Атака через Dropbox: как распознать фишинг с легитимных платформ

Для почтовой инфраструктуры это важное ограничение: успешная аутентификация подтверждает домен отправителя, но не проверяет безопасность содержимого письма. Поэтому проверяйте не только заголовки, но и поля, ссылки и вложения.

Когда доверенная отправка становится каналом атаки

По данным публикации, атакующие подставляют вредоносный текст в поля, которые пользователь может заполнить на легитимной платформе. Затем сервис сам формирует и отправляет письмо: с собственной репутацией, шаблоном и корректными заголовками аутентификации.

В описанных случаях злоумышленники использовали поля заказа, регистрации и уведомлений. В подтверждении покупки могли появиться поддельный номер поддержки или другой призыв связаться с указанным контактом. Цель такой схемы может состоять не в переходе по ссылке, а в телефонном звонке, который уводит жертву из почтового канала.

Отдельный сценарий связан с массовыми автоматическими письмами регистрации и уведомлений. В отдельных случаях вредоносная приманка попадала в приветственное письмо через плохо проверяемые поля формы. Также письмо с приманкой может прийти как уведомление о недоставке, если система возвращает исходное сообщение или его часть.

Что проверять в почтовом контуре

SPF, DKIM и DMARC отвечают на вопрос, соответствует ли отправка заявленному источнику. Они не подтверждают, что текст, переданный платформе пользователем, безопасен. Не считайте успешные проверки аутентификации достаточным основанием для доверия письму.

При разборе подозрительного сообщения проверьте:

• совпадают ли контекст письма и ожидаемое действие: заказ, подписка или уведомление;
• нет ли в полях имени, компании, адреса доставки и других данных постороннего номера телефона, URL или срочного призыва;
• куда ведут ссылки и через какие перенаправления проходят;
• что содержат HTML- и текстовая версии письма, вложения и вложенные MIME-части.

Не звоните по номеру из неожиданного подтверждения заказа и не переходите по ссылке только потому, что письмо отправлено с домена известной платформы. Подтвердите событие через привычный канал сервиса.

Что должны изменить сервисы и шлюзы

В материале Help Net Security отмечается, что платформам следует проверять пользовательские значения до сохранения и включения в письма. Номера телефонов, URL, разметка, переносы строк и формулировки о срочной поддержке должны отклоняться или помечаться, если они находятся в неподходящих полях.

Почтовому шлюзу нужен анализ полностью сформированного сообщения. Проверяйте не только отправителя и шаблон, но и персонализированные поля, текст, HTML, ссылки, перенаправления, вложения и MIME-структуру. Иначе доверенная инфраструктура доставки может скрыть вредоносное содержимое за корректной аутентификацией.