Is deze email wel okee?

“Dit ziet er legitiem uit, toch? Geen spelfouten, en het lijkt precies op de e-mails die je normaal van PayPal ontvangt?”
Regel één: vertrouw niemand. Het is verrassend makkelijk om te zien of je een ​​e-mail niet zomaar voor waar aan moet nemen.

In dit stukje wil ik je laten zien hoe je dat kunt doen.

Ik weet dat dit een lange lap tekst is, maar er zijn eigenlijk maar twee dingen om op te letten: het e-mailadres van de afzender en de linktekst.
In een phishing-e-mail bevatten deze twee steevast de rode vlaggen die iedereen zou moeten kunnen herkennen, en die je zouden moeten helpen beslissen of je de e-mail moet weggooien of dat je hem kunt vertrouwen.

En als er iets in deze tekst is dat ik niet voldoende heb uitgelegd, laat het me dan weten in de reacties hieronder.

Laten we de hele e-mail eens bekijken. We gaan op twee plekken kijken:

• Wie heeft deze e-mail verzonden? (het e-mailadres van de afzender)
• Waar worden we naartoe geleid? (wat staat er onder de link of knop waarop we moeten klikken).

We zien direct twee felrode vlaggen.

Ten eerste, als PayPal je een bericht stuurt, zou je verwachten dat het FROM-adres “paypal.com” bevat, toch? Als dat niet het geval is, is dat een heel lawaaiig alarmsignaal.

Zelfs als het eruit zou zien als “noreply.paypal.com.iets.anders”, zou het verdacht zijn.
Ik ben eigenaar van het domein peterhuppertz.net. Het aanmaken van een e-mailadres zoals “noreply@paypal.com.peterhuppertz.net” kan in minder dan vijf minuten. Een e-mailadres zoals noreply@iets.anders.paypal.com zou prima zijn, maar als het niet ondubbelzinnig eindigt op paypal.com, is PayPal niet de afzender.

Wat er vóór het @-teken staat, is overigens niet belangrijk. Het aanmaken van een e-mailadres paypal.com@peterhuppertz.net zou me minder dan twintig seconden kosten. Als ik het kan, kan iemand anders het ook.

Laat je niet misleiden door de naam (“Noreply” in het bovenstaande voorbeeld). Je moet kijken naar het echte afzenderadres, dat tussen de <> tekens staat in e-mailprogramma’s zoals Outlook of Gmail.

Het e-mailadres evilhacker@shadydomain.ru kan gemakkelijk worden weergegeven als paypal.com<evilhacker@shadydomain.ru>

Sommige e-mailprogramma’s (vooral webmailprogramma’s) zullen dit niet direct weergeven.

Maar als je de muiscursor over de naam van de afzender beweegt zonder te klikken, zie je het echte e-mailadres rechts van de muiscursor, of soms linksonder in het e-mailprogramma.

“Maar mijn spamfilter heeft het toch doorgelaten… dus het zal wel veilig zijn, toch?”

… eh, nee. Spamfilters worden steeds slimmer, maar spammers ook. De nep-PayPal-e-mail in afbeelding 1 zat vol met onzichtbare tekens, waardoor de spamfilter hem daadwerkelijk in de inbox van een van onze vrienden bezorgde – en ironisch genoeg kostte het hem bijna €500.

“Oké, begrepen. Maar hoe zit het op mijn telefoon/tablet?”

Op Android-telefoons hangt het af van de e-mailapp die erop staat. Ik weet dat de Samsung-mailapp alleen de naam laat zien (linker screenshot), maar als je erop klikt, krijg je het daadwerkelijke e-mailadres van de afzender te zien (rechter screenshot).

Hetzelfde werkt in Outlook voor Android, en ik denk dat veel andere e-mailclients op dezelfde manier werken. Als je een iPhone of iPad hebt, is mijn antwoord: “Ik weet het niet”. Ik heb er geen en ik wil er ook geen. Maar ik vermoed dat het op een iPhone of iPad hetzelfde werkt.

