先说结论：没下单却收到陌生包裹，很可能是 brushing（刷单）——卖家用你的地址发空包或廉价小礼物，制造“真实交易”来刷好评。包裹本身一般可以留下（FTC 明确：没订购却寄来的商品，视为无条件赠与，“unordered merchandise”，39 U.S.C. §3009），但“你的个人信息已经泄露”才是真正的问题：姓名、地址、电话在卖家手里，下一步可能是精准诈骗。“扫包裹里的二维码领奖”“加客服微信退货”，一律是骗局。本文把 brushing 的识别、个人信息泄露后的 72 小时应急、以及向 FTC 和平台举报的路径，一次讲清楚。
Brushing 是什么：“空包刷好评”的产业链
Brushing 的操作很简单：卖家从数据贩子手里买到一批真实姓名地址（“泄露”来的），用这些地址下单（“自己买自己的货”），发一个空包或几毛钱的小东西，物流显示“已签收”，然后用这个“订单”给自己刷五星好评。平台的风控看的是“物流+签收”，“真人地址”让刷单更难被识别。你收到的“小手环”“手机支架”“种子包”，就是这条产业链的副产品。“种子包”要单独说：美国农业部（USDA）多次警告“不明种子包裹”（“中国寄来的神秘种子”，2020 年大爆发），“别种、别扔”，联系州农业部门处理——“外来物种”，“生态风险”，“不是”小事。
Brushing 和误寄的区别很简单：误寄的包裹收件人不是你（邻居的件送错了）；brushing 的包裹收件人就是你——名字地址都对，但你没买过。确认方法：查购物记录（亚马逊/eBay 的订单历史里没这笔），看包裹特征（廉价小东西、无订单信息、卖家不明）。确认是 brushing，包裹留下（FTC 规则：没订购却寄来的商品归你），但别扫里面的任何二维码。
真正的风险：个人信息泄露
包裹不值钱，信息才值钱。Brushing 说明你的姓名、地址、电话正在数据黑市流通。下一步可能是精准诈骗（知道你的名字地址，冒充快递或银行）、身份盗用（如果 SSN 也泄露了——brushing 一般只有姓名地址电话，SSN 另说），或者更多 brushing（你的地址被标记为有效，能卖更贵）。72 小时应急：三大信用局全部冻结（免费）、加欺诈警报（1 年，凭 FTC 报告可办 7 年期的 extended）、查信用报告（annualcreditreport.com，看有没有不认识的账户）、改重要密码（邮箱优先）。陌生电话里对方能叫出你名字的，默认是诈骗——挂掉，别聊。
二维码与退货：两个衍生骗局
Brushing 包裹会衍生两个骗局。第一，扫码领奖：包裹里塞一张卡片（扫码领 50 美元、好评返现）——扫进去是钓鱼网站（要银行卡或 SSN）或恶意软件，一律不扫。第二，退货退款：收到短信（您有个包裹，点链接退货）——brushing 没有订单，退什么货？链接是钓鱼。让你加微信客服的，是杀猪盘的前奏。记住：没买、没单、没售后——任何主动联系你的售后都是骗子。
举报：FTC、平台、USPS 三条线
第一，FTC（ReportFraud.ftc.gov）：选网上购物/刷单类目，填卖家信息和包裹照片——FTC 不处理个案，但数据用于执法。第二，平台：如果包裹走亚马逊物流，用 report abuse 举报（卖家刷单会被封店）。第三，USPS：走邮政寄来的，可向 postal inspectors 举报 mail fraud。种子包单独走 USDA（联系州农业部门）。举报不是为了拿回什么（东西本来就是你的），而是为了断产业链——你的地址被标记、举报多了，卖家会被封。
信息泄露源头：你的数据从哪流出去的
Brushing 需要你的姓名地址，数据从哪来？四个主要源头。第一，数据泄露：Target、Equifax、Facebook 等大泄露事件之后，你的信息早就在黑市流通——haveibeenpwned.com 可以查你的邮箱是否在泄露库里。第二，数据贩子：Whitepages、Spokeo 这类网站公开卖你的地址电话，加州 CCPA 赋予你要求删除的权利，一个个发删除请求，费时间但有效。第三，电商平台内鬼：卖家的客服导出客户数据拿去卖，brushing 的数据很多这么来的。第四，你自己：抽奖、问卷、免费试用填了真实地址——贪小便宜，信息就出去了。源头掐不完，泄露太多了，重点是止损：冻结加监控。
72 小时应急清单：一步一步来
收到 brushing 包裹，72 小时内按这个清单做。第 1 小时：拍照（包裹、面单、内容物），查购物记录确认没买过。第 2 小时：三大信用局全部冻结（Equifax、Experian、TransUnion 官网，免费，每家 10 分钟）。第 3 小时：上 annualcreditreport.com 拉信用报告，看有没有不认识的账户或查询。第 24 小时：改重要密码，邮箱第一、银行第二，全开双因素。第 48 小时：FTC 举报（ReportFraud.ftc.gov），有物流单号的向平台举报。第 72 小时：检查家人——同一地址的家人信息可能一起泄露了。清单打印出来贴冰箱上，下次再收到陌生包裹照着做。
孩子和老人的信息：特殊保护
如果 brushing 包裹的收件人是孩子（用孩子名字注册的会员），要警惕儿童身份盗用——孩子没有信用记录，骗子用孩子 SSN 开出干净信用，十几年没人发现，危害更大。保护方法：孩子的信用同样可以冻结（三大信用局有未成年人冻结流程，稍复杂但可办）。老人则是另一面：brushing 包裹老人容易信，扫码领奖一点就扫——家里有老人的提前打招呼：陌生包裹别拆、别扫码，先问子女。建议开一次 15 分钟的家庭会议，讲清三件事：不扫码、不点链接、不给验证码。
