חשבון ה-PayPal שלך חויב? ייתכן שמדובר במלכודת פישינג

דו"ח של Experis Cyber מזהיר: גל חדש של מתקפות סייבר המשתמשים בשני מותגים מוכרים, PayPal ו-Apple, כדי להפיל בפח לקוחות שלהם ברחבי העולם.

לפי הדו"ח העדכני, האקרים הצליחו לנצל את שירות iCloud Calendar כדי לשלוח מיילים שנראים כאילו הגיעו ישירות משרתי Apple, מה שמאפשר להם לעקוף פילטרים של ספאם. במסגרת המתקפה, הקורבן מקבל מייל שנראה כהודעת חיוב מ-PayPal בסך 599 דולר, כולל מספר טלפון לפנייה לכאורה, לשירות הלקוחות.

המסר מנוסח כך שייצור פאניקה ויגרום לנמען לחשוב שחויב בטעות, כדי שיתקשר למספר שהאקרים צירפו. בשיחת הטלפון, התוקפים מנסים לשכנע שהחשבון נפרץ או שיש צורך בהחזר כספי, ודורשים מהקורבן להוריד תוכנה למחשב. בפועל, אותה תוכנה מאפשרת להם גישה מרחוק למחשב, דרכה ניתן לגנוב כסף מהבנק, להתקין נוזקות או לשאוב מידע רגיש.

מה שהופך את ההתקפה הזו למסוכנת במיוחד הוא העובדה שהמייל באמת נשלח מכתובת Apple אמיתית noreply@email.apple.com ועבר בדיקות אבטחה כמוSPF,DKIM ו-DMARC. למעשה, ההאקרים ניצלו את שדה ה-Notes בהזמנה של iCloud Calendar כדי להכניס לשם את הודעת הפישינג, ומשם נשלחה ההזמנה לנמען חיצוני. השימוש בכתובת Apple אמיתית נותן למייל תחושה של אותנטיות ומעלה את הסיכוי שיחמוק ממנגנוני הגנה ויגיע ישירות לאינבוקס של הקורבן.

ההזמנה נשלחת במייל לכתובת,Microsoft 365 שלפי ההערכות מוגדרת ככתובת קבוצתית שמעבירה אוטומטית את ההודעה לכל החברים ברשימה. כדי שההודעות לא ייחסמו Microsoft 365 משתמשת במנגנון מיוחדSender Rewriting Scheme - SRS) ) שמשכתב את נתיב השולח ומאפשר להודעות לעבור בהצלחה בדיקות אימות.

מתקפות אלו מזכירות שיטות קודמות בהתקפות פישינג, כמו ניצול תכונות פנימיות של PayPal, אך כאן מדובר בשדרוג מתוחכם שמנצל שירות אמין במיוחד. מומחי החברה ממליצים שלא ללחוץ על קישורים או להתקשר למספרי טלפון שמופיעים בהודעות חיוב מפתיעות ולבדוק את מצב החשבון ישירות דרך האפליקציה הרשמית של PayPal או האתר הרשמי, ולא דרך המייל שקיבלתם. בכל מקרה אומרים בחברה כי "מומלץ שלא לאפשר התקנה או הורדה של תוכנות לא מוכרות שמבקשים מכם בטלפון".

רומן מלכוב, מנהל ה-SOC ב-Experis Cyber: "מתקפות מהסוג הזה ממחישות את השינוי במגרש המשחקים - האקרים כבר לא מייצרים הודעות מתחזות פשוטות, אלא מנצלים שירותים לגיטימיים ומנגנוני אבטחה עצמם כדי לייצר אמינות ולחדור את מערכות ההגנה. המשמעות היא שהגבול בין פעילות לגיטימית לבין מתקפת פישינג הולך ומטשטש, ולכן גם ארגונים וגם משתמשים פרטיים חייבים לפתח מודעות גבוהה יותר ולהטמיע מנגנוני זיהוי מתקדמים."

עוד הוסיף מלכוב כי "מעבר לפגיעה הפוטנציאלית בכספים או במידע, מתקפות מהסוג הזה מערערות את האמון הבסיסי בין לקוחות לחברות טכנולוגיה ושירותים פיננסיים. כשמייל שנשלח מכתובת אמיתית של Apple משמש כפלטפורמת פישינג, כל ארגון שנמצא בשרשרת הערך עלול להיפגע מתדמיתית ומעסקית. זהו תמרור אזהרה ברור: לא מספיק להגן על המערכות הפנימיות - חייבים לנהל גם את סיכוני הסייבר של כלל הספקים והשותפים העסקיים."