Links in e-mails

Een phishing-mail bevat meestal een knop of een link waarop je moet klikken. Op een computer zou je, als je de muiscursor over de knop of link beweegt zonder te klikken, het adres van de website (de URL) moeten zien waarnaar de link je zou leiden als je erop klikt. Sommige clients tonen het direct bij de cursor, zoals in het voorbeeld in figuur 1, andere tonen het linksonder.

Op een telefoon is het equivalent van het bewegen van de muiscursor vaak het ‘lang indrukken’. Als je op een link tikt, open je deze, maar als je de link ongeveer een halve seconde ingedrukt houdt, zou je e-mailprogramma de link onderaan moeten weergeven in plaats van deze te openen.

Dit is een van de belangrijkste manieren om te ontdekken of een e-mail legitiem of frauduleus is, dus het is echt de moeite waard om te weten hoe jouw e-mailprogramma dit kan.

Waarop te letten

Als de link iets simpels is zoals ‘http://whinyhunters.ru’, weten we genoeg. Als je er geen hulp bij nodig hebt, gooi het dan niet in de prullenbak, maar verwijder het definitief.

Als je wilt dat iemand die hier verstand van heeft ernaar kijkt, verplaats het dan naar de spam-map. Dit voorkomt meestal dat je op de link klikt. Neem vervolgens contact op met je technisch onderlegde nichtje en vraag haar om hulp.

Maar phishers worden steeds slimmer.

In het voorbeeld in figuur 1 is de link https://google-com.cdn.ampproject.org/c/s/adclick.g.doubleclick.net/pcs/click?adurl=%2F%2Fzip.electronic-links.com.

Dit is een goed voorbeeld van een link die er enigszins betrouwbaar uitziet (hij begint met Google), maar in feite een redirect is. Een redirect is wat er gebeurt als je naar een adres gaat en daar een briefje op de deur ziet met “nee, je moet hierheen”, waardoor je naar een andere locatie op het web wordt doorgestuurd. Het bovenstaande voorbeeld stuurt je naar adclick.g.doubleclick.net en vervolgens naar electronic-links.com — en precies daar belanden, zorgde ervoor dat een vriend van ons bijna 500 euro gedag kon zwaaien.

Over het algemeen kun je er wel van uitgaan dat als een URL meer dan één domeinnaam bevat, dat een enorm waarschuwingssignaal is. Ongeveer zo groot als een voetbalstadion, met publiek, het vuurwerk en mogelijk zelfs het scherm van de VAR-controle.

“Ho, ho, rustig aan. Wat is dat met die domeinnaam?”

Neem dit voorbeeld:
https://paypal.com/signin/
paypal.com is de domeinnaam en het gedeelte /signin/ verwijst naar een pagina binnen dat domein.

Een voorbeeld van een redirect-link:
https://accounts.google.com/ServiceLogin?continue=//myaccount-security.com/auth
Het eerste domein (accounts.google.com) lijkt legitiem, maar deze link leidt je door naar een ander domein genaamd myaccount-security.com. Ik weet toevallig dat terechtkomen op myaccount-security.com voelt alsof je plotseling in een donker steegje in een louche stadje belandt, op een maanloze nacht, tijdens een onweersbui en zonder politie in de buurt.

Maar dat hoef je niet te weten. Waar het op neerkomt: een gerenommeerde organisatie die wil dat je inlogt op je account, zal nooit een redirect gebruiken. Je zou dus nooit meer dan één domeinnaam in de link moeten zien, en het zou de domeinnaam moeten zijn van de organisatie die ze beweren te zijn.

Maar zelfs als er maar één domein in staat, kan er nog steeds iets verdachts aan de hand zijn.

Hier is nog een voorbeeld:

Het eerste rode vlaggetje is natuurlijk het e-mailadres. Ik bedoel, ze doen niet eens hun best… “ezmoney.com.tw”? Serieus? Alleen al hierdoor zou ik dit e-mailadres aan mijn digitale vlammenwerper willen voorstellen.

Maar kijk eens naar de link.

