黑客劫持PayPal系统发送极为逼真的诈骗邮件

最近有一种骗局正在针对PayPal用户，通过发送伪造的电子邮件，这些邮件看起来似乎来自PayPal的官方地址”service@paypal.com”

这个骗局最令人担忧的部分就是攻击者使用了合法的PayPal电子邮件。正如福布斯所指出的，由于这些信息得到了正确的验证，它们能绕过安全过滤器和垃圾邮件防护措施。

这使得收件人更可能信任这封邮件并按照指示行事，最终让骗子们获得他们的PayPal账户的访问权限。

新的PayPal钓鱼技术能绕过所有过滤器？
由u/prometheus_0day 在骗局中发布

这个骗局最初是由Bleeping Computer报道的，它使用这些电子邮件声称已经在一个账户中添加了新的送货地址，并包含了关于一项所谓的购买信息，比如一台售价为$1098.95的MacBook M4 Max 1 TB。

电子邮件敦促收件人如果他们没有授权这个变动，就打电话到提供的电话号码。研究人员解释说，骗子们利用了PayPal的”礼品地址”功能，该功能允许用户在他们的账户中添加多个送货地址。

通过在地址栏中插入欺诈性信息，他们触发了PayPal向他们自己的电子邮件地址发送合法的确认邮件。

这些邮件随后被转发到更广泛的目标列表，使得似乎PayPal直接与他们联系。由于这些邮件来自PayPal的服务器，它们经常绕过垃圾邮件过滤器，对收件人来说看起来非常真实。

主要目的是使收件人警觉，让他们相信他们的帐户已被盗用。该电子邮件引导他们拨打一个假的客户支持电话。当受害人打来电话时，假冒PayPal代表的骗子会指示他们下载软件，假装是为了解决问题。

这个软件让骗子能远程访问受害者的电脑，从而窃取个人信息，安装恶意程序，或访问财务帐户。

为了防范此类诈骗，研究人员建议用户应通过官方网站或应用程序直接登录自己的PayPal账户，以验证账户变动，而不是使用来自可疑邮件的联系方式。

即使一封邮件看起来合法，除非确认其真实性，否则不应打开链接和附件。

研究人员解释说，网络钓鱼尝试的常见警示信号包括像“亲爱的用户”这样的通用问候，急切要求立即采取行动，或者提示不认识的交易通知。

任何可疑的通讯都应该在删除之前转发至phishing@paypal.com。

这次安全事故发生之际，PayPal的网络安全实践正面临越来越多的审查。在另一起案件中，该公司因未能阻止2022年底的一次数据泄露，被纽约金融服务部门罚款200万美元。

这次持续七周的泄露，由于PayPal未能实施多因素认证和CAPTCHA，导致敏感的客户信息，包括社会安全号码，被暴露。

该公司已通过强制多因素认证和实施更严格的登录协议来加强其安全措施。

据Bleeping Computer报道，PayPal已经承认了这个新的诈骗问题，并据报道正在采取措施防止他们的系统被滥用。同时，建议用户保持警惕并积极保护自己的账户。