Oszustwo polegające na wysyłaniu e-maili z zabezpieczonymi dokumentami do przeglądu

Zachowanie ostrożności w przypadku nieoczekiwanych wiadomości e-mail jest niezbędne w dzisiejszym krajobrazie zagrożeń. Cyberprzestępcy rutynowo maskują wiadomości phishingowe podszywając się pod legalną komunikację biznesową, aby nakłonić odbiorców do ujawnienia poufnych informacji. Jednym z takich przykładów jest e-mail „Zabezpiecz dokument do wglądu”. Pomimo profesjonalnego wyglądu, kampania ta nie jest powiązana z żadną legalną firmą, organizacją, platformą do udostępniania dokumentów ani dostawcą poczty e-mail. Jej jedynym celem jest kradzież danych uwierzytelniających konta e-mail od niczego niepodejrzewających użytkowników.

Za oszustwem „Zabezpiecz dokument do przeglądu”

Dogłębna analiza wiadomości e-mail „Bezpieczny dokument do wglądu” potwierdziła, że są to wiadomości phishingowe, których celem jest wyłudzenie danych logowania. Wiadomości podszywają się pod bezpieczne powiadomienia o udostępnianiu dokumentów i twierdzą, że poufny plik umowy o nazwie „Contract_Agreement_0035040_ACH_Payment.pdf” został przygotowany do wglądu odbiorcy.

Aby stworzyć poczucie pilności, wiadomość informuje, że link do dokumentu wygaśnie w ciągu 72 godzin. Odliczanie jest prezentowane jako zabezpieczenie, zachęcające odbiorców do szybkiego działania bez dokładnej oceny autentyczności wiadomości e-mail.

Inną taktyką stosowaną w tych wiadomościach jest instruowanie odbiorców, aby przenieśli wiadomość do swojej skrzynki odbiorczej, jeśli została ona odfiltrowana jako spam. Ta próba stworzenia wrażenia wiarygodności ma na celu zmniejszenie podejrzeń i zwiększenie prawdopodobieństwa, że ofiara wejdzie w interakcję z treścią.

Portal Fałszywych Bezpiecznych Dokumentów

Wiadomość e-mail zawiera przycisk lub link z etykietą „Otwórz dokument bezpiecznie”. Zamiast prowadzić do legalnej usługi udostępniania dokumentów, link kieruje użytkowników do fałszywej witryny internetowej hostowanej pod adresem esnad-fls(dot)com.

Strona internetowa fałszywie przedstawia się jako bezpieczny portal uwierzytelniania poczty e-mail. W wielu przypadkach wyświetla fałszywą stronę logowania, która wiernie imituje interfejs logowania Google i może być oznaczona jako „Zabezpieczony portal Gmail”. Odwiedzający są proszeni o podanie adresu e-mail i hasła, aby uzyskać dostęp do rzekomego dokumentu.

Badacze zaobserwowali, że strona phishingowa może dynamicznie dostosowywać swój wygląd w zależności od dostawcy poczty e-mail odbiorcy. Użytkownicy Gmaila mogą zobaczyć stronę logowania w stylu Google, podczas gdy użytkownicy innych usług pocztowych mogą zobaczyć interfejsy zaprojektowane tak, aby przypominały interfejsy ich dostawców. Ta personalizacja sprawia, że oszustwo wydaje się bardziej przekonujące.

Co się dzieje po wprowadzeniu danych uwierzytelniających?

Wszelkie informacje przesyłane za pośrednictwem fałszywego formularza logowania są przekazywane bezpośrednio oszustom. Po uzyskaniu dostępu do konta e-mail atakujący mogą je wykorzystać na wiele sposobów:

• Uzyskaj dostęp do poufnych wiadomości e-mail i przechowywanych danych osobowych.

• Zresetuj hasła do powiązanych kont i usług.

• Podawanie się za ofiarę w dalszych kampaniach phishingowych.

• Dopuszczanie się kradzieży tożsamości i innych form oszustwa.

Należy podkreślić, że Google nie ma nic wspólnego z tą operacją, a strona internetowa wykorzystywana w oszustwie nie jest powiązana z żadną legalną usługą poczty e-mail ani platformą służącą do udostępniania dokumentów.

Znaki ostrzegawcze, które ujawniają oszustwo

Kilka sygnałów wskazuje na oszukańczy charakter tych e-maili. Wiadomość wywołuje niepotrzebną presję, informując o wygaśnięciu dokumentu, żąda podjęcia działania za pośrednictwem nieznanego linku zewnętrznego i kieruje odbiorców na stronę logowania niezwiązaną z żadną legalną usługą. Konieczność podania danych do poczty e-mail w celu wyświetlenia udostępnionego dokumentu to kolejny istotny sygnał ostrzegawczy.

Użytkownicy powinni zawsze weryfikować nadawcę, uważnie sprawdzać linki przed kliknięciem i zachować podejrzliwość wobec niezamówionych powiadomień o udostępnianiu dokumentów, zwłaszcza gdy wymagają one natychmiastowego działania.

Nie tylko kradzież danych uwierzytelniających: ryzyko złośliwego oprogramowania

Chociaż ta konkretna kampania koncentruje się na kradzieży danych logowania, podobne wiadomości e-mail o charakterze oszustwa są często wykorzystywane do dystrybucji złośliwego oprogramowania. Cyberprzestępcy często dostarczają złośliwe oprogramowanie za pośrednictwem wiadomości spam zawierających zainfekowane załączniki lub linki do szkodliwych stron internetowych.

Do typowych typów złośliwych plików należą programy wykonywalne, skompresowane archiwa, pliki PDF i dokumenty pakietu Microsoft Office. W niektórych przypadkach otwarcie pliku może spowodować wykonanie złośliwego kodu. W innych przypadkach odbiorcy mogą zostać poproszeni o włączenie makr lub pobranie dodatkowej zawartości, co inicjuje proces infekcji.

Linki zawarte w wiadomościach phishingowych mogą również przekierowywać użytkowników do stron internetowych, które automatycznie pobierają złośliwe oprogramowanie lub zachęcają do ręcznego uruchamiania niebezpiecznych plików.

Jak odpowiadać na te e-maile

Jeśli w skrzynce odbiorczej pojawi się wiadomość e-mail z informacją „Zabezpiecz dokument do przeglądu”, najbezpieczniejszym sposobem postępowania jest wykonanie następujących czynności:

• Nie klikaj żadnych linków ani przycisków zawartych w wiadomości.
• Nie podawaj danych logowania na żadnej stronie, do której uzyskasz dostęp za pośrednictwem wiadomości e-mail.
• Jeśli to możliwe, usuń wiadomość e-mail i oznacz ją jako próbę wyłudzenia informacji lub spam.
• Natychmiast zmień hasło do konta, jeśli dane uwierzytelniające zostały już przesłane.

Ocena końcowa

E-mail „Bezpieczny dokument do przeglądu” to próba oszustwa phishingowego podszywająca się pod powiadomienie o udostępnieniu dokumentu. Fałszywie twierdzi, że poufny dokument umowy oczekuje na przegląd i kieruje odbiorców na fałszywą stronę logowania hostowaną na domenie esnad-fls(dot)com. Celem jest kradzież danych logowania do konta e-mail, które następnie mogą zostać wykorzystane do przejęcia konta, kradzieży tożsamości i innych działań cyberprzestępczych. Odbiorcy powinni unikać interakcji z tym e-mailem, powstrzymać się od klikania w linki i natychmiast usunąć wiadomość.