Estafa per correu electrònic de document segur per a la seva revisió

En el panorama actual de les amenaces, és essencial ser prudent amb els correus electrònics inesperats. Els ciberdelinqüents disfressen habitualment els missatges de phishing com a comunicacions comercials legítimes per enganyar els destinataris i fer que revelin informació confidencial. El correu electrònic "Secure Document For Review" n'és un exemple. Malgrat la seva aparença professional, aquesta campanya no està associada a cap empresa, organització, plataforma de compartició de documents o proveïdor de correu electrònic legítim. El seu únic propòsit és robar les credencials dels comptes de correu electrònic d'usuaris desprevinguts.

Darrere de l’engany del “document segur per a la seva revisió”

Una anàlisi exhaustiva dels correus electrònics de "Revisió segura de documents" ha confirmat que són missatges de suplantació d'identitat (phishing) dissenyats per obtenir credencials d'inici de sessió. Els correus electrònics es fan passar per notificacions de compartició segura de documents i afirmen que s'ha preparat un fitxer de contracte confidencial titulat "Contract_Agreement_0035040_ACH_Payment.pdf" per a la revisió del destinatari.

Per crear una sensació d'urgència, el missatge indica que l'enllaç del document caducarà en un termini de 72 hores. El compte enrere es presenta com una característica de seguretat, animant els destinataris a actuar ràpidament sense avaluar acuradament l'autenticitat del correu electrònic.

Una altra tàctica utilitzada en aquests missatges és instruir els destinataris que moguin el correu electrònic a la seva safata d'entrada si s'ha filtrat com a correu brossa. Aquest intent de semblar fiable té com a objectiu reduir les sospites i augmentar la probabilitat que la víctima interactuï amb el contingut.

El portal de documents segurs fals

El correu electrònic conté un botó o enllaç amb l'etiqueta "Obrir document de manera segura". En lloc de dirigir a un servei legítim per compartir documents, l'enllaç dirigeix els usuaris a un lloc web fraudulent allotjat a esnad-fls(punt)com.

El lloc web es presenta falsament com un portal d'autenticació de correu electrònic segur. En molts casos, mostra una pàgina d'inici de sessió falsa que imita de prop l'aspecte de la interfície d'inici de sessió de Google i que pot estar etiquetada com a "Portal segur de Gmail". Es demana als visitants que introdueixin la seva adreça de correu electrònic i la contrasenya per accedir al suposat document.

Els investigadors han observat que la pàgina de phishing pot ajustar dinàmicament el seu aspecte segons el proveïdor de correu electrònic del destinatari. Els usuaris de Gmail poden veure una pàgina d'inici de sessió amb temàtica de Google, mentre que els usuaris d'altres serveis de correu electrònic poden veure interfícies dissenyades per semblar-se als seus respectius proveïdors. Aquesta personalització ajuda a fer que l'estafa sembli més convincent.

Què passa després d’introduir les credencials?

Qualsevol informació enviada a través del formulari d'inici de sessió fraudulent es transmet directament als estafadors. Un cop els atacants obtenen accés a un compte de correu electrònic, poden explotar-lo de diverses maneres:

• Accedir a correus electrònics sensibles i informació personal emmagatzemada.

• Restableix les contrasenyes dels comptes i serveis enllaçats.

• Fer-se passar per la víctima en futures campanyes de phishing.

• Cometre robatori d'identitat i altres formes de frau.

És important emfatitzar que Google no té cap connexió amb aquesta operació i que el lloc web utilitzat en l'estafa no està afiliat a cap servei de correu electrònic legítim ni a cap plataforma per compartir documents.

Senyals d’alerta que revelen l’estafa

Diversos indicadors posen de manifest la naturalesa fraudulenta d'aquests correus electrònics. El missatge crea una urgència innecessària mitjançant un avís de document que caduca, sol·licita una acció a través d'un enllaç extern desconegut i dirigeix els destinataris a una pàgina d'inici de sessió no relacionada amb cap servei legítim. El requisit d'introduir les credencials de correu electrònic simplement per veure un document compartit és una altra senyal d'alerta important.

Els usuaris sempre han de verificar el remitent, inspeccionar els enllaços acuradament abans de fer clic i desconfiar de les notificacions no sol·licitades de compartició de documents, sobretot quan exigeixen una acció immediata.

Més que robatori de credencials: el risc de programari maliciós

Tot i que aquesta campanya en particular se centra en el robatori de credencials d'inici de sessió, correus electrònics fraudulents similars s'utilitzen amb freqüència per distribuir programari maliciós. Els ciberdelinqüents sovint lliuren programari maliciós a través de correus electrònics brossa que contenen fitxers adjunts infectats o enllaços a llocs web nocius.

Els tipus de fitxers maliciosos comuns inclouen programes executables, arxius comprimits, fitxers PDF i documents de Microsoft Office. En alguns casos, obrir un fitxer pot desencadenar l'execució de codi maliciós. En altres, es pot demanar als destinataris que activin macros o que descarreguin contingut addicional que iniciï el procés d'infecció.

Els enllaços incrustats als correus electrònics de phishing també poden redirigir els usuaris a llocs web que descarreguen programari maliciós automàticament o els animen a executar fitxers perillosos manualment.

Com respondre a aquests correus electrònics

Si arriba un correu electrònic de "Document segur per a revisió" a una safata d'entrada, la manera més segura d'actuar és senzilla:

• No feu clic a cap enllaç o botó que aparegui al missatge.
• No introduïu les credencials d'inici de sessió a cap pàgina a la qual s'accedeixi a través del correu electrònic.
• Suprimeix el correu electrònic i marca'l com a phishing o correu brossa si és possible.
• Canvieu les contrasenyes del compte immediatament si ja s'han enviat les credencials.

Avaluació final

El correu electrònic "Secure Document For Review" és una estafa de phishing disfressada de notificació per compartir documents. Afirma falsament que un document contractual confidencial està esperant revisió i dirigeix els destinataris a una pàgina d'inici de sessió falsa allotjada a esnad-fls(dot)com. L'objectiu és robar les credencials del compte de correu electrònic, que després es poden utilitzar per a l'assumpció de comptes, el robatori d'identitat i altres activitats ciberdelinqüents. Els destinataris han d'evitar interactuar amb el correu electrònic, abstenir-se de fer clic a cap enllaç i suprimir el missatge immediatament.