Фишинг для захвата списков рассылки | Блог Касперского

Злоумышленники похищают списки рассылки, присылая фишинг от имени провайдеров почтовых рассылок

Порой люди пребывают в уверенности, что у них нет информации, которая могла бы заинтересовать злоумышленников, а потому на защиту можно особого внимания не обращать. Полбеды, когда так думают частные лица (хотя и они неправы), но то же заблуждение характерно и для многих владельцев малого бизнеса. Между тем злоумышленники порой охотятся за достаточно необычными вещами. Пример тому — недавнее письмо, попавшее в нашу почтовую ловушку: фишинг, направленный на захват учетной записи в сервисе для email-рассылок.

Как устроен фишинг под видом сервисов рассылки

Сотрудник компании получает сообщение с подтверждением оплаты подписки на услуги по рассылке писем. В нем содержится ссылка на чек, который якобы можно посмотреть и распечатать. Если получатель такого письма действительно является клиентом сервиса (похоже, что злоумышленники понимали, кому они присылают свои послания), то он, скорее всего, захочет понять, что это за внезапная оплата. В гиперссылке зашит совершенно иной адрес. Кликнув на нее, человек попадает на сайт, достаточно убедительно имитирующий легитимную страницу входа провайдера e-mail-рассылок.

Страница входа и ее имитация. Настоящая — справа.

Обратите внимание: на поддельный сайт данные передаются по незащищенному каналу (на страницах с надписью «не защищено» не стоит вводить никаких логинов и паролей, даже если точно известно, что это легитимные сайты). Кроме того, злоумышленники не озаботились имитацией капчи, забыли флаг в нижнем правом углу и зачем-то вписывают в поле EMAIL образец. Но велика вероятность, что пользователь все-таки не заметит этих отличий и введет данные для входа в личный кабинет сервиса почтовых рассылок на этой странице.

Чем может быть опасна потеря доступа к учетной записи сервиса рассылки

В лучшем случае, получив контроль над личным кабинетом сервиса для рассылки, злоумышленники будут использовать список почтовых адресов ваших клиентов для распространения спама. Тематические списки рассылки (а зная, чем занимается ваша компания, злоумышленники получают представление о том, что может быть интересно вашим адресатам) на черном рынке стоят дороже, чем простые коллекции случайных адресов.

Однако поскольку преступники «работают» в сфере фишинга, скорее всего, клиенты также получат фишинговые письма, причем на этот раз от вашего имени. Согласитесь, если человек сознательно подписался на рассылку, то есть определенный шанс, что он ее читает — и кликает по ссылкам в письмах.

Методы маскировки фишинга

Подробно изучив фишинговое письмо, мы обнаружили, что оно тоже было отправлено через сервис для почтовых рассылок — но не тот, от лица которого злоумышленники попытались выступить, а другой. Зачем это нужно — мы уже объясняли в посте «Фишинг через ESP-провайдеров». Интересно, что для того, чтобы такую «почтовую кампанию» не забанили слишком быстро, злоумышленники даже сделали лендинг своей «как бы маркетинговой фирмы». Особенно впечатляет заголовок страницы Simple House Template.

Лендинг несуществующей маркетинговой фирмы.

Такой скрупулезный подход может свидетельствовать о том, что эти злоумышленники подробно знают механизмы работы разных сервисов для рассылки почты. Возможно, они атакуют и клиентов других ESP.

Как защититься от фишинга

Чтобы не попасться на крючок злоумышленников, необходимо следовать стандартным советам:

• Если вы получили неожиданное послание, требующее залогиниться в стороннем сервисе, не переходите по ссылке из письма — лучше откройте браузер и самостоятельно впишите название сайта.
• Не вводите учетные данные на сайтах, помеченных браузером как «незащищенные». Ваши пароль и логин могут перехватить.
• Научитесь выявлять фишинговые письма по стандартным признакам, а еще лучше — обучите этому всех сотрудников. Тут даже не обязательны специализированные тренинги — есть специальные онлайн-платформы для обучения.
• Используйте специализированные решения для фильтрации корпоративной почты от спама и фишинга.
• Не забывайте о том, что на всех рабочих устройствах должны стоять корпоративные защитные решения, которые в случае чего не дадут сотруднику перейти по фишинговой ссылке.

03.02.2021