Świąteczne oszustwa phishingowe: Co marketerzy powinni wiedzieć i robić

Każdego roku cyberprzestępcy zakreślają na czerwono w swoich kalendarzach daty takie jak Czarny Piątek, Cyberponiedziałek i przedświąteczna gorączka.

Według analizy przeprowadzonej przez Darktrace, w 2024 r. liczba wiadomości phishingowych o tematyce związanej z Czarnym Piątkiem wzrosła o prawie 700% w tygodniach poprzedzających listopadowe święta. W szczytowych okresach zakupowych, takich jak Boże Narodzenie, ataki phishingowe na główne amerykańskie marki detaliczne wzrosły o ponad 2000%.

Dla marketerów i zespołów e-commerce wzrost liczby świątecznych oszustw phishingowych ma dwie konsekwencje: Twoi odbiorcy są bardziej niż kiedykolwiek narażeni na przekonujące fałszywe wiadomości e-mail, a Twoje własne legalne kampanie konkurują z wieloma niebezpiecznymi szumami w skrzynce odbiorczej. Jeśli klienci zostaną sparzeni przez "sprzedażową" wiadomość e-mail, która kradnie dane ich kart, mogą nie zaufać następnym razem, nawet jeśli zrobiłeś wszystko dobrze.

W tym artykule wyjaśniamy, dlaczego phishing nasila się tak dramatycznie w okresie dużych wydarzeń detalicznych, takich jak święta, na jakie sygnały ostrzegawcze należy zwracać uwagę oraz jakie praktyczne kroki mogą podjąć zespoły marketingowe i komunikacyjne, aby zapewnić bezpieczeństwo zarówno klientom, jak i współpracownikom. Przyjrzymy się również, w jaki sposób protokoły uwierzytelniania poczty elektronicznej, takie jak SPF, DKIM i DMARC, pomagają utrzymać domenę marki z dala od rąk atakujących.

Dlaczego phishing nasila się w okresie świątecznym

Z punktu widzenia przestępcy, wydarzenia sezonowe stwarzają idealne warunki dla inżynierii społecznej. Ludzie oczekują zalewu e-maili z rabatami, powiadomień o wysyłce i ofert "tylko na jeden dzień". Wszyscy poruszają się szybko, skanują tematy i klikają, zanim pomyślą. To jest dokładnie zachowanie, którego chcą phisherzy.

Wzrosty pojawiają się przez cały rok: Boże Narodzenie, Walentynki, sezon podatkowy, powrót do szkoły i główne okresy podróży. Za każdym razem, gdy klienci oczekują więcej wiadomości e-mail niż zwykle, atakujący zwiększają swoje wysiłki, aby wtopić się w tłum.

Jak phishing świąteczny oszukuje ludzi

Phishing o tematyce świątecznej nie zawsze jest wyrafinowany od strony technicznej, ale jest bardzo inteligentny pod względem psychologii. Atakujący dostosowują swoje wiadomości do tego, co ludzie już spodziewają się zobaczyć w swojej skrzynce odbiorczej:

• "Błyskawiczna wyprzedaż kończy się za 2 godziny" to temat, który wywołuje pilną potrzebę i FOMO.
• Fałszywe potwierdzenia zamówień dla zakupów, których ofiara nigdy nie dokonała ("Zobacz fakturę" lub "Śledź paczkę").
• Fałszywe aktualizacje wysyłek od marek kurierskich, takie jak "Twoja paczka nie mogła zostać dostarczona. Prosimy o potwierdzenie adresu".
• E-maile z kartami podarunkowymi, kuponami lub "świątecznymi gratisami" z prośbą o zalogowanie się lub wprowadzenie szczegółów płatności.
• Domeny podobne (na przykład zastępujące jedną literę podobnym znakiem), które wizualnie przechodzą szybką kontrolę.

Dla zapracowanych klientów przeglądających dziesiątki ofert, wiadomości te wydają się normalne. Logo wygląda prawidłowo, ton brzmi jak prawdziwa marka, a czas jest zgodny z ich zachowaniami zakupowymi. Właśnie dlatego edukacja i proces mają tak samo duże znaczenie, jak kontrole techniczne.

Jak marketerzy i zespoły e-commerce mogą zmniejszyć ryzyko

Dla marketerów wiadomości phishingowe i nadużycia domen mogą zaszkodzić kluczowym wskaźnikom, takim jak reputacja nadawcy i wskaźniki dostarczalności wiadomości e-mail.

Marketing polega na ochronie zaufania stojącego za Twoją marką, więc w okresach wysokiego ryzyka, takich jak Black Friday, istnieją konkretne działania, które Twój zespół może podjąć, aby utrzymać to zaufanie w nienaruszonym stanie.