长期监控：信用报告与身份保护服务
72 小时是应急，长期靠监控。免费的：annualcreditreport.com（每周免费查三大信用局报告），Credit Karma（免费监控 TransUnion 和 Equifax 变动提醒）。付费的：LifeLock 这类身份保护服务（10–30 美元一月，监控加保险）——值不值看风险，已经泄露 SSN 的值得，只有姓名地址的免费工具够用。银行的账户提醒（大额变动短信或邮件）全开。IRS 的 IP PIN 每年申请，报税要 PIN，防税务身份盗用。监控是习惯，每月 5 分钟看一眼信用报告，不是任务。
为什么是你的地址：刷单卖家的数据逻辑
刷单卖家买地址数据时，要的是真实有效——能签收的地址，才能生成真实交易的物流记录。你的地址被选中，说明它在某个泄露库里被标记为有效（有人住、能签收）。公寓地址尤其受欢迎（包裹放门口就行，不用当面签收），偏远地址反而少（物流成本高）。被选中一次之后，你的地址会被反复卖（有效地址库越用越值钱）。断循环的办法：举报（卖家被封，数据作废）和数据删除（源头掐掉，见下一节）。
让卖家封店：平台举报的实战细节
举报要让卖家疼，细节决定成败。亚马逊：用 report abuse，选 brushing 或 fake review，附三样（包裹照片、面单上的卖家信息、文字说明没下单收到疑似刷单）。亚马逊对刷单零容忍（2023 年起诉刷单中介有判例），证据足，卖家封店快。eBay、Walmart 同样有举报入口（搜 report seller）。独立站（Shopify 小网站）举报难，没有平台管——走 FTC 举报积累数据。跟进：举报后 2 周没回音，再举报一次，换渠道（FTC 加平台双报）。
CCPA 删除权：把你的数据要回来
加州 CCPA 给你四个权利：知情（你收集了我什么）、删除（删掉我的数据）、拒绝出售（别卖我的数据）、不歧视（行使权利不被区别对待）。实战：去数据贩子（Whitepages、Spokeo）官网找 Do Not Sell 或 Delete My Info，提交后邮箱验证，等 45 天。批量操作可以用付费删除服务（DeleteMe 等，100 美元一年，自动提交几十家）——懒人用付费，勤快人自己来（20 家主流数据贩子清单，2 小时搞定）。删除不是一次性的（数据会被重新收集），每半年来一次。
好评返现卡：另一种刷单变体
除了空包，还有一种更隐蔽的刷单：你正常买了东西，包裹里塞一张好评返现卡（五星好评截图发微信，返 10 元）。这是平台明令禁止的有偿好评，返现本身可能是骗局——加微信领返现，那个微信号可能是杀猪盘入口。正确做法：卡片扔掉，如实评价（东西好就好评，不好就差评，别被几块钱收买），举报卖家（有偿好评平台重罚）。返现卡上的微信号，千万别加。
USPS Informed Delivery：提前看到陌生包裹
USPS 有个免费服务叫 Informed Delivery，注册后每天邮件告诉你今天有哪些信件和包裹要到（带扫描件）。好处：陌生包裹在送到之前你就知道了（没买过的包裹，提前预警）；信件被盗（邮箱被撬）也能发现（应该到的没到）。注册要验证身份（回答 USPS 的验证问题）。注意：骗子也可能用你的地址注册（先到先得）——自己先注册占住。
好评返现卡：另一种刷单变体
除了空包，还有一种更隐蔽的刷单：你正常买了东西，包裹里塞一张好评返现卡（五星好评截图发微信，返 10 元）。这是平台明令禁止的有偿好评，返现本身可能是骗局——加微信领返现，那个微信号可能是杀猪盘入口。正确做法：卡片扔掉，如实评价（东西好就好评，不好就差评，别被几块钱收买），举报卖家（有偿好评平台重罚）。返现卡上的微信号，千万别加。
USPS Informed Delivery：提前看到陌生包裹
USPS 有个免费服务叫 Informed Delivery，注册后每天邮件告诉你今天有哪些信件和包裹要到（带扫描件）。好处：陌生包裹在送到之前你就知道了（没买过的包裹，提前预警）；信件被盗（邮箱被撬）也能发现（应该到的没到）。注册要验证身份（回答 USPS 的验证问题）。注意：骗子也可能用你的地址注册（先到先得）——自己先注册占住。
一句话总结
没买却收到包裹：大概率是 brushing 刷单，东西归你（FTC：unordered merchandise），但别扫任何二维码、别点退货链接。真正的风险是个人信息泄露——72 小时内信用冻结、查信用报告、改重要密码。举报走 FTC、平台、USPS 三条线。记住：“没买、没单、没售后”，主动找你的“售后”都是骗子。
相关阅读
英文官方来源
- Federal Trade Commission (FTC)——unordered merchandise 规则与 ReportFraud 举报入口
- U.S. Department of Agriculture (USDA)——不明种子包裹处理指引
核验日期：2026年10月4日
免责声明
本文仅供一般信息参考，不构成法律建议；个人信息泄露涉及信用与税务问题，建议按 FTC 指引处理，个案咨询持牌律师。
更多美国防骗干货，欢迎关注美国通微信：UUUMGT
评论前必须登录！
注册