“https://storage.googleapis.com ziet er legitiem uit, toch?“

Ja, storage.googleapis.com is zelf volkomen legitiem. Onschuldiger dan een mand vol kittens op Youtube.
Maar googleapis.com is ook als de lobby van een keurig kantoorgebouw waar iedereen, inclusief roguewebsite.ru, kantoorruimte kan huren. Wat hier opgeslagen staat, kan zomaar een redirect zijn naar een website waar je liever niet terechtkomt – of zelfs een zorgvuldig ontworpen webpagina die er precies hetzelfde uitziet als de pagina van je bank… of de inlogpagina van PayPal, trouwens.

Een lijst met websites die momenteel massaal worden misbruikt door oplichters:

• storage.googleapis.com
• googleadservices.com
• pages.dev
• workers.dev
• appspot.com
• azurewebsites.net
• amazonaws.com
• herokuapp.com
• facebook.com/l.php
• linkedin.com/safety/redirect
• go2cloud.org
• trafficsystem.biz
• clickmanager.org

De basisregel

Als de legitieme PayPal-organisatie wil dat je inlogt op hun website, dan zou de link onder de knop iets moeten zijn als “https://paypal.com/[inlogpagina]”. Zie je iets anders, vertrouw het dan niet verder dan dat je het kunt gooien.

En dit gaat niet alleen maar over pagina’s die je logingegevens willen ontfutselen.
Kijk deze eens:

Alweer zo’n wazige link verstopt achter storage.googleapis.com.
Uit nieuwsgierigheid heb ik de HTML-code die ik daar vond eens bekeken, en jawel, die bevat een redirect-link naar een site waar ik nog niet eens een plastic kamerplant aan zou toevertrouwen. Bovendien is er een trucje toegepast waardoor de pagina niet in je history wordt opgenomen, zodat je niet achteraf onderzoek kunt doen. Niemand met goede bedoelingen zou de moeite nemen om zoiets te doen.

En denk nou niet “als ‘ie om een wachtwoord vraagt, sluit ik ‘m gewoon”. Er kan wel een Javascriptje met kwaadaardige code in zitten dat direct wordt uitgevoerd als je de link opent. Gewoon weggooien dus.

https: versus http:

Een link naar een website begint altijd met http: of https:. De ‘s’ aan het einde van https staat voor Secure (beveiligd).

Moderne browsers geven een waarschuwing als ze naar een website worden doorgestuurd die http gebruikt. Dit kan mensen doen denken: “Als de link met https:// begint, ben ik toch veilig?”

Je raadt het al: het antwoord is nee.

Het gebruik van https: vertelt je twee dingen:

• je verbinding met deze site is versleuteld, en
• de eigenaar van de site is wie hij beweert te zijn – er staat een certificaat op de site dat is uitgegeven door een certificeringsinstantie en dat de domeinnaam verifieert.

Maar het vertelt je niet dat de eigenaar van het domein geen crimineel is.

Je kijkt nu naar https://peterhuppertz.net. Tenzij ik iets vreselijks heb verknoeid waardoor anderen mijn site, mijn domeinnaam en mijn certificaat hebben kunnen kapen, betekent dit dat je er redelijk zeker van kunt zijn dat ik inderdaad Peter Huppertz ben. Maar Peter Huppertz zou nog steeds een nerd met een bril kunnen zijn, die tot in de kleine uurtjes vanuit een zolderkamer werkt, met kwade bedoelingen. Als je me kent, weet je dat ik inderdaad een nerd met een bril ben die tot in de kleine uurtjes vanuit een zolderkamer werkt. Alleen niet met kwade bedoelingen. Maar als je me niet kent, is er geen manier om dat zeker te weten.

Dus, als je je veilig voelt om naar https://peterhuppertz.net te gaan, komt dat omdat je me vertrouwt. Mijn dank is groot.

Dus, als je een e-mail krijgt van een e-mailadres van paypal.com en je ontdekt dat de link je doorverwijst naar https://www.paypal.com, dan is dat prima.

Maar als de link je doorverwijst naar https://paypaI.com, moet je extra alert zijn.

“… wacht… watte??!? Dat zijn precies dezelfde!”

Nee, dat zijn ze niet. Verrassend, hè?

