Onderzoekers hebben veertig miljoen e-mailadressen die het doelwit van een phishingaanval zijn geworden gedeeld met datalekzoekmachine Have I Been Pwned (HIBP). Het is de eerste keer dat e-mailadressen die bij onderzoek naar een phishingaanval zijn aangetroffen met HIBP zijn gedeeld. De aanval richtte zich met name op Mexicaanse internetgebruikers en probeerde toegang tot bankrekeningen te krijgen.

Doelwitten ontvingen e-mails over een onbetaalde factuur. Als bijlage was een zip-bestand meegestuurd dat een url-bestand bevat, dat weer een JavaScript-bestand downloadt en uitvoert. Via dit bestand wordt de uiteindelijke malware geïnstalleerd die inloggegevens uit Outlook en Google Chrome steelt. Ook worden sessietokens gestolen wanneer slachtoffers bij verschillende Mexicaanse banken inloggen. Deze tokens worden naar de aanvaller gestuurd, die zo toegang tot de rekening van het slachtoffer krijgt.

Volgens onderzoekers van securitybedrijf Perception Point waren de aanvallers erg slordig met hun operationele security, waardoor er allerlei informatie over de phishingaanval kon worden achterhaald, zoals het aantal gemaakte slachtoffers en mogelijk gestolen bedrag. Daarbij wordt een bedrag van 55 miljoen dollar genoemd. Daarnaast werd een dataset met e-mailadressen van potentiële slachtoffers gevonden.

Hoe de aanvallers deze e-mailadressen in handen kregen is niet bekend. Perception Point deelde de e-mailadressen met Have I Been Pwned. Via de zoekmachine is het mogelijk om te kijken of een e-mailadres in een bekend datalek voorkomt. Van de veertig miljoen gedeelde e-mailadressen was 37 procent al via een ander datalek bij de zoekmachine bekend.