Hur man skickar dodgy-ser legitima e-postmeddelanden, mål-stil

Target skickade ett e-postmeddelande till kunder som informerade dem om att deras personliga information kan ha stulits. Tyvärr tyckte många av dem som fick e-postmeddelandet att det var en bluff.

Strax efter att Target medgav angripare hade stulit information om betalningskort och personlig information som tillhör sina kunder, varnade experter konsumenterna att vara på jakt efter målrelaterade bedrägerier, till exempel phishing-e-post och skadliga bilagor. Dessa sekundära attacker är mycket vanliga efter ett dataintrång, eftersom brottslingar vet att användare letar efter mer information och undrar om de ingick i den drabbade gruppen.

Denna vecka skickade Target ut e-postmeddelanden adresserade till "Dear Target guest" med element som lyfte varningsflaggor och fick mottagarna att undra över meddelandets äkthet. Avsändarens e-postadress kom inte från Target.com, och vissa undrade varför de fick e-postmeddelandet när de inte var Target-kunder. Meddelandet innehöll också en länk och bad användare att klicka på den, vilket är en vanlig taktik som används av svindlare som försöker locka offer till en skadlig webbsida.

"Det här e-postmeddelandet från Target är en lektion i hur man skapar ett e-postmeddelande som ser ut som en bedrägeres (men faktiskt är legitimt) och är dålig praxis som bör undvikas av alla företag, " skrev Jame Lyne, global chef för säkerhetsforskning för Sophos, på Forbes.com.

Varför Targets e-post var misstänkt

Angriparna stjal ungefär 40 miljoner debit- och kreditkortsnummer från shoppare som svepte korten på Target-butiker runt om i landet under semestershoppingperioden. Attackare stal också personlig identifierande information som namn, postadresser, telefonnummer och e-postadresser för 70 miljoner kunder, av vilka många kanske inte har handlat i en Target-butik på månader, om inte år. Target skickade e-postmeddelanden för kunder i den senare gruppen den här veckan och erbjöd gratis kreditkortsövervakningstjänster med Experian i upp till år.

Trots skissheten var detta specifika e-postmeddelande, "från" Target CEO Gregg Steinhafel, legitimt. Det verkar också som att Target också skickade ett marknadsföringsmeddelande till andra människor på samma gång med exakt samma problem. Vi pekar på några av problemen i dessa meddelanden nedan.

E-postmeddelandet kom inte från Target.com. Vi rekommenderar att du alltid kontrollerar "från" -adressen för att verifiera vem som skickade e-postmeddelandet. Scammers använder ofta företagets namn framför sin egen domän, i hopp om att mottagarna ser företagets namn och inte inser att posten kommer från någon annan källa. I Targets fall kom posten från [email protected]. Bfi0.com låter iffy, men det ägs faktiskt av marknadsföringsföretaget Epsilon. Det finns verkligen inget sätt för den genomsnittliga personen att veta detta, för om du går till bfi0.com får du en sida "Tillstånd nekad" eller "förbjuden". En röd flagga, och det är lite doozy.

Folk visste inte varför de fick e-postmeddelandet. Många som fick e-postmeddelandet blev förvånade eftersom de sa att de inte hade handlat i en Target-butik under semestern. Den här e-postmeddelanden gick till personer vars vars personliga information återförsäljaren hade registrerat. Målet kunde ha behållit den informationen från ett köp som du gjorde för evigt sedan.

Andra personer som fick e-postmeddelandet hävdade att de aldrig hade handlat på Target, online eller i butikerna. Baserat på samtal i olika onlineforum och på Twitter verkar det som om Target kan ha fått e-postadresserna från Amazon som en del av ett äldre partnerskap. Det oönskade e-postmeddelandet var den andra röda flaggan.

E-postmeddelandet bad dig klicka på en länk. E-postmeddelandet instruerade användarna att klicka på en länk för att få en aktiveringskod för att registrera sig för övervakningstjänsten. Med tanke på att människor redan känner sig nervösa för potentiella bedrägerier kan det inte ha varit det bästa steget att be användare att klicka på länken, särskilt eftersom meddelandet fortsätter med en varning: "Klicka inte på länkar i e-postmeddelanden du inte känner igen."

Enligt Lyne var situationen värre i marknadsföringsmeddelandet. Användare bör göra en vana att sväva över en länk för att se var en länk tar dem innan de klickar på den. I marknadsföringsmeddelandet ser länken "otroligt dumt ut", sa Lyne.

Behöver vara vaksamma

Detta är inte paranoia - det har redan gjorts "mer än ett dussin operationer" för att bedöma offren via e-post, telefonsamtal och textmeddelanden, berättade en talesman för Associated Press. Ett exempel på en nyligen uppsatt målmål har ämnesraden "Mål: Få 25 målbockar för ditt yttrande."

Om du får ett e-postmeddelande som du inte är säker på är legitimt, gå till företagets webbplats och leta efter information där. Det finns ingen anledning att klicka på länkarna - bara öppna en webbläsare och gå direkt till företagets webbplats. Target har publicerat en kopia av det e-postmeddelande som det skickade kunder samt instruktioner om hur man registrerar sig för gratis kreditövervakning på sin webbplats. Lyxhandlaren Neiman Marcus förväntas också lägga ut instruktioner för brottsoffer på sin webbplats någon gång nästa vecka.