Bekijk deze link:
https://peterhuppertz.net/isthislinkvalid
Beweeg de muis eroverheen en kijk hoe dat eruitziet.

Test nu deze:
https://peterhuppertz.net/isthisIinkvalid

Beweeg de muis over beide. Zie je het verschil? Klik er anders maar eens op…

Het verschil tussen een kleine letter l (l voor Lima) en een hoofdletter i (i voor India) kan extreem subtiel zijn, afhankelijk van het gebruikte lettertype.

Iemand met kwade bedoelingen kan paypai.com registreren en er een geldig certificaat voor krijgen.

Kortom: ook al begint een link met “https://”, dat betekent op zich niet dat je hem kunt vertrouwen.

Maar als het een link is zoals “https://yourbank.com/something”, en je weet zeker dat het de website van je bank is en dat ze geen ruimte onder hun naam verhuren aan anderen, dan zit je goed.

Conclusie

Door het e-mailadres van de afzender en eventuele links in het bericht te controleren, kom je er meestal wel uit. Het loont zeker de moeite om uit te zoeken hoe je dit zelf kunt doen in je e-mailprogramma of -app.

“Levert dat geen valse positieven op?”

Inderdaad. Ik ontving onlangs een e-mail van een organisatie waarmee we een relatie hebben, inclusief onderhoud. Het e-mailadres van de afzender klopte, maar de link die ze hadden gegeven om een ​​datum te bevestigen (of een andere datum te kiezen) voor ons reguliere onderhoud, liet een alarmbel afgaan.

De server waarnaar de e-mail verwees (env01.pca-prod.nl) kon niet worden gekoppeld aan de domeinnaam van hun organisatie.

Uit nieuwsgierigheid heb ik de SMTP-header bekeken (iets voor de techneuten, dus daar zal ik je niet mee lastigvallen), en geen van de hostnamen die bij de overdracht van het bericht betrokken waren, bevond zich binnen het domein van de organisatie.

Ik heb ze gebeld (via het telefoonnummer op hun website, niet het nummer in de e-mail!), uitgelegd waarom ik niet op de link zou klikken en gevraagd of ze op die datum iets op ons adres gepland hadden. Ik heb ze gevraagd dit zelf te bevestigen.

Andere waarschuwingssignalen

Als een e-mail je aanspoort tot onmiddellijke actie: wees wantrouwig! Als ik een euro zou krijgen voor elke e-mail die me vertelt dat mijn cloudopslag vol is en al mijn foto’s en video’s worden verwijderd als ik niet onmiddellijk reageer, zou ik kunnen stoppen met wer… wacht, ik ben al met pensioen. Maar je begrijpt waar ik heen wil.

Hetzelfde geldt voor alle e-mails waarin staat dat als ik mijn pakket vandaag niet ophaal, het wordt teruggestuurd naar de afzender.

Als een e-mail je een waardevol cadeau of een belachelijk hoge korting aanbiedt: onthoud, als het te mooi lijkt om waar te zijn, is dat meestal ook zo.

Wat te doen bij twijfel?

Simpel: klik niet op links en sluit de e-mail.

Als het een organisatie is die je kent en waarmee je een relatie hebt, bel of mail ze dan. Maar bel of mail ze niet naar het nummer of adres in de e-mail en klik zeker niet op ‘antwoord’!

Met het risico dat dit bericht honderden keren gelezen wordt:
Zolang ik niet overbelast ben, kijk ik graag naar die e-mail waar je niet zeker van bent. Als je wilt dat ik ernaar kijk, open dan een nieuwe e-mail naar peter@peterhuppertz.net en sleep de e-mail die je wilt laten bekijken vanuit je inbox naar je lege e-mail, zodat de e-mail als bijlage wordt toegevoegd.

Een andere manier om dit te doen is te kijken of uw e-mailprogramma of -app de optie “doorsturen als bijlage” heeft. Hiermee kan ik de daadwerkelijke e-mail, inclusief de SMTP-header, bekijken en u mijn mening erover geven.

That’s all, folks!
Vragen of opmerkingen? Drop een comment hieronder!