Do mé poštovní schránky dorazila zpráva s předmětem Important: Your Skrill (Moneybookers) account has been locked. Grafika odpovídala novému vzhledu známé internetové peněženky. Po přečtení prvních řádků jsem se dozvěděl, že se mi nepodařilo přijmout nové obchodní podmínky a musím tak do určeného data učinit. Až dosud jsem obsahu emailu skutečně věřil, především také proto, že vymyšlený důvod opětovného zadání údajů byl vcelku uvěřitelný. Zpráva rovněž automaticky nezapadla do SPAMu. Používám přitom Gmail, který v podobných případech až dosud vždy promptně zareagoval. Cíl odesílatele jsem odhalil až po najetí na odkaz Accept changes. Uvedená URL totiž vedla na server mediasport.info a obsahovala termíny jako wp-admin a wp-includes, což jsou jasné známky open source publikačního systému WordPress, na němž například běží i tento web. Pokud by však odkaz mířil na nějakou uvěřitelnější adresu, patrně bych minimálně své přihlašovací jméno a heslo vyplnil. Během zadávání adresy, čísla platební karty a dalších údajů by mě však patrně formulář zarazil. Stačí zkrátka chvilka nepozornosti a útočník se dozví velmi citlivé informace.

Uvěřitelná historka

Hlavní důvod, proč jsem věrohodnost emailu nezavrhl okamžitě, vidím v dobře promyšleném důvodu přikazujícím opětovné potvrzení účtu. Žádné vysoké platby známé z jiných phishingových zpráv, ale pouhé odsouhlasení obchodních podmínek. Firma Moneybookers navíc skutečně změnila svoji podobu a nyní vystupuje pod značkou Skrill.

Jak odhalit falešné sdělení

Při bližším pohledu na obdrženou zprávu zjistíme, že autor popisovaného útoku si s přípravou detailně nepohrál. Již samotný email totiž poukazuje na nenaplněné standardy. V sekci nadepsané Is this email from Skrill (Moneybookers) se dozvídáme, že vždy máme očekávat oslovení jménem a příjmením. Namísto toho zde vidíme pouze emailovou adresu. Cílová stránka na serveru mediafire.info sice zachovává vzhled služby Skrill, ale jasně varuje, že v adresovém řádku webového prohlížeče musíme spatřit https://www.moneybookers.com. V těle zprávy mě dále překvapil odkaz na webovou verzi emailu. Ten sice vedl na Skrill, načetl se však zcela odlišný text. Útočník ho patrně jen poupravil dle svých potřeb a vzhled zachoval.