'Evernote blundert met link in e-mail'
De makers van notitiesoftware Evernote stuurden dit weekend 50 miljoen gebruikers een e-mail dat ze hun wachtwoord moesten wijzigen na een succesvolle inbraak op het netwerk, maar het bericht laat nogal te wensen over. In de e-mail adviseert Evernote ontvangers dat ze nooit op resetlinks in e-mails moeten klikken, maar het bericht bevat meerdere klikbare links.
Links die niet direct naar evernote.com wijzen, maar naar een website van e-mailmarketeer Silverpop, die geklikte links in e-mailberichten monitort. Het gaat om het domein links.evernote.mkt5371.com, gevolgd door een unieke trackingcode. Volgens anti-virusbedrijf Sophos zouden geadresseerden kunnen denken dat het om een phishingaanval gaat.
Het gaat hier om een veelgebruikte techniek om in kaart te brengen hoe succesvol e-mailcampagnes zijn. In een e-mail over een beveiligingsincident lijkt het niet op z'n plaats, zo merkt de Britse virusbestrijder op.
als ze waren gehacked, had de hacker ook zo'n phising mailtje kunnen sturen.
Dus gewoon via de site ingelogd en gewijzigd. -- hebben daar een snellink voor de mensen die deze mail
hebben ontvangen. (Die overigens in mijn Spambox terecht kwam)
Ook als ze niet gehacked waren, had een phisher zo'n mail kunnen sturen. Niemand controleert of de mail echt van een mailserver van Evernote afkomstig is. Verder komen dit soort mailtjes vaak helemaal niet van de organisatie maar dan de marketeer. Dus is ook de versturende server niet van Evernote.
Peter
Ook als ze niet gehacked waren, had een phisher zo'n mail kunnen sturen. Niemand controleert of de mail echt van een mailserver van Evernote afkomstig is. Verder komen dit soort mailtjes vaak helemaal niet van de organisatie maar dan de marketeer. Dus is ook de versturende server niet van Evernote.
Peter
Nou ik zie dat evernote.com een keurige SPF policy heeft waaraan je kunt zien dat ze aan dit probleem gedacht
hebben. Als je als ontvanger niet die SPF score gebruikt om het als spam of onbetrouwbaar te markeren dan is
dat natuurlijk je eigen zaak.
Wieweet doen ze ook wel DKIM signing. Een DMARC policy hebben ze helaas niet, dat zou er ook nog bij kunnen.
Als je als organisatie de kans loopt dat phishers mail namens jou sturen, dan moet je bovenstaande dingen gewoon
regelen. En als je een maildienst aanbiedt dan moet je je gebruikers waarschuwen als mails niet aan die regels
voldoen.
En blijven nadenken mensen! Vertrouw je het niet; ga dan gewoon naar de site van de desbetreffende partij.
1. User clicks http://links.example.com/?redirect=example.com/reset_passwor...
2. The server running on links.example.com makes a request to the third party web server
3. The server redirects the user to http://example.com/reset_password
kweetniet of ik dit kan vertrouwen.
Staan meerdere links in die verwijzen naar http://evernote.com/ cq http://evernote.com/contact/support/
ik wacht maar ff af want na het incident had ik gisteren mijn pwd zelf al vernieuwd.
Ook als ze niet gehacked waren, had een phisher zo'n mail kunnen sturen. Niemand controleert of de mail echt van een mailserver van Evernote afkomstig is. Verder komen dit soort mailtjes vaak helemaal niet van de organisatie maar dan de marketeer. Dus is ook de versturende server niet van Evernote.
Peter
Je zou kunnen zeggen dat als ze gehackt waren het mogelijk is geweest dat ze een userbase of een segment hiervan hebben weten te bemachtigen. Zo zou iemand gericht Evernote gebruikers kunnen benaderen. Evernote is naar mijn inziens te klein voor een phisher om maar lulraak Evernote phishingmails te versturen in de hoop dat iemand een account heeft en dan ook nog eens erin trapt.
Een versturende mailserver (van een derde partij) verzend wel vaak namens een bepaald FROM adres van de opdrachtgever. Stel, info@evernote.com. Als er een SPF record bestaat op het domein, dan kun je checken of de verstuurde mailserver gemachtigd is te verzenden namens de afzender. De grotere namen als Gmail, Hotmail en Yahoo checken standaard op het gebruik van SPF en valideren deze ook. In de header van een e-mail kun je deze opzoeken. Zo zijn er nog een aantal DNS records die je kunt checken, zoals DKIM, mits de legitieme verzender deze heeft geconfigureerd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
