E-postsvindel for å fornye domeneeierskapet

Uventede e-poster som krever umiddelbar handling bør alltid behandles med forsiktighet. Nettkriminelle utgir seg ofte for å være pålitelige organisasjoner og reguleringsorganer for å skape en falsk følelse av at det haster og presse mottakerne til å ta forhastede avgjørelser. E-postene «Revalidering av domeneeierskap kreves» er et godt eksempel på denne taktikken. Sikkerhetsforskere har identifisert disse meldingene som en del av en phishing-kampanje som er utformet for å stjele e-postkontopåloggingsinformasjon. Det er viktig å merke seg at disse e-postene ikke er tilknyttet noe legitimt selskap, organisasjon, domeneregistrator eller reguleringsmyndighet.

Forkledd som en offisiell samsvarserklæring

Svindel-e-postene er utformet for å ligne offisielle varsler om samsvar med domener. Mottakerne informeres om at domeneeierskapet deres ikke har blitt fornyet i løpet av de siste 90 dagene, og at det kreves tiltak for å overholde angivelige forskrifter. Meldingene refererer til «ICANN-forskrift 3.18» og advarer om at hvis verifiseringsprosessen ikke fullføres, vil både innkommende og utgående e-posttjenester bli suspendert innen syv dager.

Språket som brukes gjennom hele e-posten er ment å skape bekymring og hastverk. Ved å true med tjenesteavbrudd prøver svindlerne å overbevise mottakerne om å handle umiddelbart uten å bekrefte meldingens ekthet.

Den falske fornyelsesprosessen

I sentrum av svindelen finner man en knapp som vanligvis er merket «Gjenopprett domene nå». Ved å klikke på denne knappen omdirigeres brukere til en falsk webpost-innloggingsside som utgir seg for å være en legitim e-posttjenesteportal.

Phishing-siden imiterer en Roundcube Webmail-innloggingsskjerm og driftes via Googles Firebase Storage-plattform. For å gjøre siden mer overbevisende, kan offerets e-postadresse allerede være fylt ut automatisk. Brukerne blir deretter bedt om å skrive inn passordet sitt for å fortsette med den antatte bekreftelsesprosessen.

I virkeligheten tjener siden bare ett formål: å samle inn påloggingsinformasjon og overføre den direkte til angriperne.

Hva skjer når legitimasjon blir stjålet?

Kompromitterte e-postkontoer kan gi nettkriminelle tilgang til en betydelig mengde personlig og forretningsrelatert informasjon. Siden e-postkontoer ofte er koblet til en rekke nettjenester, kan angripere utnytte stjålne legitimasjonsopplysninger for å utvide tilgangen ytterligere.

Når kriminelle har fått kontroll over en e-postkonto, kan de:

• Les konfidensielle meldinger og sensitiv kommunikasjon.
• Tilbakestill passord for tilknyttede nettkontoer.
• Utgi deg for å være offeret i kommunikasjon med kolleger, kunder, venner eller familiemedlemmer.

• Distribuer ytterligere phishing-e-poster fra en klarert konto.

• Samle inn personlig informasjon for identitetstyveri eller økonomisk svindel.

Fordi e-postkontoer ofte fungerer som den primære gjenopprettingsmetoden for andre tjenester, kan én kompromittert postkasse føre til at flere kontoer overtar hverandre.

Hvorfor påstandene er falske

Flere indikatorer avslører den falske naturen til disse e-postene. Meldingene forsøker å utnytte myndigheten til Internet Corporation for Assigned Names and Numbers, ofte kjent som ICANN, ved å feilaktig antyde at domenefornyelse håndheves gjennom direkte e-postvarsler.

I realiteten kontakter ikke ICANN individuelle brukere gjennom uoppfordrede meldinger som krever fornyelse av domenet. Videre krever ingen legitim domenemyndighet eller anerkjent tjenesteleverandør at brukere bekrefter påloggingsinformasjon via en lenke innebygd i en uventet e-post.

Avsendernavnet som ofte vises i disse meldingene, «Global Domain Validation Center», har ingen anerkjent forbindelse til ICANN, akkrediterte registrarer eller noen legitim domeneadministrasjonsorganisasjon. Hele scenariet er fabrikkert for å skape troverdighet og lure mottakerne.

Den bredere trusselen utover legitimasjonstyveri

Selv om hovedmålet med denne kampanjen er å samle inn legitimasjonsinformasjon, brukes lignende svindel-e-poster ofte også til distribusjon av skadelig programvare. Trusselaktører bruker ofte e-postbaserte angrep for å levere skadelig programvare til potensielle ofre.

E-poster relatert til skadelig programvare kan inneholde infiserte vedlegg eller lenker som fører til ondsinnede nettsteder. Vanlige filtyper som brukes i disse angrepene inkluderer kjørbare filer, PDF-dokumenter, arkiver som ZIP- eller RAR-filer, skript og Office-dokumenter som inneholder skadelig kode. I noen tilfeller blir brukerne bedt om å aktivere makroer eller andre funksjoner som utløser infeksjonsprosessen.

De fleste e-postbaserte skadevareinfeksjoner krever en viss grad av brukerinteraksjon, for eksempel å åpne et vedlegg, starte en nedlastet fil, klikke på en ondsinnet lenke eller aktivere innebygd innhold. Derfor er forsiktighet og verifisering fortsatt avgjørende når du håndterer uventede meldinger.

Slik svarer du på disse e-postene

Mottakere som mottar e-posten «Revalidering av domeneeierskap kreves», bør unngå å samhandle med meldingen på noen måte. Lenker skal ikke klikkes på, vedlegg skal ikke åpnes, og personlig informasjon skal aldri sendes inn via sider som nås fra uønskede e-poster.

Det sikreste tiltaket er å slette e-posten umiddelbart. Personer som allerede har oppgitt påloggingsinformasjonen sin på phishing-siden, bør endre e-postpassordet sitt uten forsinkelse, oppdatere passord for alle kontoer som kan dele samme påloggingsinformasjon, og aktivere flerfaktorautentisering der det er mulig.

Avsluttende tanker

E-postkampanjen «Revalidering av domeneeierskap kreves» er et phishing-svindelnummer som utgir seg for å være en ICANN-relatert samsvarserklæring. Hensikten er å lure mottakere til å oppgi e-postkontoinformasjonen sin via en falsk webpost-innloggingsside. Meldingene er basert på frykt, hastverk og falske regulatoriske påstander for å manipulere ofrene til å handle uten skikkelig bekreftelse.

Det er viktig å forstå hvordan disse svindelforsøkene fungerer for å beskytte sensitiv informasjon. Ved å være skeptisk til uventede forespørsler, bekrefte påstander gjennom offisielle kanaler og unngå lenker i uønskede e-poster, kan brukere redusere risikoen for å bli ofre for legitimasjonstyveri og andre cybertrusler betydelig.