Κατάχρηση PayPal και Apple για DKIM Replay Attacks

Οι κυβερνοαπειλές εξελίσσονται με ταχύ ρυθμό, μετακινώντας το επίκεντρο από τα παραδοσιακά κακογραμμένα phishing email σε πιο σύνθετες τεχνικές που αξιοποιούν τη νομιμότητα ψηφιακών υποδομών. Οι εισβολείς δεν περιορίζονται πλέον σε πλαστογραφημένες διευθύνσεις ή εμφανή malware. Αντίθετα, εκμεταλλεύονται αξιόπιστες υπηρεσίες, όπως PayPal και Apple, για να δημιουργήσουν καλοστημένες παγίδες που μοιάζουν απολύτως νόμιμες.

Από την απλή εξαπάτηση στην αξιοποίηση νόμιμων ροών εργασίας

Αυτό που κάνει αυτές τις επιθέσεις τόσο επικίνδυνες είναι ότι βασίζονται σε κανονικές επιχειρηματικές ροές. Οι εισβολείς δημιουργούν νόμιμους λογαριασμούς και χρησιμοποιούν τις υπηρεσίες για να στείλουν τιμολόγια ή dispute notifications, εισάγοντας παράλληλα κακόβουλους αριθμούς τηλεφώνου ή οδηγίες σε πεδία που ελέγχονται από τον χρήστη, όπως τα “seller notes”.

Δείτε επίσης: Το Microsoft Exchange Online επισημαίνει νόμιμα email ως phishing

Καθώς τα μηνύματα προέρχονται από έγκυρους λογαριασμούς, φέρουν ψηφιακές υπογραφές, καθιστώντας τα σχεδόν αόρατα για τα παραδοσιακά φίλτρα ασφαλείας. Η Kaseya διαπίστωσε ότι οι επιτιθέμενοι βασίζονται στην εμπιστοσύνη των χρηστών προς γνωστά brands για να παρακάμψουν οποιαδήποτε επιφυλακτικότητα, καθιστώντας την επίθεση ιδιαίτερα αποτελεσματική.

Το κενό στην ασφάλεια του email

Παρά την ύπαρξη προτύπων όπως DKIM και DMARC, τα οποία ελέγχουν την ταυτότητα του αποστολέα, δεν υπάρχει τρόπος να επαληθευτεί η ασφάλεια του περιεχομένου. Οι επιτιθέμενοι δεν χρειάζεται να παραβιάσουν τις υπηρεσίες ή τους προμηθευτές· απλά αξιοποιούν νόμιμες λειτουργίες για να δημιουργήσουν «νόμιμα κακόβουλα» email.

Η τεχνική αυτή, γνωστή ως επίθεση DKIM Replay, λειτουργεί ως εξής: ο εισβολέας στέλνει πρώτα ένα email στη δική του διεύθυνση, προκειμένου να λάβει την έγκυρη ψηφιακή υπογραφή του προμηθευτή (π.χ., PayPal). Στη συνέχεια, το προωθεί σε χιλιάδες πιθανά θύματα. Η υπογραφή παραμένει έγκυρη και το email περνάει ανεμπόδιστα τα φίλτρα ελέγχου ταυτότητας και DMARC.

Ο κίνδυνος για τους τελικούς χρήστες

Ο παραλήπτης βλέπει ένα έγκυρο email από διευθύνσεις όπως service@paypal.com, αλλά το περιεχόμενο του μηνύματος τον προτρέπει να καλέσει έναν δόλιο αριθμό τηλεφώνου. Εκεί, οι εισβολείς μπορούν να συλλέξουν ευαίσθητα οικονομικά δεδομένα, όπως στοιχεία καρτών και κωδικούς πρόσβασης.

Δείτε επίσης: Phishing επίθεση στοχεύει χρήστες του Apple Pay

Η στρατηγική εκμεταλλεύεται πλήρως την εμπιστοσύνη του χρήστη στην πλατφόρμα, καθιστώντας τα αυτοματοποιημένα φίλτρα σχεδόν άχρηστα. Το πρόβλημα είναι ότι οι οργανισμοί βασίζονται υπερβολικά σε τεχνολογίες ελέγχου ταυτότητας χωρίς να εκπαιδεύουν τους χρήστες να αναγνωρίζουν ύποπτες ενδείξεις στα email.

Τρόποι προστασίας

Για να αντιμετωπιστεί η νέα μορφή phishing, οι οργανισμοί και οι χρήστες μπορούν να εφαρμόσουν τα εξής μέτρα:

1. Έλεγχος κεφαλίδων email: Επιβεβαιώστε ότι η κεφαλίδα «Προς» ταιριάζει με τον παραλήπτη που φαίνεται στο email. Ακανόνιστες αντιστοιχίες μπορεί να είναι ένδειξη κακόβουλης δραστηριότητας.
2. Αποφυγή τηλεφωνικών αριθμών σε σημειώσεις: Μην καλείτε αριθμούς που παρέχονται σε πεδία τύπου «seller notes». Αντίθετα, συνδεθείτε απευθείας στις επίσημες πύλες των πλατφορμών.
3. Εκπαίδευση χρηστών: Οι εργαζόμενοι πρέπει να είναι επιφυλακτικοί απέναντι σε τιμολόγια ή ειδοποιήσεις που φαίνονται αυθεντικά αλλά ζητούν δράση εκτός των επίσημων διαδικασιών.
4. Πύλες ασφαλείας: Οι οργανισμοί πρέπει να ρυθμίζουν τα φίλτρα τους ώστε να εντοπίζουν προωθήσεις email από τρίτους, ακόμη κι αν η υπογραφή DKIM είναι έγκυρη.

Δείτε επίσης: Η Bloody Wolf στοχεύει το Ουζμπεκιστάν και τη Ρωσία με το NetSupport RAT

Το μέλλον των επιθέσεων phishing

Η στρατηγική των εισβολέων δείχνει ότι το phishing εξελίσσεται πέρα από απλά μηνύματα με κακόβουλα links. Η αξιοποίηση νόμιμων ψηφιακών υποδομών για οικονομική εξαπάτηση δημιουργεί μια νέα γενιά επιθέσεων όπου η εμπιστοσύνη γίνεται εργαλείο χειραγώγησης.

Ο συνδυασμός ψηφιακής υπογραφής, νομιμότητας πλατφόρμας και χειραγώγησης του χρήστη δημιουργεί ένα εξαιρετικά επικίνδυνο περιβάλλον, καθιστώντας αναγκαία την αναβάθμιση των πολιτικών ασφαλείας και την ενημέρωση των τελικών χρηστών. Η γνώση και η επαγρύπνηση παραμένουν τα πιο αποτελεσματικά όπλα ενάντια σε αυτές τις εξελιγμένες επιθέσεις.