Phishing, das schien legitim: so nutzen sie Metadaten von Geräten zu HTML in hochkonten E-Mails

Am Morgen nach der Manipulation erhielten Hunderte von Robinhood-Kunden eine E-Mail, die auf den ersten Blick eine legitime Anmeldewarnung schien: Noreply @ robinhood.com, bestanden die SPF- und DKIM-Checks und zeigte Daten wie Zeit, IP und Teiltelefon. In der gleichen Nachricht war jedoch ein HTML-Block eingebettet worden, um eine "Unerkannte Geräte" Anzeige mit einer Schaltfläche zu simulieren, die zu einer Phishing-Website führte. Robinhood bestätigte, dass es sich um einen Missbrauch des Kontoaufbaus handelte und dass es keine direkten Daten von Datenbanken oder Zugriff auf Gelder gab und dass sie das missbrauchte Feld bereits aus der Registrierungsmail entfernten ( Robinhood's X Statement)

Die von den Angreifern verwendete Technik war einfach in ihrer Konzeption und gefährlich in ihrer Wirksamkeit: Sie nutzten, dass das System während der Kontoerstellung "Geräte" Metadaten erfasste und dass diese Metadaten nicht ordnungsgemäß gereinigt wurden, bevor sie in den Postkörper aufgenommen wurden. Durch das Senden von HTML eingebettet in diesem Bereich, sie haben legitime Mail, um bösartige Inhalte zu machen. Darüber hinaus nutzten sie Mailinglisten auf den Märkten und die Alias-Funktion mit Gmail-Punkten, um neue Konten zu erstellen, die diese Bestätigungen an echte Opfer liefern würden. Diese Art von Missbrauch zeigt, dass Die Authentizität des Absenders reicht nicht aus, um die Sicherheit der Nachricht zu bestätigen.

Über den Punktvorfall hinaus ist die technische Lektion klar: alle Daten, die von einem Benutzer möglicherweise kontrolliert werden, sollten als feindlich behandelt werden. Die fehlende Reinigung von Einträgen in Postvorlagen erlaubte die Ausführung von HTML in einem Kontext mit hohem Vertrauen. Organisationen, die Transaktions-E-Mails generieren, sollten ihre Vorlagen überprüfen, das Rendern von HTML aus externen Feldern eliminieren und Maßnahmen ergreifen, um zu verhindern, dass Geräte-Metadaten oder Standorte Injektionsvektoren werden. Um die Art dieser Risiken zu verstehen, ist es angebracht, etablierte Richtlinien für die Injektion und XSS, wie die von OWASP ( OWASP über XSS)

Für Anwender sind praktische Empfehlungen sofort und einfach: Klicken Sie nicht auf verdächtige Mail-Links; entfernen Sie sie und überprüfen Sie jede Warnung innerhalb der offiziellen Anwendung oder im Web, indem Sie die Adresse manuell eingeben. Aktivieren Sie die Authentifizierung von zwei Faktoren, vorzugsweise mit physikalischen Tasten oder Authentifizierungs-Anwendungen statt SMS, überprüfen Sie die Kontoaktivität von der App und ändern Sie das Passwort, wenn es Zweifel gibt. Wenn Sie die betrügerische Post erhalten haben, melden Sie sie Robinhood über offizielle Kanäle und überprüfen Sie, ob Ihre Adresse in historischen Lücken aufgeführt ist (das Unternehmen hatte eine Massenexposition im Jahr 2021, die noch in den Datenmärkten vorhanden ist), und betrachten Sie die Bonitätsüberwachung, wenn Sie sensible Daten außerhalb der Plattform teilen.

Unternehmen müssen sich über die Meinung von "wir haben die E-Mails unterzeichnet" und Schichtkontrollen anwenden: strenge DMARC-Richtlinien mit Ausrichtung, Sanitation und Flucht aus jedem Eintrag in Vorlagen, Begrenzung der massiven Kontoerstellung nach Herkunft, Erkennung von abnormen Mustern in High-Device und periodische Revisionen der Logik, die Metadaten in sichtbare Inhalte transformiert. Es wird auch empfohlen, dass Produkt- und Sicherheitsausrüstungstest an Bord mit Bedrohungsmodellen und Missbrauchsübungen fließt, um diese schlechten Verwendungen zu antizipieren.

Diese Episode ist eine Erinnerung, dass das Vertrauen in den E-Mail-Kanal zerbrechlich ist und dass die Angreifer versuchen, legitime Prozesse in ihr Gateway zu konvertieren. Die Kombination von technischen Kontrollen, bewährten Entwicklungspraktiken und sicheren Gewohnheiten durch den Benutzer ist die einzige Möglichkeit, den Erfolg dieser Wahnvorstellungen zu reduzieren.. Um Beispiele und öffentliche Betrügereien zu sehen, können Sie den Thread sehen, in dem Nutzer die Erfassung und Analyse in Reddit teilten ( Diskussionen in Reddit), und folgen Sie den offiziellen Empfehlungen der Plattform in ihren Kommuniqués.