Email PayPal gắn mác 'đã xác minh' vẫn có thể là cú lừa: Trải nghiệm thực tế và cách nhận biết

Một cái nhìn sâu hơn về email lừa đảo

Nhưng nếu bạn không có thời gian, thì đây là ý chính của nó:

• Kẻ tấn công tạo tài khoản PayPal với mục đích rõ ràng là lừa đảo mọi người.
• Kẻ tấn công thêm người dùng thứ cấp hoặc địa chỉ mới vào tài khoản, nhưng thay vì nhập tên người dùng hoặc địa chỉ thực tế, chúng chèn một thông báo về cách bạn cần gọi PayPal (với số điện thoại không có thật) về hoạt động.
• Sau đó, kẻ tấn công chặn email mà PayPal gửi cho hoạt động này và truyền lại cho các nạn nhân tiềm năng khai thác một lỗ hổng đã biết trong cách xác thực email hoạt động.

Nói cách khác, mặc dù việc thay đổi địa chỉ hợp pháp sẽ nhắc nhở một email có nội dung “Địa chỉ được cập nhật: 123 Main Street,” nhưng những kẻ lừa đảo này đang chặn và tạo các tin nhắn được PayPal xác minh dọc theo dòng “Địa chỉ được cập nhật: Để đảm bảo tính bảo mật cho tài khoản của bạn, hãy gọi PayPal theo số điện thoại (số điện thoại của kẻ lừa đảo đi vào đây).”

Email kết quả đến từ một địa chỉ email PayPal thực và có cơ hội cao để vượt qua các bộ lọc spam, nhưng thông điệp bên trong là hoàn toàn không có thật. Nếu bạn gọi đến số hỗ trợ khách hàng giả mạo, kẻ tấn công sẽ khuyến khích bạn cài đặt phần mềm máy tính từ xa, phần mềm mà họ sẽ sử dụng để chiếm lấy máy tính của bạn và tàn phá mọi loại.

Nơi mà sự khôn ngoan thông thường đi sai

Tôi không rõ tại sao PayPal lại cho phép điều này. Nếu người dùng PayPal muốn thêm một địa chỉ hoặc hồ sơ người dùng khác vào tài khoản của họ, bạn nghĩ rằng sẽ có một số giới hạn ký tự hoặc kiểm tra địa chỉ để ngăn những kẻ gửi thư rác chèn tin nhắn nhiều câu giả vào vị trí của chúng. (PayPal đã không trả lời một số yêu cầu bình luận.)

Nhưng đó cũng là bên cạnh điểm rộng hơn, đó là lời khuyên thông thường để phát hiện lừa đảo lừa đảo có thể không phải lúc nào cũng được áp dụng.

Ví dụ, Microsoft cho biết bạn có thể phát hiện email lừa đảo bằng cách tìm kiếm địa chỉ email không chính xác hoặc các liên kết đáng ng. Lời khuyên đó sẽ không giúp ích gì ở đây. Ngay cả khi tôi thực hiện thêm bước kiểm tra tiêu đề email, Gmail đã báo cáo không có vấn đề gì với xác thực DKIM hoặc DMARC của thư. Trên thực tế, đó là một email PayPal đã được xác minh.

Những gì bạn có thể làm về nó

May mắn thay, rất nhiều lời khuyên phổ biến khác về việc phát hiện và tránh lừa đảo qua email vẫn được áp dụng trong mọi tình huống:

Giả sử đó là một trò lừa đảo: Thật tự nhiên khi hoảng sợ khi bạn nhận được tin nhắn về hoạt động bất ngờ trên tài khoản của mình và điều này có thể dẫn đến những hành động và sai lầm hấp tấp. Đối với bất kỳ email hoặc tin nhắn văn bản nào liên quan đến tài khoản, tư thế mặc định của bạn sẽ bị nghi ngờ.

Điều tra số hỗ trợ giả mạo: Khi tôi tìm kiếm trên web số điện thoại trong email PayPal lừa đảo, tôi tìm thấy nó trên Trang web theo dõi lừa đảo của Better Business Bureau, báo cáo về loại email không có thật chính xác mà tôi đã nhận được.

Khi nghi ngờ, hãy truy cập trang web thực theo cách thủ công: Đừng gọi số hoặc nhấp vào nút đăng nhập trong email đáng ng. Thay vào đó, hãy nhập URL trang web của công ty trực tiếp vào thanh địa chỉ của bạn hoặc tra cứu số hỗ trợ khách hàng chính thức của nó. (Hãy cẩn thận khi tìm kiếm trên Google số hỗ trợ có thể dẫn đến nhiều lừa đảo hơn.)

Tìm kiếm các dấu hiệu cảnh báo khác: Trong trường hợp của tôi, email PayPal có một loạt các dấu hiệu đáng ngờ khác:

• Ngữ pháp kỳ lạ, như thế này: “Nếu ổn, bạn có thể bỏ qua. Hóa đơn chờ xử lý tự động được chấp nhận từ tài khoản này.”
• Địa chỉ email “to” không được nhận dạng: Trong khi email đến từ PayPal, nó đã được giải quyết đến một “receipt3” tại miền mà tôi không nhận ra.
• Lời chào chung chung: Trớ trêu thay, chân trang email của PayPal bao gồm một ghi chú cho biết “Email từ PayPal sẽ luôn chứa tên đầy đủ của bạn,” nhưng cái này thì không. (Một số âm mưu lừa đảo nên bao gồm thông tin cá nhân lượm lặt từ dark web, nhưng các thông điệp chung chung thậm chí còn có nhiều khả năng là lừa đảo.)

Nhận ý kiến thứ hai: Một cách sử dụng gọn gàng các công cụ AI như ChatGPT là đăng ảnh chụp màn hình của một email đáng ngờ và hỏi xem nó có hợp pháp không. Bot AI có thể sẽ tiếp nhận tất cả các yếu tố trên và xác nhận rằng đó là một trò lừa đảo.

Hít thở: Email lừa đảo có xu hướng khuyến khích hành động ngay lập tức với hy vọng gây ra phản ứng hoảng loạn. Lời khuyên chính của tôi ở đây là dừng lại, hít thở, thu thập suy nghĩ của bạn và không bao giờ hành động theo sự thúc đẩy. (Ngay cả những chuyên gia bảo mật giàu kinh nghiệm nhất cũng có thể đôi khi không làm được điều này.) Nếu tôi đã không mất một nhịp để suy nghĩ về nó, email PayPal này có thể đã nhận được tôi.