Phishing, který se sám prohlásil za ověřený
Týden klid, a pak tohle. Do schránky přistál kousek, který je upřímně spíš k smíchu — ale zároveň je to učebnicový případ útoku na heslo k e-mailu. Všechny triky z jedné zprávy, pěkně pohromadě. Tak si je pojďme očíslovat. 🙂
Trik č. 1: jméno odesílatele. Zpráva se hlásí jako „pcrada.cz” — tedy
jako naše vlastní doména. Jenže jméno odesílatele je jen text, který si
útočník napíše, jaký chce. Skutečná adresa je hned vedle:
eegan@bluevasesales.com, nějaký obchod s vázami. Ten člověk o ničem
neví — jeho schránku si útočník nejspíš půjčil.
A teď tělo zprávy:
Trik č. 2: zpráva si sama potvrdila, že je pravá
Zelený proužek nahoře hlásá: „This sender has been verified from info@pcrada.cz senders list.” Přeloženo: zpráva vám tvrdí, že je ověřená — sama o sobě. 😄
Tohle je dobré si zapamatovat obecně: důvěryhodnost zprávy nikdy neurčuje to, co je napsané ve zprávě. Jakýkoli zelený proužek, zámeček nebo „verified” odznak v těle e-mailu si tam útočník prostě nakreslil. Skutečné ověření (SPF, DKIM) dělá váš poštovní server a jeho výsledek vidíte leda v hlavičkách — ne v barevném pruhu.
Trik č. 3: logo „velké firmy” — nakřivo
Nahoře čtyři barevné čtverečky jako od Microsoftu. Při bližším pohledu jsou různě velké a nakřivo — je to ručně poskládané z barevných buněk, žádný obrázek. A co je nejlepší: slovo Microsoft v celé zprávě ani jednou nepadne. Vzhled si půjčili, jméno napsat nedokázali.
Drobnost na okraj: naše pošta na Microsoftu nikdy neběžela. Přesně tohle je otázka, kterou si u podobných zpráv položte: proč se mnou o mé schránce mluví firma, u které schránku nemám?
Trik č. 4: obě cesty vedou k útočníkovi
Zpráva nabízí tlačítko Confirm a decentní odkaz opt out — pro ty, kdo „nechtějí dostávat upozornění”. Rozebrali jsme si, kam vedou, samozřejmě bez klikání: oba na úplně stejnou adresu. Stejný trik jsme viděli u krypto phishingu — je jedno, jestli kliknete na souhlas, nebo odmítnutí. Každé kliknutí je pro útočníka výhra.
Trik č. 5: odkaz schovaný za Googlem
Cíl odkazu nevede přímo na podvodný web — jde přes přesměrovávač
google.com/url. V náhledu odkazu tak vidíte důvěryhodné
www.google.com a leckterý filtr to pustí dál. Google vás pak poslušně
přesměruje na skutečný cíl: cizí web kdesi v Indii.
A třešnička: na konci odkazu je přilepená vaše e-mailová adresa. Podvodná stránka si ji přečte a předvyplní vám ji do formuláře — ať to vypadá, že vás tam opravdu znají, a vy už jen doplníte heslo.
Co s tím?
- Nic nepotvrzujte. Žádný správce pošty po vás nechce „potvrdit heslo” odkazem z e-mailu. Tenhle žánr jsme rozebírali nedávno u phishingu na webmail.
- Čtěte adresu, ne jméno. Jméno odesílatele je dekorace; rozhoduje adresa za ním. Nesedí? Smazat.
- Anglicky psaná „údržba” české schránky je sama o sobě varování.
- Klikli jste a vyplnili? Okamžitě změňte heslo ke schránce, odhlaste všechna zařízení a zapněte dvoufázové ověření. A počítejte s tím, že heslo už někdo zkusil — koukněte po schránce, jestli vám nepřibyla pravidla pro přeposílání pošty.
A to je vše! Tenhle exemplář byl aspoň zábavný — křivé logo a zpráva, která si sama sobě vystavila glejt pravosti. Ale mechanika pod ním je pořád stejně nebezpečná: jeden klik, jedno vyplněné heslo, a útočník čte vaši poštu. Mějte se fanfárově a na nic neklikejte. 🙂