Están manipulando correos electrónicos legítimos de pedidos de Dell y Staples para hacer que sus alertas de compras falsas parezcan creíbles. En lugar de falsificar el mensaje, insertan instrucciones fraudulentas dentro de los detalles del pedido enviados por sistemas de confianza, dirigiendo a las víctimas hacia números de teléfono controlados por los atacantes mediante la descripción de compras costosas no reconocidas.

Abusando de correos electrónicos de pedidos reales de Dell y Staples para que las alertas de compra falsas parezcan creíbles. En lugar de enviar un mensaje falsificado, colocan instrucciones de estafa dentro de los detalles del pedido que los sistemas de venta minorista de confianza entregan, dirigiendo a los destinatarios hacia números de teléfono controlados por los atacantes.

Los correos describen compras costosas que es posible que tú no reconozcas. Su objetivo es hacer que alguien llame a una supuesta línea de soporte para cancelar el pedido.

El remitente y el diseño del correo pueden parecer genuinos porque el mensaje viaja a través del sistema de notificación del minorista, aunque partes de su contenido sirvan para la estafa.

Investigadores de Cisco Talos identificaron dos campañas que involucran aproximadamente 1,400 mensajes, según un informe del 21 de octubre de Diana Brown.

Los hallazgos describen phishing y fraude basado en llamadas telefónicas, no una infección confirmada de malware. Talos también observó el abuso de más de 25 plataformas legítimas durante el último año en diversas categorías de servicios.

Están utilizando correos reales de Dell y Staples

La muestra de Staples presentaba la compra de un Apple iPad con un número de pedido, detalles de entrega, precios, información de facturación y el pie de página estándar del minorista.

Las instrucciones sospechosas aparecían dentro de campos utilizados normalmente para datos de envío o facturación. Estafas similares de notificaciones de Microsoft Teams han utilizado mensajes de confianza para dirigir a los destinatarios hacia llamadas de soporte fraudulentas, demostrando cómo una marca familiar puede ocultar instrucciones peligrosas.

El ejemplo de Dell siguió el mismo patrón. Describía una compra de Microsoft Project Standard 2024 con un coste de 736,09 $.

Sus secciones de envío y facturación contenían redacción de confirmación de pedido y una supuesta línea de ayuda, haciendo que el número de teléfono pareciera conectado a un proceso de ventas establecido en lugar de a un estafador externo.

Ninguno de los ejemplos dependía de persuadir al destinatario para que abriera un enlace de phishing obvio. El siguiente paso previsto era una llamada telefónica.

Una vez que el contacto se trasladaba fuera del correo electrónico, los atacantes podían intentar fraudes de pago, robo de contraseñas o estafas de asistencia remota. Talos no estableció qué acciones posteriores ocurrieron en estas dos campañas.

El mensaje de Staples mostraba una autenticación DKIM alineada y pasaba las comprobaciones DMARC. La infraestructura relacionada con Dell también pasaba DKIM, mientras que su dominio de pedidos pasaba DMARC.

Estos resultados respaldaban el origen aparente de los mensajes, pero no probaban que los detalles de la compra o las instrucciones de soporte integradas fueran genuinos.

Esto refleja la misma debilidad vista en las notificaciones de GitHub y Jira, donde los atacantes colocan contenido dañino dentro de campos que los servicios legítimos incluyen posteriormente en correos electrónicos automatizados.

Por qué la autenticación de correo electrónico no demostró seguridad

Talos llama a esto abuso de "plataforma como proxy": el atacante suministra el contenido engañoso mientras un servicio de confianza se encarga de la entrega. La distinción es importante para la seguridad del correo electrónico. SPF, DKIM y DMARC ayudan a establecer si la infraestructura de envío es la esperada.

No deciden si un campo de envío debe contener instrucciones de cancelación, si una compra tiene sentido o si un número de teléfono listado pertenece al minorista.

Talos también describió el abuso de registro, donde los atacantes introducen texto de estafa en los campos de nombre, empresa o proyecto. Los mensajes de bienvenida automatizados repiten entonces ese texto a los destinatarios.

En algunos casos, el "bombardeo de listas" se convierte en algo más que una interrupción de la bandeja de entrada: los propios correos de registro legítimos se convierten en portadores de mensajes controlados por el atacante.

Estafas relacionadas de soporte mediante bombardeo de correos muestran cómo la confusión en la bandeja de entrada puede apoyar la ingeniería social, aunque esa actividad separada no debe tratarse como evidencia de los mismos operadores.

Talos encontró además un señuelo con temática de WeTransfer dentro de una notificación de fallo de entrega, extendiendo el problema al contenido de correos devueltos.

Talos recomienda revisar los campos controlados por el usuario antes de almacenarlos y nuevamente antes de generar correos electrónicos. Los números de teléfono inesperados, los enlaces, el lenguaje urgente y las instrucciones de soporte deberían activar una revisión cuando aparezcan en campos de dirección o nombre.

Las pasarelas de seguridad deben inspeccionar los mensajes completos, incluido el contenido anidado dentro de los informes de entrega, en lugar de confiar únicamente en el remitente externo.

Fuentes:
https://cybersecuritynews.com/hackers-are-using-real-dell/