Завалили письмами: что такое email bombing и как это скрывает взлом

В сентябре жительница Виргинии за 24 часа получила сотни автоматических писем от рассылок, на которые никогда не подписывалась. Их цель была затереть уведомление банка о мошеннической покупке. Приём известен также как form bombing, list bombing, subscription bombing и работает как прикрытие для компрометации аккаунта.

Механизм: почему фильтры бессильны

Атакующий получает адрес из утечек данных, маркетинговых баз, открытых источников или предыдущего фишинга. Далее боты регистрируют его на сотнях и тысячах реальных сервисов: рассылки, триалы, конкурсы, промо-подписки. Каждый сервис генерирует welcome-письмо от настоящего отправителя. Спам-фильтры такие сообщения не блокируют, поскольку отправитель легитимен.

Цели заливки двоякие. Прикрытие: среди потока затереть уведомление о сбросе пароля, входе с нового устройства, изменении email/телефона, списании. Корпоративный сценарий: отвлечь команду ИБ от утечки данных, BEC, инвойс-мошенничества. Аффилиаты ransomware использовали заливку как преамбулу перед контактом от «техподдержки» с требованием установить RAT. Среди возможных инициаторов фигурирует и недовольный сотрудник или бывший работник.

Следующий шаг атакующего: звонок с представлением «техспециалиста» и предложением починить почту. Цель: сбор платы либо установка ПО удалённого доступа. Через него атакующий получает доступ к паролям из браузера и может установить вредонос.

Алгоритм: порядок действий

Захламление ящика — дымовая завеса. Приоритет не в отписках от случайных сервисов. Найдите то, что атакующий пытался скрыть.

1. Проверьте входящие и «Спам»: security-уведомления, входы с новых устройств, изменения email/телефона, сброс пароля, покупки.

2. Пройдите по отдельности чувствительные аккаунты: банковский, PayPal, крипто, Apple/Google/Microsoft, соцсети. Ищите новые устройства, способы оплаты, изменённые пароли и реквизиты восстановления.

3. Проверьте правила пересылки email, папки «Отправленные» и «Удалённые» на предмет нестандартной активности.

4. Обнаружили нарушение: смените пароль на уникальный, включите 2FA, убедитесь, что recovery email и телефон корректны. Иначе аккаунт сбросят снова.

5. Подозреваете мошенничество: обратитесь в компанию напрямую.

6. Сохраните письма как улики. Очищайте только после подтверждения закрытия инцидента. Группируйте по отправителям, датам, доменам для массовой очистки.

Профилактика

Не публикуйте основной адрес на открытых страницах: соцсети, профили, форм-листинги. Используйте password manager: уникальный сильный пароль для каждого сервиса. Включите 2FA через authenticator или passkey для чувствительных аккаунтов, включая почтовый ящик, который принимает письма о сбросе паролей. Выделите отдельный email для низкоприоритетных подписок, чтобы не компрометировать основной.