Sigue el phishing a la Pass

No hace mucho me quejaba de no haber podido llegar lo suficientemente pronto para poner a la gente sobre aviso de un phishing a la tarjeta Carrefour Pass. Esta vez espero de poder ser de más ayuda.

Toda vez que los phishers han tenido ya problemas con su anterior infraestructura... se han montado una nueva y ¡a seguir con el negocio!

Hoy se han recibido dos mensajes que simulan proceder de dos direcciones de correo distintas del dominio "carrefour.es":

La imagen de logo de la cabecera, que no es mostrada por  Thunderbird al tratarse de contenido remoto, vuelve a ser aquella que sacaban de una web de un torneo de fútbol sala:

Los mensajes tienen el mismo texto, pero el destino del enlace "Confirmar ahora" es distinto. Eso sí, ambos pertenecen al mismo dominio. Y ¡oh sorpresa! las páginas de destino simulan ser formularios de acceso. Eso sí, con las mismas modificaciones que en la vez anterior. El mismo GET sobre HTTP:

Un dominio, typosquatting incluido (le falta una "r"), registrado hace una semana:

Esto hace que me vuelva a hacer las preguntas de ayer. Por más controles y medidas de protección que tengan tus sistemas, si no es difícil enviar correos fraudulentos cuyos remitentes parezcan pertenecer a tu organización y hay montones de dominios descontrolados que pueden ser utilizados en campañas de phishing contra ti... ¿es seguro tu servicio?

Y a todo esto, si pensabas que el dominio con las dos "r" era legítimo...

Los DNS de éste pertenecen a un dominio, "spam-and-abuse.com", propiedad del registrador de dominios GoDaddy. Creo que el nombre deja claro para qué lo usan. Buena cosa es ver que alguien hace algo.