Golpe por e-mail que exige revalidação de propriedade de domínio

E-mails inesperados que exigem ação urgente devem sempre ser tratados com cautela. Criminosos cibernéticos frequentemente se fazem passar por organizações confiáveis e órgãos reguladores para criar uma falsa sensação de urgência e pressionar os destinatários a tomarem decisões precipitadas. Os e-mails com o título "Revalidação de Propriedade de Domínio Necessária" são um excelente exemplo dessa tática. Pesquisadores de segurança identificaram essas mensagens como parte de uma campanha de phishing destinada a roubar credenciais de contas de e-mail. É importante ressaltar que esses e-mails não estão associados a nenhuma empresa, organização, registrador de domínio ou autoridade reguladora legítima.

Disfarçado de Aviso Oficial de Conformidade

Os e-mails fraudulentos são elaborados para se assemelharem a notificações oficiais de conformidade de domínio. Os destinatários são informados de que a propriedade de seu domínio não foi revalidada nos últimos 90 dias e que é necessário tomar medidas para permanecer em conformidade com as supostas regulamentações. As mensagens fazem referência à "Regulamentação 3.18 da ICANN" e alertam que a falha em concluir o processo de verificação resultará na suspensão dos serviços de e-mail de entrada e saída em sete dias.

A linguagem utilizada ao longo do e-mail visa criar preocupação e urgência. Ao ameaçar com interrupções de serviço, os golpistas tentam convencer os destinatários a agir imediatamente sem verificar a autenticidade da mensagem.

O Processo de Revalidação Falsa

No centro do golpe está um botão geralmente rotulado como "Revalidar Domínio Agora". Clicar nesse botão redireciona os usuários para uma página de login de webmail fraudulenta que se passa por um portal de serviço de e-mail legítimo.

A página de phishing imita a tela de login do Roundcube Webmail e é hospedada na plataforma Firebase Storage do Google. Para tornar a página mais convincente, o endereço de e-mail da vítima pode já estar preenchido automaticamente. Os usuários são então instruídos a inserir sua senha para continuar com o suposto processo de verificação.

Na realidade, a página serve apenas a um propósito: coletar credenciais de login e transmiti-las diretamente aos atacantes.

O que acontece quando as credenciais são roubadas?

Contas de e-mail comprometidas podem fornecer aos cibercriminosos acesso a uma quantidade significativa de informações pessoais e comerciais. Como as contas de e-mail geralmente estão vinculadas a diversos serviços online, os invasores podem usar credenciais roubadas para ampliar ainda mais seu acesso.

Uma vez obtido o controle de uma conta de e-mail, os criminosos podem:

• Leia mensagens confidenciais e comunicações sensíveis.
• Redefina as senhas das contas online vinculadas.
• Fingir ser a vítima em comunicações com colegas, clientes, amigos ou familiares.

• Distribua e-mails de phishing adicionais a partir de uma conta confiável.

• Coletar informações pessoais para roubo de identidade ou fraude financeira.

Como as contas de e-mail frequentemente servem como o principal método de recuperação para outros serviços, uma única caixa de correio comprometida pode levar à invasão de várias outras contas.

Por que as alegações são falsas

Diversos indicadores expõem a natureza fraudulenta desses e-mails. As mensagens tentam explorar a autoridade da Corporação da Internet para Atribuição de Nomes e Números, comumente conhecida como ICANN, sugerindo falsamente que a revalidação de domínio está sendo aplicada por meio de notificações diretas por e-mail.

Na realidade, a ICANN não contata usuários individualmente por meio de mensagens não solicitadas exigindo a revalidação de domínios. Além disso, nenhuma autoridade de domínio legítima ou provedor de serviços confiável exige que os usuários verifiquem suas credenciais de login por meio de um link incorporado em um e-mail inesperado.

O nome do remetente frequentemente exibido nessas mensagens, "Global Domain Validation Center", não possui nenhuma ligação reconhecida com a ICANN, registradores credenciados ou qualquer organização legítima de gerenciamento de domínios. Todo o cenário é fabricado para criar credibilidade e enganar os destinatários.

A ameaça mais ampla além do roubo de credenciais

Embora o objetivo principal desta campanha seja a coleta de credenciais, e-mails fraudulentos semelhantes são frequentemente usados para a distribuição de malware. Os agentes de ameaças costumam empregar ataques baseados em e-mail para entregar software malicioso a potenciais vítimas.

E-mails relacionados a malware podem incluir anexos infectados ou links que levam a sites maliciosos. Os tipos de arquivo mais comuns usados nesses ataques incluem arquivos executáveis, documentos PDF, arquivos compactados como ZIP ou RAR, scripts e documentos do Office contendo código malicioso. Em alguns casos, os usuários são solicitados a habilitar macros ou outros recursos que desencadeiam o processo de infecção.

A maioria das infecções por malware transmitidas por e-mail requer algum nível de interação do usuário, como abrir um anexo, executar um arquivo baixado, clicar em um link malicioso ou habilitar conteúdo incorporado. É por isso que cautela e verificação continuam sendo essenciais ao lidar com mensagens inesperadas.

Como responder a esses e-mails

Os destinatários que receberem um e-mail com o título "Revalidação de Propriedade de Domínio Necessária" devem evitar interagir com a mensagem de qualquer forma. Não devem clicar em links, não devem abrir anexos e nunca devem enviar informações pessoais por meio de páginas acessadas a partir de e-mails não solicitados.

A medida mais segura é excluir o e-mail imediatamente. Quem já inseriu suas credenciais na página de phishing deve alterar a senha do e-mail sem demora, atualizar as senhas de todas as contas que possam compartilhar as mesmas credenciais e ativar a autenticação de dois fatores sempre que possível.

Considerações finais

A campanha de e-mail "Revalidação de Propriedade de Domínio Obrigatória" é um golpe de phishing disfarçado de aviso de conformidade relacionado à ICANN. Seu objetivo é enganar os destinatários para que forneçam as credenciais de suas contas de e-mail por meio de uma página de login fraudulenta. As mensagens se baseiam em medo, urgência e falsas alegações regulatórias para manipular as vítimas e levá-las a agir sem a devida verificação.

Compreender como esses golpes funcionam é essencial para proteger informações confidenciais. Mantendo-se cético em relação a solicitações inesperadas, verificando as alegações por meio de canais oficiais e evitando links contidos em e-mails não solicitados, os usuários podem reduzir significativamente o risco de se tornarem vítimas de roubo de credenciais e outras ameaças cibernéticas.