Comment envoyer des courriels légitimes douteux, style cible

Target a envoyé un courrier électronique aux clients pour les informer que leurs informations personnelles avaient peut-être été volées. Malheureusement, beaucoup de personnes qui ont reçu l'e-mail ont pensé qu'il s'agissait d'une arnaque.

Peu de temps après que les attaquants admis de Target aient volé des informations de carte de paiement et des informations personnelles appartenant à ses clients, les experts ont averti les consommateurs de rechercher les arnaques liées à Target, telles que les courriels de phishing et les pièces jointes malveillantes. Ces attaques secondaires sont très courantes après une violation de données, car les criminels savent que les utilisateurs recherchent plus d'informations et se demandent s'ils font partie du groupe concerné.

Cette semaine, Target a envoyé des e-mails à "Cher invité" avec des éléments qui ont déclenché des avertissements et incité les destinataires à s'émerveiller de l'authenticité du message. L'adresse électronique de l'expéditeur n'était pas celle de Target.com, et certaines personnes se sont demandé pourquoi elles avaient reçu l'e-mail alors qu'elles n'étaient pas des clients cibles. Le message contenait également un lien et demandait aux utilisateurs de cliquer dessus, ce qui est une tactique courante utilisée par les fraudeurs qui tentent d'attirer les victimes vers une page Web malveillante.

"Cet email de Target est une leçon sur la manière de créer un email qui ressemble à un arnaqueur (mais qui est en réalité légitime). C'est une mauvaise pratique qui devrait être évitée par toutes les entreprises", a écrit Jame Lyne, responsable mondial de la recherche en sécurité pour Sophos. sur Forbes.com.

Pourquoi le courrier électronique de la cible était suspect

Les pirates ont volé environ 40 millions de numéros de cartes de crédit et de débit à des acheteurs qui ont passé leurs cartes dans les points de vente Target dans le pays pendant la période des fêtes. Les agresseurs ont également volé des informations d'identification personnelles, telles que noms, adresses postales, numéros de téléphone et adresses électroniques, pour 70 millions de clients, dont beaucoup n'ont peut-être pas fait leurs achats dans un magasin Target depuis des mois, voire des années. Target a envoyé des notifications par courrier électronique aux acheteurs de ce dernier groupe cette semaine et a proposé des services de surveillance des cartes de crédit gratuites avec Experian pendant un an maximum.

En dépit du manque de rigueur, ce courriel "de" Gregg Steinhafel, PDG de Target, était légitime. Il semble également que Target ait également envoyé un courrier électronique marketing à d'autres personnes à peu près au même moment, avec exactement les mêmes problèmes. Nous soulignons ci-dessous certains des problèmes rencontrés dans ces messages.

L'email ne venait pas de Target.com. Nous vous recommandons de toujours vérifier l'adresse "de" pour vérifier qui a envoyé le courrier électronique. Les fraudeurs utilisent souvent le nom de la société devant leur propre domaine, en espérant que les destinataires verront le nom de la société sans se rendre compte que le courrier provient d'une autre source. Dans le cas de Target, le courrier provenait de [email protected]. Bfi0.com semble incertain, mais il appartient en réalité à la société de marketing Epsilon. Cependant, il n’existe aucun moyen pour la personne moyenne de le savoir, car si vous accédez à bfi0.com, vous obtenez une page "Autorisation refusée" ou "Interdit". Un drapeau rouge, et c'est un peu un doozy.

Les gens ne savaient pas pourquoi ils avaient reçu cet email. Beaucoup de personnes qui ont reçu l'e-mail ont été surprises car elles ont déclaré ne pas avoir magasiné dans un magasin Target pendant la période des fêtes. Cette notification par courrier électronique a été envoyée aux personnes dont les informations personnelles du revendeur étaient au dossier. Target aurait pu conserver ces informations lors d'un achat que vous avez effectué il y a longtemps.

D'autres personnes ayant reçu l'e-mail ont affirmé qu'elles n'avaient jamais magasiné chez Target, en ligne ou dans les magasins. D'après des conversations sur divers forums en ligne et sur Twitter, il semble que Target ait peut-être obtenu les adresses électroniques d'Amazon dans le cadre d'un partenariat plus ancien. L'e-mail non sollicité était le deuxième drapeau rouge.

L'e-mail vous a demandé de cliquer sur un lien. L'e-mail a demandé aux utilisateurs de cliquer sur un lien afin d'obtenir un code d'activation pour s'inscrire au service de surveillance. Considérant que les gens se sentent déjà inquiets à propos des arnaques potentielles, demander aux utilisateurs de cliquer sur le lien n'a peut-être pas été la meilleure solution, d'autant plus que le message continue avec un avertissement: "Ne cliquez pas sur les liens dans les courriels que vous ne reconnaissez pas."

La situation était pire dans le courrier électronique marketing, selon Lyne. Les utilisateurs doivent prendre l'habitude de survoler un lien pour voir où un lien les mènera avant de cliquer dessus. Dans le courrier électronique marketing, le lien "semble incroyablement louche", a déclaré Lyne.

Besoin d'être vigilant

Ce n'est pas de la paranoïa: il y a déjà eu «plus d'une douzaine d'opérations» pour escroquer les victimes par courrier électronique, appels téléphoniques et SMS, a déclaré un porte-parole de Target à Associated Press. L'exemple récent d'une arnaque ciblée a pour objet "Cible: obtenez 25 dollars cibles pour votre opinion".

Si vous recevez un courrier électronique dont vous n'êtes pas sûr qu'il est légitime, rendez-vous sur le site Web de l'entreprise et recherchez des informations là-bas. Il n'est pas nécessaire de cliquer sur les liens, il suffit d'ouvrir un navigateur et d'aller directement sur le site de la société. Target a publié une copie du courrier électronique envoyé aux clients ainsi que des instructions pour s'inscrire à la surveillance de crédit gratuite sur son site Web. Le détaillant de luxe Neiman Marcus devrait également publier des instructions à l'intention des victimes d'infractions sur son site la semaine prochaine.