E-postbedrägeri om statusuppdatering av DHL Express Commerce

Cybersäkerhetsforskare har analyserat e-postmeddelandena med statusuppdateringar från DHL Express Commerce och fastställt att de är nätfiskemeddelanden som är utformade för att stjäla användarnas inloggningsuppgifter. E-postmeddelandena utger sig för att vara legitima aviseringar från DHL Express Commerce och informerar felaktigt mottagarna om att tre dokument har delats med dem.

Meddelandena anländer vanligtvis med ämnesraden "DHL Express Commerce" och är noggrant utformade för att likna aviseringar från en dokumentdelningsplattform. För att öka deras trovärdighet visar e-postmeddelandena en rad som ser ut att vara en bilaga med namnet "DHL Express Invoice Payment.docx". Detta är dock inte en faktisk filbilaga. Istället är det ett klickbart element som skapats för att lura mottagarna att interagera med e-postmeddelandet.

Enligt meddelandets innehåll har systemet upptäckt tre dokument som har delats med mottagaren och som förmodligen kan nås omedelbart.

Fällan för portalen för falska dokument

Bedrägeriet går ut på att övertyga mottagarna att klicka antingen på den förfalskade bilagan eller på knappen "Visa dokument". Oavsett vilket alternativ som väljs leder båda användarna till samma bedrägliga destination.

Den länkade sidan finns på Googles Firebase Storage-plattform. Även om Firebase är en legitim molntjänst missbrukar cyberbrottslingar ofta välrenommerade plattformar för att vara värd för skadligt innehåll eftersom sådana domäner ofta verkar pålitliga och kan kringgå grundläggande säkerhetsfilter.

När besökare anländer till sidan visas de med ett falskt DHL Express-inloggningsformulär som ber om en e-postadress och ett lösenord. Trots sitt utseende har sidan ingen koppling till DHL. Alla inloggningsuppgifter som anges i formuläret skickas direkt till bedragarna som driver kampanjen.

Varför stulna referenser är så värdefulla

Inloggningsuppgifter är bland de mest eftertraktade tillgångarna för cyberbrottslingar. Många individer återanvänder samma lösenord på flera onlinekonton, vilket gör en enda komprometterad uppsättning inloggningsuppgifter mycket värdefull.

När angripare får tag på inloggningsuppgifter genom nätfiskekampanjer testar de ofta dessa inloggningsuppgifter på olika tjänster, inklusive e-postplattformar, shoppingwebbplatser, molnlagringskonton och sociala medienätverk. Lyckade kontointrång kan leda till obehöriga köp, identitetsstöld, kontoövertaganden, ekonomiska förluster och förlust av åtkomst till viktiga onlinetjänster.

Av denna anledning bör mottagare aldrig ange inloggningsuppgifter på webbplatser som nås via oönskade e-postmeddelanden utan att först verifiera meddelandets och destinationens äkthet.

Varningstecken som avslöjar bedrägeriet

Flera indikatorer avslöjar den bedrägliga karaktären hos dessa e-postmeddelanden:

• Meddelandet påstår att dokument har delats oväntat och uppmanar till omedelbar interaktion.
• Den visade filen 'DHL Express Invoice Payment.docx' är bara ett klickbart lockbete snarare än en äkta bilaga.
• Båda klickbara elementen leder till samma inloggningssida istället för en legitim dokumentdelningstjänst.
• Webbplatsen begär e-postadresser trots att den inte har någon legitim koppling till DHL.
• Kommunikationen försöker utnyttja ett pålitligt varumärkes rykte för att vinna mottagarens förtroende.

Den potentiella kopplingen till skadlig kod

Nätfiskekampanjer är inte alltid begränsade till stöld av autentiseringsuppgifter. I vissa fall används liknande spammeddelanden också för att distribuera skadlig programvara.

Cyberbrottslingar döljer ofta skadliga filer som fakturor, leveransmeddelanden, betalningsbekräftelser, kontrakt eller andra rutinmässiga affärsdokument. Dessa skadliga filer kan levereras som körbara program, komprimerade arkiv, PDF-dokument, skript eller Microsoft Office-filer som innehåller inbäddad skadlig kod.

Infektioner kräver ofta någon form av användarinteraktion innan skadlig kod aktiveras. Att öppna en skadlig bilaga, aktivera makron, köra en nedladdad fil eller klicka på en vilseledande länk kan utlösa komprometteringsprocessen. Att vara försiktig vid hantering av oönskad e-post minskar sannolikheten för infektion avsevärt.

Så här svarar du om du får e-postmeddelandet

Om det här e-postmeddelandet dyker upp i en inkorg är det säkraste sättet att undvika att interagera med länkar, knappar eller bilagor i det. Meddelandet bör raderas omedelbart. Personer som redan har skickat in sina inloggningsuppgifter via den falska inloggningssidan bör ändra de berörda lösenorden utan dröjsmål och uppdatera alla andra konton som använder samma inloggningsuppgifter. Att aktivera flerfaktorsautentisering där det är möjligt kan ge ett extra skydd mot obehörig åtkomst.

Slutbedömning

E-postmeddelandet om statusuppdateringen för DHL Express Commerce är ett nätfiskebedrägeri som syftar till att stjäla inloggningsuppgifter genom att utge sig för att vara DHL Express Commerce. Den falska bilagan och knappen "Visa dokument" omdirigerar båda användare till samma bedrägliga inloggningssida som finns via en missbrukad molntjänst. Eftersom kampanjen inte har någon koppling till DHL eller någon legitim organisation bör mottagarna behandla dessa meddelanden som skadliga, undvika all interaktion med deras innehåll och omedelbart ta bort dem från sina inkorgar.