Pod powierzchnią: Oszustwo polegające na wysyłaniu powiadomień e-mail na LinkedIn

Nie to, co się wydaje

Oszustwo „LinkedIn Message Notification” to oszukańcza próba phishingu zamaskowana jako okazja zawodowa. Wiadomość przychodzi pocztą elektroniczną i jest stylizowana tak, aby przypominała oficjalną wiadomość z LinkedIn, znanej platformy do profesjonalnego networkingu. Temat zwykle sugeruje zapytanie biznesowe, takie jak prośba o zakup produktów od firmy odbiorcy, wzbudzając ciekawość i poczucie pilności.

Jednak pomimo swojego wypolerowanego wyglądu, ten e-mail nie ma żadnego związku z LinkedIn ani żadnym legalnym biznesem. Zamiast tego jest to sprytnie skonstruowana pułapka zaprojektowana w celu kradzieży poufnych danych logowania za pośrednictwem fałszywej strony logowania do poczty e-mail.

Co się dzieje po kliknięciu

W treści fałszywej wiadomości użytkownicy są proszeni o sprawdzenie rzekomej wiadomości LinkedIn poprzez kliknięcie łącza. Jednak łącze to nie kieruje do LinkedIn. Zamiast tego otwiera stronę phishingową, która imituje ekran logowania do poczty e-mail. Strona może nawet wyświetlać branding usług takich jak Zoho, aby jeszcze bardziej zamaskować jej oszukańczy charakter.

Gdy użytkownik wprowadzi swoje dane uwierzytelniające, informacje są natychmiast wysyłane do oszustów. Mając dostęp do Twojej skrzynki odbiorczej, ci atakujący mogą przeszukiwać przechowywane wiadomości e-mail, resetować hasła do połączonych kont i wykorzystywać Twoją tożsamość na różne sposoby.

Oto treść fałszywej wiadomości:

Subject: XXXXXXX - New Message Notification

LinkedIn New Message Notification

Dear Sir/Ma'am,
you've got a message from German Skillet Int'l (Contact Us), details as below:

Sender Name Mr Eduardo

Receiver Email XXXXXXX

whatsapp +34 56** 32** ****

Message Good day,Would like to know more about your product and also your payment terms.

Can you ship to Spain for some urgent trial order?

IP: 85.136.16.76

Country/Region: Spain

Reply Immediately

Poza skrzynką odbiorczą: kaskada konsekwencji

Konta e-mail często służą jako bramy do szeregu usług osobistych i zawodowych. Gdy oszust uzyska dostęp, może szybko zmienić kierunek — atakując profile w mediach społecznościowych, przechowywanie w chmurze, bankowość internetową i inne. Mogą podszywać się pod ofiarę, aby prosić o pieniądze, promować oszustwa lub rozprzestrzeniać złośliwe oprogramowanie za pomocą przekonujących wiadomości.

Ryzyko na tym się nie kończy. Przejęte konta powiązane z platformami finansowymi mogą być wykorzystywane do dokonywania nieautoryzowanych zakupów lub inicjowania przelewów pieniężnych. W ciągu kilku minut pojedyncza wpadka może doprowadzić do rozległych szkód w wielu usługach.

Jak to oszustwo wpisuje się w szerszy schemat

E-mail „LinkedIn Message Notification” to tylko jeden przypadek w długiej serii schematów phishingu. Inne mogą twierdzić, że oferują zwroty pieniędzy, ostrzegają użytkowników o problemach z bezpieczeństwem konta lub zapowiadają nieoczekiwane nagrody lub dziedziczenie. Wszystkie one mają wspólną strategię opartą na oszustwie: tworzą pilność lub okazję, a następnie oszukują użytkowników, aby podali poufne informacje.

Choć szczegóły zmieniają się w zależności od kampanii, podstawowy cel jest niezmienny — uzyskać dostęp, wykorzystać ofiarę i działać dalej, zanim naruszenie zostanie wykryte.

Jak oszuści wprowadzają swoje oszustwa

Te oszustwa są zazwyczaj dostarczane za pośrednictwem wiadomości spamowych, ale nie ograniczają się do skrzynki odbiorczej. Podobne linki phishingowe można znaleźć w wiadomościach w mediach społecznościowych, wiadomościach bezpośrednich na forach, a nawet wiadomościach tekstowych (SMS). Wiadomości e-mail są często generowane masowo i dystrybuowane za pośrednictwem zainfekowanych serwerów lub nieuczciwych sieci reklamowych.

Im bardziej przekonujący jest e-mail lub wiadomość, tym większe prawdopodobieństwo, że odniesie sukces. Oszuści często naśladują ton, układ i markę zaufanych firm, aby obniżyć czujność użytkowników.

Malware i phishing: niebezpieczny duet

Oszustwa phishingowe są ściśle powiązane z dystrybucją złośliwego oprogramowania. Często wiadomości spamowe zawierają załączniki lub linki, które po otwarciu inicjują infekcje. Załączniki te mogą być zamaskowane jako faktury, raporty lub inne dokumenty biznesowe w formatach takich jak PDF, DOCX, ZIP, a nawet pliki wykonywalne.

W niektórych przypadkach użytkownicy muszą włączyć makra lub kliknąć osadzone łącza, aby złośliwe oprogramowanie się aktywowało — dodając kolejną warstwę oszustwa. Jeśli się powiedzie, złośliwe oprogramowanie może ukraść dane, zainstalować oprogramowanie szpiegujące lub otworzyć tylne drzwi do dalszych ataków.

Najlepsze praktyki zapewniające bezpieczeństwo

Unikanie oszustw, takich jak powiadomienie o wiadomościach LinkedIn phishing e-mail, wymaga połączenia czujności i dobrej higieny cyfrowej. Oto kilka prostych praktyk, które pomogą Ci zachować bezpieczeństwo Twoich kont:

• Zweryfikuj nadawcę przed kliknięciem jakichkolwiek linków. Oficjalne wiadomości z LinkedIn będą pochodzić z zaufanych domen.
• Najedź kursorem na linki , aby sprawdzić ich prawdziwe miejsce docelowe. Jeśli nie zgadza się z domeną serwisu LinkedIn, nie klikaj.
• Używaj uwierzytelniania dwuskładnikowego (2FA) na wszystkich ważnych kontach. Nawet jeśli dane uwierzytelniające zostaną skradzione, 2FA dodaje dodatkową warstwę ochrony.
• Zachowaj ostrożność w przypadku pilnych lub nieoczekiwanych wiadomości — zwłaszcza tych, które proszą Cię o zalogowanie się, zresetowanie hasła lub wyświetlenie poufnych informacji.
• Pobieraj załączniki i oprogramowanie wyłącznie ze znanych i sprawdzonych źródeł.

Ostatnie myśli

Oszustwo „LinkedIn Message Notification” przypomina nam, jak łatwo można manipulować zaufaniem w cyfrowym świecie. Te ataki nie polegają na skomplikowanym hakowaniu — wykorzystują naturę ludzką: ciekawość, ambicję i rutynę.

Pozostawanie poinformowanym i ostrożnym to najskuteczniejszy sposób na przechytrzenie schematów phishingu. Kwestionując nieznane monity i poświęcając czas na weryfikację przed kliknięciem, stawiasz barierę między swoimi informacjami a tymi, którzy próbują je przejąć. Ostatecznie bezpieczeństwo cyfrowe zaczyna się od świadomości.