Эксперты по кибербезопасности обнаружили новую фишинговую схему, в которой атакующие пытаются украсть учётные данные от почтового ящика. Она нацелена на российских пользователей, вероятно — на представителей небольших компаний, сегмента малого и среднего бизнеса.
Злоумышленники под видом главы отдела закупок дубайской компании интересуются наличием некоего продукта или аналогичной модели. Детали в теле письма не уточняют, но оставляют ссылку, по внешнему виду похожую на файловый хостинг. На нём якобы можно увидеть подробности заказа на поставку. Если потенциальная жертва перейдёт по ссылке, то попадёт на поддельную страницу авторизации популярного почтового сервиса.
Все введённые на таком ресурсе данные получают атакующие. Это открывает им доступ к почтовому аккаунту, всем письмам и данным в нём, а также к другим сервисам, привязанным к скомпрометированному адресу, если код подтверждения приходит именно на почту.
Письмо написано на русском языке и не содержит опечаток. Но всё же можно заметить красные флаги. Во-первых, сообщение прислано не с корпоративной почты, а с личного адреса с популярным почтовым доменом. Во-вторых, отправитель обращается на «ты» (письмо начинается со слова «Привет»), это тоже должно насторожить, ведь сообщение составлено как официальный запрос.
Злоумышленники часто маскируют фишинговые рассылки под деловую переписку. Сотрудники компаний, особенно если речь идёт про небольшие организации, рады появлению новых клиентов и, вероятно, могут менее критично относиться к наполнению письма, отмечают эксперты.
Чтобы не стать жертвой фишинговых атак, эксперты по информационной безопасности рекомендует пользователям не доверять письмам с незнакомых ящиков, особенно когда речь идёт о личных данных, денежных операциях и подозрительных вложениях, даже если визуально похоже, что письмо пришло от организации с хорошей репутацией. Компаниям следует установить надёжное защитное решение, которое автоматически будет отправлять подобные письма в спам, а также регулярно проводить для сотрудников тренинги по кибербезопасности, обучать их распознавать техники социальной инженерии.