使用同一个。
- 定期查一下自己的邮箱是否出现在已知的泄露事件里，例如 Have I Been Pwned 这类公开查询服务；如果邮箱已经泄露，相关账号的密码要优先更换。
- 对以你名义出现的好评保持警惕：如果你在某个平台上看到自己没写过的好评，及时向平台举报删除。
关于这一点，我们也在《2026 年 10 月网络安全事件盘点：数据泄露、漏洞利用与普通用户的防护重点》中做过说明：很多安全事件的起点，都是早已泄露又没被处理的一组个人信息。
365VPN 能帮上什么，不能帮上什么
先说不能帮的：VPN 保护不了已经流传出去的姓名和地址，也拦不住卖家往你家里寄包裹。收到刷单包裹之后要做的改密码、举报卖家、查账单这几件事，没有任何一款 VPN 能替你做。
365VPN 能帮上的，是另一段链路：很多账号密码是在公共 Wi-Fi 上被截获的。连接酒店、机场、咖啡店的公共网络时，流量经过加密隧道传输，可以降低账号密码在不安全网络上被窃取的风险。关于公共网络的风险，可以参考我们的文章《酒店 Wi-Fi 安全吗？出差和旅行时连接公共网络的 6 个注意事项》。
365VPN 是自研客户端，登录后选择节点就能用，不需要自己维护订阅或规则文件，覆盖 60 多个国家和地区、500 多台服务器，提供智能分流、DNS 防泄露和 Kill Switch 等功能。需要注意的是，这些功能针对的是网络传输层面的隐私和安全，不能代替密码管理、两步验证和及时举报。收到刷单包裹之后，真正起作用的还是上面那五步。
写在最后
刷单包裹诈骗的逻辑其实很直白：卖家花几块钱寄一件小东西，换一条以你名义留下的好评。包裹本身不值钱，也不直接偷钱，危险藏在两处：一是随附的二维码，可能把人引向钓鱼网站；二是它说明你的个人信息已经在别人手里，而泄露的个人信息还会被用在别的地方。
收到没订过的包裹，先核对订单排除误会，再按「不扫码、不付款、改密码、向平台举报、查账单」这个顺序处理。包裹可以留下也可以扔掉，但二维码不要扫，卡片上的电话不要打。个人信息一旦泄露很难收回，能做的就是把每一个用到它的账号都收紧一点。