Staples и Dell стали каналами доставки фишинга через уведомления о заказах

Атакующие используют доверенную инфраструктуру для доставки фишинга

Злоумышленники начали активно использовать легитимную инфраструктуру для доставки вредоносных сообщений. Это тренд, который Cisco Talos наблюдает с прошлого года. Атакующие используют более 25 различных платформ, включая сервисы для совместной работы, продуктивности, обмена файлами, опросов, платежей и ИИ. Они отказываются от традиционной фишинговой инфраструктуры и поддельных доменов в пользу инструментов, которым доверяют компании. Недавно Talos проанализировал две кампании, использовавшие для доставки фишинга транзакционные email-каналы Staples и Dell. Эти кампании насчитывали около 1400 сообщений.

Фишинг маскируется под уведомления о заказах

Вредоносный контент встраивался непосредственно в тело легитимного уведомления о заказе, а не в поддельный адрес отправителя. Цель злоумышленников — создать у получателя ощущение срочности из-за якобы дорогостоящей покупки и побудить его позвонить по указанному номеру телефона. В первой кампании сообщение выглядело как подтверждение заказа Staples на iPad. В деталях заказа содержались строки «Helpline 806 283 7712», «Order Confirmed» и адрес компании. Эти данные располагались в полях, обычно предназначенных для информации о доставке или оплате. Атакующий не пытался заставить пользователя перейти по фишинговой ссылке. Вместо этого он создавал впечатление, что дорогостоящий заказ уже размещен, и для его решения необходимо позвонить по указанному номеру. После перехода к телефонному разговору злоумышленник применял социальную инженерию для кражи данных или денег.

Сообщения проходили проверку DKIM и DMARC, что подтверждало их легитимность. Однако это не гарантировало подлинности номера телефона или контекста транзакции. Вторая кампания использовала аналогичную схему с уведомлением о заказе от Dell на Microsoft Project Standard 2024. В полях «Ship To» и «Bill To» находились фразы «Confirmed Order», «Helpline 808 232 6397» и «Call Our Sales Team». Атака строилась на психологическом рычаге: неожиданная дорогая покупка, шаблон заказа и номер телефона как путь решения проблемы. Сообщение заимствовало доверие у Dell и перенаправляло получателя на контакты злоумышленника. Аутентификация также подтверждала легитимность отправителя, но не содержание.

Уязвимость затрагивает всех пользователей электронной коммерции и SaaS

Эти кампании демонстрируют сбой доверительных границ, когда злоумышленники помещают вредоносный контент в поля доверенных платформ, которые затем отображают его в уведомлениях. Этот подход применяется и в коммерческой инфраструктуре. Атакующий предоставляет намерение, а доверенная система выполняет доставку. Для защиты недостаточно только аутентификации отправителя (SPF, DKIM, DMARC). Эти методы проверяют, пришло ли сообщение с ожидаемой инфраструктуры, но не подтверждают легитимность транзакции или намерений пользователя.

Обрабатывайте уведомления о заказах как чувствительный контент

Любое поле в транзакционном сообщении, отражающее информацию о заказе, доставке или поддержке, может стать вектором доставки вредоносного контента. Компании и команды безопасности должны сопоставлять содержание уведомлений с историей аккаунта, статусом оплаты и известными каналами поддержки. Шаблоны транзакционных сообщений должны отклонять или помечать подозрительные телефонные номера, URL-адреса, срочные формулировки и инструкции по поддержке, если они появляются в неподходящих полях. Злоумышленники используют доверенную инфраструктуру как лазейку для доверенного контента. Это более широкий системный сбой, когда платформы доверяют данным из ненадежных источников и отображают их в уведомлениях с высокой репутацией. Этот механизм отражения входных данных в электронных письмах лежит в основе эволюции list bombing — от простого отказа в обслуживании к сложной доставке контента. Атакующие используют поля регистрации, профиля или именования проектов, которые не проходят достаточную валидацию ввода. Вводя «враждебную строку», например, связанную с криптовалютой, в поля, предназначенные для имени или названия компании, они заставляют платформу считать эти данные легитимной пользовательской информацией. Система действует как непреднамеренный перевозчик, доставляя контент злоумышленника внутри легитимного письма. Это позволяет обойти периметр безопасности, отмывая вредоносный контент через репутацию доверенного поставщика услуг. Цель — доставить сообщение в почту получателя с достаточным авторитетом платформы, чтобы оно воспринималось как обычное уведомление.

Этот вектор создает значительные репутационные риски для брендов. Использование инфраструктуры поставщика услуг для распространения мошеннического контента может привести к жалобам пользователей и ухудшению репутации отправителя, что потенциально приведет к блокировке и повлияет на легитимные деловые коммуникации. Другой вектор — злоупотребление сообщениями об ошибках доставки (bounce messages). Вместо использования розничных продавцов или SaaS-платформ злоумышленник заставляет систему уведомлений о статусе доставки нести вредоносный контент. Такие сообщения генерируются, когда письмо не может быть доставлено. Они могут включать заголовки, части тела письма, URL-адреса или инкапсулированную копию неудачного сообщения. В одном из случаев Talos наблюдал уведомление системы доставки, содержащее фишинговую приманку в стиле WeTransfer. Административная обертка делала сообщение похожим на обычный системный шум, а вложенный контент предлагал пользователю взаимодействовать с процессом передачи файла. Цель — сделать фишинговую приманку менее похожей на нежелательное внешнее сообщение и более похожей на часть технического сбоя, требующего проверки. Пользователи склонны считать системные ошибки безобидными и охотнее исправляют «административные» проблемы, чем реагируют на подозрительные фишинговые письма. Сообщение об ошибке доставки может содержать фишинговую ссылку, страницу сбора учетных данных, вредоносное вложение или подсказку социальной инженерии. Административный вид сообщения не подтверждает достоверность его содержимого.