Potwierdzenie zamówienia naprawdę jest od Staples. Numer infolinii już nie.

Przychodzi wiadomość z orders.staples.com. Zamówienie numer 9939818875, Apple iPad i linijka z napisem «Helpline 806 283 7712». Żadnego iPada pan nie kupował. Nadawca jest prawdziwy, domena prawdziwa, wiadomość przechodzi DKIM i DMARC, bo Staples naprawdę ją wysłał. Jedyną fałszywą rzeczą w środku jest numer telefonu i tylko tyle musiał dostarczyć oszust.

Cisco Talos opublikował badanie 21 października. Sztuczka polega na rozpoczęciu prawdziwej transakcji i wpisaniu przynęty w pole, które sklep przedrukowuje klientowi bez zmian, zwykle coś z danych dostawy albo rozliczenia. Wersja Dell podaje identyfikator zakupu 2009829958247 dla Microsoft Project Standard 2024 na kwotę 736,09 dolara i numer «Helpline 808 232 6397». Talos naliczył około 1400 wiadomości w obu kampaniach oraz ten sam pomysł w dwóch innych wariantach: wpisywanie cudzego adresu w formularze rejestracji, żeby powitalny e-mail poniósł tekst wklepany w pole imienia lub firmy, oraz nadużywanie powiadomień o niedostarczeniu, żeby przynęta przyjechała w komunikacie o błędzie poczty. W ciągu roku wykorzystano w ten sposób ponad 25 legalnych platform. Jak ujmuje to Talos, zaufana infrastruktura bywa traktowana jak skrót do zaufanej treści.

Stara rada, żeby sprawdzać adres nadawcy, po cichu przestała więc wystarczać, a jej następczyni jest węższa: nigdy nie dzwoń pod numer, który przyszedł razem z problemem. Jeśli potwierdzenie zamówienia niepokoi, wejdź samodzielnie na stronę sklepu albo na wyciąg z karty i znajdź obciążenie, albo przekonaj się, że go nie ma. Rozmowa zaczęta od podstawionego numeru kończy się zwykle prośbą o zainstalowanie programu do zdalnego dostępu, żeby miły człowiek mógł pomóc, i właśnie tam zaczynają się prawdziwe szkody.

Jeśli kiedyś zajdzie to tak daleko, kontrola bezpieczeństwa w Tendvane wypisuje narzędzia zdalnego dostępu i niechciane programy, które pojawiły się na komputerze, a to zwykle pierwszy widoczny ślad.