Изследовател откри фишинг имейл, който заобикаля спам филтрите на Gmail

Изследователят Джеймс Вон казва, че е открил необичаен измамнически имейл, който е заобиколил спам филтъра на Gmail. Имитира акаунт в PayPal.

На пръв поглед писмото изглеждало законно. В него имало фактура от продавач за 300 евро. Съобщението също гласи: „Не разпознавате продавача? Бързо ни уведомете +1(888) XXX-XXXX”, но не с ASCII знаци, вероятно за да се избегне автоматичното откриване на спам.

Освен това в полето „До“ адресът не бил на потребителя, а на някой друг.

В резултат на това изследователят задава следните въпроси: Как писмото се озовава в пощенската кутия? Как може да има легитимно поле „подписано от: paypal.com“ в потребителския интерфейс на Gmail? Защо Gmail не е проследил това като спам? Ако това е истински PayPal акаунт и те имат имейл адрес, тогава защо имейлът не е изпратен директно?

След като анализира съобщението, Вон установил, че измамникът е използвал поне три техники за заобикаляне на филтрите за нежелана поща: имейл адрес в полето „До“, домейн в полето „Подател“ и  акаунт в PayPal с име, зададено като “Не разпознавате продавача? Бързо ни уведомете +1 (888) XXX-XXXX.“

Най-вероятно участниците в кампанията са си изпратили фактура от PayPal и след това са създали имейл, който да препратят на Вон, използвайки текста, който са получили. Трябвало е да оставят тялото на писмото непроменено, за да се включат заглавките, подписани от paypal.

Изследователят обаче все пак е останал изненадан защо спам филтърът на Gmail не е открил подозрителния имейл. Той очаква, че за популярни компании услугата ще има твърдо кодирано правило, което ще маркира имейлите като спам, ако са подписани от PayPal, но са изпратени от неразпознат домейн. Самата PayPal вече се опитва да забрани на продавачите да включват телефонни номера в имената си.

Вон смята, че хакерът не му е изпратил имейла директно, защото е щял да покаже истинския си акаунт в PayPal, където би било по-лесно да бъде разпознат като измамнически.