Golpe de e-mail de atualização de status comercial da DHL Express

Pesquisadores de cibersegurança analisaram os e-mails de atualização de status da DHL Express Commerce e determinaram que são mensagens de phishing criadas para roubar as credenciais de login dos usuários. Os e-mails se disfarçam de notificações legítimas da DHL Express Commerce e informam falsamente aos destinatários que três documentos foram compartilhados com eles.

As mensagens geralmente chegam com o assunto "DHL Express Commerce" e são cuidadosamente elaboradas para se assemelharem a notificações de uma plataforma de compartilhamento de documentos. Para aumentar sua credibilidade, os e-mails exibem uma linha que parece ser um anexo chamado "DHL Express Invoice Payment.docx". No entanto, não se trata de um anexo de arquivo real. Em vez disso, é um elemento clicável criado para enganar os destinatários e levá-los a interagir com o e-mail.

De acordo com o conteúdo da mensagem, o sistema detectou três documentos que foram compartilhados com o destinatário e que supostamente podem ser acessados imediatamente.

A armadilha do portal de documentos falsos

O golpe consiste em convencer os destinatários a clicarem no anexo falso ou no botão "Visualizar Documentos". Independentemente da opção selecionada, ambas direcionam os usuários para o mesmo destino fraudulento.

A página em questão está hospedada na plataforma Firebase Storage do Google. Embora o Firebase seja um serviço legítimo de hospedagem em nuvem, cibercriminosos frequentemente abusam de plataformas respeitáveis para hospedar conteúdo malicioso, pois esses domínios costumam parecer confiáveis e podem burlar filtros de segurança básicos.

Assim que os visitantes acessam a página, são apresentados a um formulário de login falso da DHL Express, que solicita um endereço de e-mail e uma senha. Apesar da aparência, a página não tem nenhuma ligação com a DHL. Quaisquer credenciais inseridas no formulário são transmitidas diretamente aos golpistas responsáveis pela campanha.

Por que credenciais roubadas são tão valiosas

As credenciais de login estão entre os ativos mais procurados por cibercriminosos. Muitas pessoas reutilizam a mesma senha em várias contas online, tornando um único conjunto de credenciais comprometido extremamente valioso.

Quando os atacantes obtêm informações de login por meio de campanhas de phishing, eles costumam testar essas credenciais em diversos serviços, incluindo plataformas de e-mail, sites de compras, contas de armazenamento em nuvem e redes sociais. A invasão bem-sucedida de contas pode resultar em compras não autorizadas, roubo de identidade, apropriação indevida de contas, perdas financeiras e perda de acesso a importantes serviços online.

Por esse motivo, os destinatários nunca devem inserir suas credenciais em sites acessados por meio de e-mails não solicitados sem antes verificar a legitimidade da mensagem e do destinatário.

Sinais de alerta que revelam o golpe

Diversos indicadores expõem a natureza fraudulenta desses e-mails:

• A mensagem afirma que documentos foram compartilhados inesperadamente e incentiva a interação imediata.
• O arquivo exibido, 'DHL Express Invoice Payment.docx', é apenas uma isca clicável, e não um anexo genuíno.
• Ambos os elementos clicáveis levam à mesma página de login em vez de um serviço legítimo de compartilhamento de documentos.
• O site solicita credenciais de e-mail apesar de não ter nenhuma ligação legítima com a DHL.
• A comunicação busca aproveitar a reputação de uma marca confiável para conquistar a confiança do destinatário.

A possível conexão com malware

As campanhas de phishing nem sempre se limitam ao roubo de credenciais. Em alguns casos, e-mails de spam semelhantes também são usados para distribuir malware.

Criminosos cibernéticos costumam disfarçar arquivos maliciosos como faturas, notificações de envio, confirmações de pagamento, contratos ou outros documentos comerciais de rotina. Esses arquivos prejudiciais podem ser distribuídos como programas executáveis, arquivos compactados, documentos PDF, scripts ou arquivos do Microsoft Office contendo código malicioso embutido.

As infecções geralmente exigem algum tipo de interação do usuário antes que o malware seja ativado. Abrir um anexo malicioso, habilitar macros, executar um arquivo baixado ou clicar em um link enganoso pode desencadear o processo de infecção. Ter cautela ao lidar com e-mails não solicitados reduz significativamente a probabilidade de infecção.

Como responder se você receber o e-mail

Se este e-mail aparecer em sua caixa de entrada, a abordagem mais segura é evitar interagir com quaisquer links, botões ou anexos contidos nele. A mensagem deve ser excluída imediatamente. Indivíduos que já enviaram suas credenciais por meio da página de login falsa devem alterar as senhas afetadas sem demora e atualizar quaisquer outras contas que usem as mesmas credenciais. Habilitar a autenticação multifator sempre que possível pode fornecer uma camada adicional de proteção contra acesso não autorizado.

Avaliação final

O e-mail de atualização de status da DHL Express Commerce é um golpe de phishing criado para coletar credenciais de login, se passando pela DHL Express Commerce. A linha falsa de anexo e o botão "Visualizar Documentos" redirecionam os usuários para a mesma página de login fraudulenta, hospedada em um serviço de nuvem vulnerável. Como a campanha não tem nenhuma ligação com a DHL ou qualquer organização legítima, os destinatários devem tratar essas mensagens como maliciosas, evitar qualquer interação com seu conteúdo e removê-las imediatamente de suas caixas de entrada.