Pas op voor de slimme "New Device Signed in Your Stripe" Phishing Scam
Over het algemeen discrimineren cybercriminelen niet bij het kiezen van doelen. Tussen degenen die gespecialiseerd zijn in afpersing van bedrijven of liever brutale bedrijven, overheidsinstellingen of DDOS-aanvallen misbruiken, en degenen die particulieren proberen te ontslaan van hun geld met social engineering, hebben hackers over het algemeen vrijwel alle bases gedekt als het gaat om doelen. Het valt echter niet te ontkennen dat sommige doelen meer de voorkeur lijken te hebben dan andere - en betalingsverwerkers lijken daar een van te zijn. Voorbeeld: phishing-pogingen die gericht zijn op potentiële Stripe-gebruikers zijn zo gewoon geworden dat Stripe zelf is gedwongen om een gids op te nemen over hoe ze NIET op hun eigen website kunnen phishing.
En om eerlijk te zijn, er is eigenlijk een heel goede reden waarom het bedrijf dit doet - er zijn het afgelopen jaar minstens drie enorme phishing-campagnes van behoorlijk hoge mate van verfijning gericht op potentiële stripe-gebruikers. Ze hadden allemaal een aantal behoorlijk legitiem ogende e-mailberichten, waarin de gebruiker werd aangespoord om zijn inloggegevens te bevestigen, anders zou er iets ongewenst met zijn account gebeuren. Die e-mails bevatten onduidelijke links naar tamelijk legitiem ogende bestemmingspagina's die waren ontworpen om de inloggegevens van de gebruiker te verzamelen en deze in de vuile handen van de cybercriminelen te deponeren.
De hackers toonden op dit punt een indrukwekkend niveau van verfijning, vooral in deze nieuwste campagne die begin maart 2020 e-mails ontving. Ja, je kunt gemakkelijk het verschil zien tussen de bestemmingspagina en de legitieme Stripe-inlogpagina wanneer je ze naast elkaar vergelijkt , maar de nep is meer dan goed genoeg om zelfs verdachte gebruikers te misleiden. Het is goed opgemaakt, gebruikt de juiste lettertypen en bevat hyperlinks en disclaimers. Alleen de kleuren en verhoudingen van sommige knoppen zijn een beetje afwijkend, maar dat kan gemakkelijk worden verklaard met subtiele ontwerpwijzigingen, en het is het soort dingen dat bedrijven de hele tijd doen.
Er kunnen extra lagen van social engineering worden toegevoegd om de beoogde gebruiker te misleiden - bijvoorbeeld, een phishing-pagina leidde de gebruiker door naar de eigenlijke Stripe-website, nadat de gebruiker zijn inloggegevens had ingevoerd, om niet het vermoeden te wekken dat er iets mis was.
Om een lang verhaal kort te maken: de verfijning van de hacker heeft al een niveau bereikt dat hoog genoeg is om zelfs verdachte gebruikers af te schrikken. Dus wat kan van een gebruiker worden verwacht om te voorkomen dat zijn belangrijke financiële informatie wordt gestolen? Wat zijn de beste praktijken die ze kunnen volgen om te voorkomen dat ze het slachtoffer worden van een phishing-zwendel, zoals die gericht is op Stripe-gebruikers?
Controleer het webadres
Er zijn veel dingen die fraudeurs kunnen doen om hun valse e-mails een legitieme sfeer te geven - gebruik goede grammatica en de juiste logo's, formatteer de e-mails op een legitieme manier, gebruik zelfs persoonlijke informatie over het doelwit dat ergens anders is verkregen, verdoezelde links, enz. Er is echter een ding dat een dode weggeefactie is dat de e-mail frauduleus is waar ze niets aan kunnen doen - en dat is de bron van de e-mail. Alle fatsoenlijke e-mailclients bieden de gebruiker een bron voor de communicatie - en als die bron verdacht is, dan is de e-mail vrijwel zeker een poging tot phishing of een ander type aanval. Zoals Stripe het zelf op hun officiële pagina plaatste: "Verwijst het naar een pagina op stripe.com?" Zo niet, negeer het dan. Beter nog - verwijder het, zodat u er later niet per ongeluk op klikt.
Klik niet op links
Wanneer u via een e-mail wordt gewaarschuwd dat u iets moet doen, klikt u niet op de daarin opgenomen link. Neem in plaats daarvan de tijd om daadwerkelijk naar het platform te gaan dat beweert het bericht naar u te hebben verzonden en de dingen zelf te bekijken. Ga naar je bladwijzer of typ het juiste adres in en log op die manier in op je account. Tenzij u de e-mail zojuist hebt opgevraagd (bijvoorbeeld om een vergeten wachtwoord te wijzigen), moet u alle links in een e-mail met de meeste argwaan behandelen. Controleer altijd waar ze beweren te leiden, en als je iets ongewoons tegenkomt, gooi de e-mail dan weg.
