一个新的多级网络钓鱼攻击伪造了亚马逊的订单通知页面，上面有一个虚假的客户服务语音号码，攻击者利用该号码，要求受害者的信用卡详细信息以更正错误的“订单”
周四，Avanan的最新研究强调了这种攻击，称网络钓鱼攻击通过结合使用电子邮件和语音诱饵，并利用亚马逊等流行品牌来欺骗潜在受害者，这种攻击正变得越来越复杂。
Avanan（现被Check Point收购）的首席执行官Gil Friedrich说，从10月份开始，Avanan观察到了一次新的攻击，攻击者在其中伪造了一个典型的亚马逊订单通知页面。
攻击是这样进行的：受害者收到一封电子邮件，显示他们有总额超过300美元的亚马逊订单需要支付。受害者知道到他们并没有下订单，点击电子邮件中的一个链接查证，这个链接只会跳转到亚马逊网站，但网络钓鱼邮件中有一个客户服务号码，它有南卡罗来纳州的区号，当受害者试图打电话时，该号码并不会应答。
几小时后，攻击者从印度打来电话，假冒的客户服务代表告诉受害者，他们需要提供信用卡和CVV号码才能取消费用单。
Friedrich解释说：“这不仅为黑客带来了金钱上的收益，还为攻击者提供了一种获取电话号码的方式，使他们能够在未来几周内通过语音邮件或短信进行进一步的攻击。”。
在Armorblox报道的另一个品牌仿冒骗局中，一个凭证钓鱼攻击模仿了Proofpoint，并试图窃取潜在受害者的Microsoft和Google电子邮件凭证。这封电子邮件声称包含一个由Proofpoint作为链接发送的安全文件，一旦受害者点击，它就会将他们带到一个splash页面，该页面伪造了Proofpoint的品牌，并有专门针对Microsoft和Google的欺骗性登录页面。
Armorblox公司的研究人员说，这场骗局的全部目的是为了抹黑一个受信赖的安全品牌，如Proofpoint，和知名品牌，如微软和谷歌。
虽然两个攻击略有不同，但这表明攻击者变得更聪明，他们更知道如何掠夺人们对知名品牌的信任。
零风险
KnowBe4的数据驱动防御推广者Roger Grimes指出，在亚马逊的案例中，这种多级网络钓鱼攻击的好处在于，当由潜在受害者打电话时，攻击者成功的可能性要大得多。他补充说，这封电子邮件几乎不需要任何设置和发送成本——还是零风险的。他说，所有网络钓鱼电子邮件和攻击也是如此。
Grimes说：“但这里的区别在于，当有人不厌其烦地给网络钓鱼者打电话时，网络钓鱼者知道他们很有可能上钩了。”“受害者已经在心理上接受了这个骗局，哪怕他们曾经有过任何怀疑的话，但因为这个假冒品牌组织现在正在跨多种媒介工作，受害者会进一步确信这个骗局是真实的。受害者可能不认为骗子具备获取真实电话号码和现场接听电话的能力，而事实上在网络钓鱼诈骗中这种操作经常会发生。”
这种骗局的另一个流行版本是一封假装来自受害者当地电力公司的电子邮件。这封电子邮件声称受害者向电力公司的付款被拒绝，他们的电力很快就会被切断。受害人被指示到当地商店购买付款凭单。
Grimes说：“你可能会问自己，‘谁会相信他们的电力公司要求他们用现金券付款？’。“根据我的工作经验，大约10%的受害者会上当。”
来源：HackerNews