De ” Suspicious Sign-In Attempt Blocked ” e-mail is een phishingpoging die bedoeld is om inloggegevens van e-mailaccounts te stelen. Het is vermomd als een beveiligingsmelding die ontvangers informeert dat er zogenaamd een ongeautoriseerde aanmeldpoging is gedetecteerd. De waarschuwing is verzonnen en geeft niet aan dat er daadwerkelijk een poging is gedaan om toegang te krijgen tot het account van de ontvanger.
De e-mail is geobserveerd met de onderwerpregel “Beveiligingsmelding: Nieuwe aanmelding gedetecteerd.” Er wordt beweerd dat iemand heeft geprobeerd toegang te krijgen tot het account van de ontvanger via een onherkenbaar apparaat en locatie. Volgens het bericht is de toegang tot het account tijdelijk beperkt als veiligheidsmaatregel totdat de ontvanger de activiteit bevestigt.
Het bericht maakt het extra urgent door de ontvanger 24 uur te geven om de vermeende verificatie te voltooien. Er wordt gewaarschuwd dat het account tijdelijk kan worden geschorst als er binnen deze periode geen actie wordt ondernomen. Deze deadline maakt deel uit van de phishing-lokkerij en is bedoeld om ontvangers onder druk te zetten de instructies op te volgen zonder zorgvuldig te controleren of de melding echt is.
Om het account zogenaamd te beveiligen, geeft de e-mail een knop met de titel “Beveilig mijn account.” Het klikken op deze knop leidt naar een frauduleuze website in plaats van naar een legitieme accountbeveiligingspagina. De phishingpagina wordt gehost met Google Cloud Storage en imiteert een Roundcube Webmail-inloginterface.
Op de frauduleuze pagina wordt het e-mailadres van de ontvanger al weergegeven in het gebruikersnaamveld. De bezoeker wordt vervolgens gevraagd het bijbehorende wachtwoord in te voeren. Het vooraf invullen van het e-mailadres kan de pagina overtuigender maken, maar dat betekent niet dat de website gekoppeld is aan de e-mailprovider van de ontvanger.
Elk wachtwoord dat op deze pagina wordt ingevoerd, wordt doorgegeven aan de oplichters. De pagina verifieert geen verdachte inlogpoging, verwijdert geen accountbeperking en beveiligt de mailbox niet. Het doel is om de e-mailgegevens van het slachtoffer te verkrijgen.
Als de gestolen inloggegevens geldig zijn, kunnen oplichters ze gebruiken om ongeautoriseerde toegang tot de brievenbus van het slachtoffer te krijgen. Dit kan e-mails en andere informatie blootleggen die via het account toegankelijk is. Een gecompromitteerde mailbox kan ook worden gebruikt om andere accounts die aan hetzelfde e-mailadres gekoppeld zijn te targeten, vooral wanneer e-mail wordt gebruikt voor wachtwoordherstel.
Oplichters kunnen ook een gecompromitteerd e-mailaccount misbruiken om zich voor te doen als de eigenaar bij het contact met anderen. Berichten die vanaf een bekend adres worden verzonden, kunnen geloofwaardiger lijken voor de contacten van de ontvanger.
De volledige phishing-e-mail Suspicious Sign-In Attempt Blocked staat hieronder:
Subject: Security Notice: New Sign-In Detected
Security Alert — Action Required
Suspicious Sign-In Attempt BlockedDear -,
We detected a sign-in attempt to your account from an unrecognized device and location. As a security precaution, access has been temporarily restricted until you verify this activity.
[Secure My Account]Important: If you do not verify within 24 hours, your account will be temporarily suspended to prevent unauthorized access.
Account Security Team – Help Center | Privacy Policy | Unsubscribe
Hoe herken en vermijd je de phishing-mail Suspicious Sign-In Attempt Blocked
Onverwachte accountbeveiligingswaarschuwingen moeten onafhankelijk worden geverifieerd in plaats van via knoppen die in het bericht zijn opgenomen. Als een e-mail meldt dat er een verdachte login heeft plaatsgevonden, kunnen gebruikers via de officiële website of applicatie toegang krijgen tot hun e-maildienst en daar hun account of beveiligingsinformatie bekijken.
De deadline van 24 uur die deze oplichterij gebruikt, is een andere reden om voorzichtig te zijn. Het bericht probeert urgentie te creëren door te beweren dat het account van de ontvanger kan worden geschorst tenzij de verificatie snel wordt afgerond. Deze druk is bedoeld om directe interactie met de phishingpagina aan te moedigen.
De knop “Beveilig mijn account” mag niet worden gebruikt om de waarschuwing te onderzoeken. Waar mogelijk kunnen ontvangers de bestemming inspecteren die aan een knop is gekoppeld voordat ze deze openen. Een inlogpagina die via een ongevraagde beveiligingsmail wordt bereikt, mag niet worden vertrouwd alleen omdat deze lijkt op een vertrouwde Webmail-interface.
In deze campagne imiteert de phishingpagina Roundcube Webmail en toont het e-mailadres van de ontvanger van tevoren. Gebruikers moeten deze vooraf ingevulde informatie niet interpreteren als bewijs dat de pagina legitiem is. De site is ontworpen om het wachtwoord te verkrijgen dat in het inlogformulier is ingevoerd.
De afzender moet ook zorgvuldig worden gecontroleerd. Een beveiligingsthema weergavenaam stelt niet vast wie daadwerkelijk een e-mail heeft verstuurd. Het onderzoeken van het volledige afzenderadres kan inconsistenties aan het licht brengen tussen de geclaimde organisatie en de werkelijke bron van het bericht.
Gebruikers die de ” Suspicious Sign-In Attempt Blocked e-mail” ontvangen zonder inloggegevens in te voeren op de frauduleuze pagina, hebben hun wachtwoord via deze oplichting niet bekendgemaakt. Ze moeten de meegeleverde knop vermijden en het bericht verwijderen.
Als er al een wachtwoord is ingediend via de nep-Roundcube Webmailpagina, moet dit onmiddellijk worden gewijzigd via de legitieme e-maildienst. Hetzelfde zou voor andere accounts moeten gelden als dat wachtwoord opnieuw is gebruikt. De getroffen mailbox moet ook worden gecontroleerd op ongeautoriseerde toegang of wijzigingen.