Cisco Talos описала две кампании, в которых злоумышленники злоупотребляли уведомлениями о заказах Staples и Dell, чтобы подтолкнуть получателя к звонку на подконтрольный номер. В общей сложности Talos наблюдала около 1 400 таких писем. Подмены отправителя не было: сообщения проходили DKIM и DMARC для официальных доменов, а опасное содержимое находилось внутри самого уведомления.
По данным Cisco Talos, в кампании Staples письмо выглядело как подтверждение заказа на iPad: номер, сроки доставки, цена, платёжные данные и стандартный подвал. В полях доставки и оплаты появились «Helpline 806 283 7712», пометка «Order Confirmed» и корпоративный адрес Staples - то, чего в обычном заказе там быть не должно.
Кампания с Dell повторяла приём: письмо о полученном заказе на Microsoft Project Standard 2024 на 736,09 доллара (Purchase ID 2009829958247). В разделах Ship To и Bill To стояли «Confirmed Order», «Helpline 808 232 6397» и «Call Our Sales Team». Цель - не клик по ссылке, а звонок: дальше злоумышленник ведёт разговор о срочном возврате, оплате или удалённой помощи.
Talos связывает это с общей проблемой: за год она зафиксировала злоупотребление более чем 25 легитимными платформами - совместной работы, продуктивности, файлообмена, опросов, платежей и ИИ. Издание уже разбирало похожие случаи со злоупотреблением уведомлениями GitHub и Jira, а также сочетание регистрационного бомбинга со звонками в Microsoft Teams.
Ещё два вектора - бомбинг списков и злоупотребление уведомлениями о недоставке. В первом вредоносную строку вставляют в поля имени, компании или названия проекта, и платформа сама рассылает приманку в приветственных и уведомительных шаблонах. Во втором административное уведомление DSN содержит фишинговую приманку, замаскированную под передачу файлов WeTransfer.
Вывод Talos: аутентификация отправителя не равна доверию к содержимому. Проверять нужно отрендеренный текст, поля транзакций и соответствие письма истории заказа, а телефон, ссылки и срочность в полях заказа считать красным флагом.
