Escrocii ascund fraude telefonice în e-mailuri reale de comandă de la Dell și Staples

Cel mai convingător e-mail de phishing e cel care nu e deloc fals. Atacatorii strecoară acum instrucțiuni frauduloase în notificări de comandă autentice, trimise chiar de sistemele Dell și Staples. Mesajul vine de la retailerul real, trece de autentificarea e-mailului și totuși îl îndrumă pe cititor spre telefonul unui escroc.

Ce s-a întâmplat

Cercetătorii au urmărit două campanii, cu aproximativ 1.400 de mesaje în total. Tehnica e simplă: în loc să falsifice e-mailul unui retailer, atacatorul plasează (sau începe) o comandă și scrie textul înșelător în câmpurile pe care le completează clientul: numele de livrare, adresa sau datele de facturare. Sistemul de notificări al retailerului copiază apoi conștiincios acel text într-un e-mail de confirmare altfel perfect legitim.

• Exemplul Staples: o comandă pentru un Apple iPad de circa 455 $, în care blocurile de „livrare” și „facturare” conțin Order Confirmed și un număr de „helpline”, plus mențiunea că o comandă poate fi anulată în 30 de minute.
• Exemplul Dell: o licență Microsoft Project Standard 2024 de 736,09 $, cu Confirmed Order, Helpline… Call Our Sales Team scris în câmpurile Ship To și Bill To.

Scopul nu e un click, ci un apel. Cine vede o achiziție scumpă pe care n-a făcut-o e împins să sune la numărul de „suport” ca s-o anuleze.

Aceeași cercetare numește fenomenul abuz de tip platform-as-a-proxy: atacatorul scrie conținutul, iar un serviciu de încredere îl livrează. Abuzuri similare au fost observate în ultimul an pe peste 25 de platforme legitime, inclusiv e-mailuri de înregistrare și de bun venit care repetă orice a tastat utilizatorul în câmpul de nume sau companie, ori o momeală ascunsă într-o notificare de livrare eșuată (bounce).

De ce contează

Ambele mesaje au trecut verificările DKIM și DMARC, pentru că au plecat cu adevărat din infrastructura Dell și Staples. Exact asta e problema: SPF, DKIM și DMARC dovedesc cine a trimis un mesaj, nu dacă ce scrie în el e adevărat. Nu-ți pot spune că într-un câmp de livrare n-are ce căuta un număr de telefon.

Ce urmează după apel nu a fost stabilit pentru aceste două campanii. Escrocheriile de acest tip duc de obicei la fraude de plată, furt de parole sau o sesiune de „asistență la distanță”, însă activitatea observată aici este phishing și fraudă telefonică, nu o infectare confirmată cu malware.

Ce e de făcut

Pentru oricine primește astfel de e-mailuri

• Tratați orice confirmare de achiziție neașteptată ca suspectă, chiar dacă expeditorul e autentic.
• Nu sunați niciodată la un număr tipărit într-un e-mail de comandă. Căutați datele de contact pe site-ul oficial al retailerului sau în contul dumneavoastră.
• Citiți câmpurile de nume și adresă. „Helpline”, „Sunați echipa” sau un număr de telefon în locul străzii sunt semnale de alarmă.

Pentru echipele de securitate și IT

• Nu lăsați un DMARC „pass” să funcționeze ca listă albă. Gateway-urile trebuie să inspecteze tot conținutul, inclusiv ce e inclus în rapoartele de bounce și de livrare.
• Adăugați detecții pentru numere de telefon, limbaj urgent de anulare și instrucțiuni de suport apărute în blocurile de nume/adresă ale e-mailurilor tranzacționale.
• Instruiți personalul despre phishing-ul cu apel invers (TOAD): pericolul e apelul, nu linkul.

Pentru cei care operează platforme ce trimit e-mailuri automate

• Validați și restricționați câmpurile controlate de utilizator atât la salvare, cât și la includerea lor într-un șablon de e-mail: limite de lungime, seturi de caractere și semnalări pentru numere de telefon sau URL-uri acolo unde nu au ce căuta.
• Limitați și revizuiți înregistrările și comenzile care nu se finalizează, dar declanșează totuși notificări.

În fond, e o problemă de flux de date în aplicația expeditorului: date neverificate care ajung, nefiltrate, într-un mesaj de încredere. E genul de problemă pe care code review-ul asistat de AI al echipei noastre e construit să o scoată la iveală, urmărind câmpurile introduse de utilizator până în șabloanele care le trimit, ca să fie validate înainte ca brandul dumneavoastră să livreze escrocheria altcuiva.

Indicatori

Adresele expeditorilor aparțin infrastructurii legitime a retailerilor. Nu le blocați; semnalați conținutul injectat.

Cercetare: Cisco Talos. Relatat inițial de Cyber Security News.