L’email di phishing Webmail HostingServer has automatically updated “” finge di essere un avviso di sicurezza riguardante il server di hosting web del destinatario. Afferma che una nuova protezione antivirus è stata installata automaticamente e chiede al destinatario di verificare la propria identità per mantenere attivo il proprio account email. In realtà, non esiste un aggiornamento antivirus che richieda conferma. L’email viene usata per rubare le credenziali di accesso della webmail.
L’oggetto contiene le informazioni del destinatario seguite da “Conferma il tuo accesso.” All’interno, l’email si identifica come proveniente da “Webmail HostingServer” e indica che il server di hosting web del destinatario è stato aggiornato con l’ultima versione di un prodotto antivirus chiamato “WHM Antivirus.”
Ai destinatari viene poi detto che devono dimostrare di essere umani affinché la loro email rimanga “attiva e sicura” sul server. Per completare presumibilmente questo controllo, l’email chiede loro di selezionare “Non sono un Robot.”
Questo non effettua un controllo di sicurezza né conferma nulla con il provider di hosting del destinatario. Al suo posto si apre una falsa pagina “Accesso Webmail”. L’indirizzo email del destinatario è già compilato, lasciandogli solo la password. Qualsiasi cosa inserita nel modulo viene inviata ai truffatori.
La pagina di phishing mostra anche un avviso “Connessione SSL Sicura”. Questo serve a rassicurare i visitatori che il modulo di accesso è sicuro, ma il testo visualizzato su un sito web non dimostra che la pagina appartenga a un servizio di webmail legittimo.
Il sito che ospita il modulo di login falso sembra essere un sito WordPress legittimo che è stato compromesso. La pagina di phishing è memorizzata all’interno delle sue directory interne, suggerendo che il proprietario del sito non sia coinvolto e che gli aggressori stiano abusando del sito per ospitare i loro contenuti.
I riferimenti a WHM sono un’altra parte dell’inganno. WHM, o Web Host Manager, è un vero prodotto di gestione dell’hosting, ma non ha nulla a che fare con questa email di phishing. I truffatori usano termini di hosting familiari per rendere il presunto aggiornamento antivirus più credibile.
Se la password inserita nella pagina di login falsa è valida, gli aggressori potrebbero accedere alla webmail o all’account di hosting della vittima. Questo può permettere loro di leggere email private, inviare email utilizzando l’account compromesso, accedere ai servizi connessi o usare la cassetta della posta per colpire altre persone con ulteriori email di phishing.
L’email completa di phishing Webmail HostingServer has automatically updated “” è riportata di seguito:
Subject: -, Confirm Your Access
Webmail HostingServer
Your Web HostingServer has automatically updated with our latest Antivirus (WHM Antivirus).In order to keep your email active and safe on the – server we strongly recommend that you confirm you are not a bot machine under –
[I am not a Robot]This email and any files transmitted with it are confidential and intended solely for the use of the individual or entity to whom they are addressed. If you have received this email in error please notify the system administrator.
Come riconoscere l’email di phishing Webmail HostingServer has automatically updated “”
La richiesta di completare un controllo “Non sono un robot” è uno dei dettagli più semplici da mettere in discussione. L’email afferma che la protezione antivirus è già stata installata su un server di hosting, eppure afferma che il destinatario deve dimostrare di essere umano per mantenere attiva la propria email. Queste due cose non hanno una connessione ragionevole.
Un vero aggiornamento antivirus del server non richiederebbe agli utenti di confermare la propria identità tramite un’email imprevista. Se un provider di hosting effettua la manutenzione della sicurezza, gli utenti possono controllare direttamente il proprio account tramite il pannello di controllo dell’hosting o contattare il provider se non sono sicuri se sia necessaria alcuna azione.
Il nome “WHM Antivirus” non dovrebbe far sembrare l’email affidabile. WHM è una tecnologia di hosting legittima, ma i truffatori spesso usano termini tecnici reali per far sembrare convincenti gli avvisi di sicurezza falsi. In questo caso, il riferimento a WHM non prova che l’aggiornamento antivirus esista.
La pagina di login falsa è un altro problema evidente. I destinatari vengono allontanati dal loro normale servizio di webmail e viene richiesta una password su una pagina ospitata tramite un sito web non correlato. Avere l’indirizzo email corretto già compilato non rende il modulo autentico. Queste informazioni possono essere facilmente incluse in un link di phishing prima che venga inviata l’email.
Gli utenti dovrebbero anche ignorare affermazioni come “Connessione SSL Sicura” quando decidono se una pagina di accesso può essere affidabile. Un sito di phishing può mostrare formulazioni legate alla sicurezza con la stessa facilità di qualsiasi altro testo. Anche HTTPS da solo non dimostra che l’organizzazione mostrata su una pagina ne sia effettivamente proprietaria.
Chiunque riceva l’email di phishing Webmail HostingServer has automatically updated dovrebbe evitare di seguirne le istruzioni. Se ci sono preoccupazioni riguardo all’email o all’account di hosting, l’approccio più sicuro è aprire il servizio legittimo in modo indipendente e controllare l’account lì.
Semplicemente leggere l’email non espone la password. Il rischio principale deriva dall’inserimento delle credenziali nel modulo di webmail falso.