1. Spraw, by legalne wiadomości e-mail były łatwe do rozpoznania

Atakujący polegają na dezorientacji. Im bardziej twoje prawdziwe kampanie wyglądają jak wszystko inne w skrzynce odbiorczej, tym łatwiej jest prześlizgnąć się podróbce. Możesz pomóc swoim odbiorcom, będąc celowo konsekwentnym:

• Używaj małego, przewidywalnego zestawu domen wysyłających i subdomen (na przykład "newsletter.yourbrand.com" i "orders.yourbrand.com").
• Trzymaj się rozpoznawalnych nazw "Od", takich jak "YourBrand Orders" lub "YourBrand Support", a nie przypadkowych osób.
• Unikaj zbyt agresywnych nagłówków w tematach wiadomości ("Działaj teraz lub stracisz wszystko!"), które odzwierciedlają taktykę oszustwa.
• Uwzględnij jasne, markowe elementy projektu i informacje w stopce, których zawsze używasz. Oto, co może wzbudzić podejrzenia:
  
  • źle wyrównane logo lub nagłówki
  • Brak tekstu alternatywnego na obrazach
  • Uszkodzone układy lub nieoczekiwane układanie
  • Niespójne kolory lub czcionki

Mądrym posunięciem przed szczytem sezonu byłoby poinformowanie klientów, jak będą wyglądać legalne wiadomości e-mail i o co nigdy nie będziesz prosić za pośrednictwem poczty elektronicznej (hasła, pełne dane karty itp.). Ułatwi im to nieufność wobec wszystkiego, co wykracza poza te granice.

2. Edukuj klientów na bieżąco

Zamiast publikować pojedynczą stronę ze wskazówkami dotyczącymi bezpieczeństwa na swoim blogu i mieć nadzieję, że ludzie ją zobaczą, wpleć małe przypomnienia w istniejące podróże klientów:

• Dodaj krótki wiersz w wiadomościach e-mail z potwierdzeniem zamówienia: "Nigdy nie będziemy prosić o podanie hasła lub szczegółów płatności za pośrednictwem poczty elektronicznej".
• Użyj banerów w kampaniach świątecznych, aby przypomnieć ludziom o sprawdzeniu adresów nadawców i adresów URL przed kliknięciem.
• Link do prostego przewodnika, takiego jak Jak wykrywać wiadomości phishingowe w handlu elektronicznym.

Te mikro-przypomnienia pomagają klientom budować lepsze nawyki bez zbytniego spowalniania ich i podkreślają, że poważnie traktujesz bezpieczeństwo.

3. Zaostrz procesy wewnętrzne w szczytowych okresach

Wakacyjny phishing to nie tylko ataki na klientów, ale także na pracowników i agencje. Naruszone konto marketingowe lub e-commerce może wysyłać tysiące złośliwych wiadomości e-mail, które wydają się pochodzić bezpośrednio od Twojej marki.

• Wymagaj uwierzytelniania wieloskładnikowego (MFA) na wszystkich platformach marketingowych i narzędziach e-mail.
• Ustaw jasne przepływy pracy zatwierdzania dla wszelkich "nietypowych" kampanii, domen lub stron docelowych uruchamianych w okresach szczytu.
• Przeprowadzaj szybkie wewnętrzne szkolenia dla swojego zespołu w zakresie wykrywania phishingu, zwłaszcza fałszywych wiadomości e-mail typu "zawieszenie platformy" lub "problem z rozliczeniem".

Jeśli współpracujesz z agencjami lub zewnętrznymi freelancerami, upewnij się, że przestrzegają oni tych samych standardów bezpieczeństwa.

4. Chroń swoją domenę za pomocą SPF, DKIM i DMARC

Nawet przy doskonałej edukacji i procesach, nadal potrzebujesz barier technicznych, które powstrzymają cyberprzestępców przed wysyłaniem wiadomości e-mail przy użyciu Twojej domeny. W tym miejscu pojawiają się SPF, DKIM i DMARC.

• SPF informuje dostawców skrzynek pocztowych, które serwery mogą wysyłać wiadomości e-mail dla Twojej domeny.
• DKIM dodaje podpis cyfrowy, dzięki czemu odbiorcy mogą zweryfikować, czy wiadomość nie została zmieniona.
• DMARC łączy wszystko razem i pozwala powiedzieć: "Jeśli wiadomość nie przejdzie tych kontroli, poddaj ją kwarantannie lub odrzuć".

Razem te mechanizmy kontrolne znacznie utrudniają atakującym wysyłanie przekonujących wiadomości phishingowych "od" Twojej marki. Jeśli chcesz sobie przypomnieć, zapoznaj się z naszym przewodnikiem DMARC vs. DKIM vs. SPF: Jaka jest różnica?

Aby zapoznać się z przeglądem krok po kroku włączania DMARC, możesz również przeczytać nasz przewodnik włączania DMARC.

Jak DMARCeye pomaga chronić Twoją markę w szczycie sezonu

Po wdrożeniu DMARC zaczyna się prawdziwa praca: monitorowanie, kto wysyła w Twoim imieniu, wykrywanie nowych prób spoofingu i bezpieczne zaostrzanie polityki z "monitoruj" do "odrzuć", szczególnie w okresach wzmożonej sprzedaży detalicznej.

DMARCeye sprawia, że jest to wykonalne poprzez przekształcenie złożonych raportów XML w przejrzyste, wizualne, czytelne dla człowieka informacje. Możesz:

• Zobaczyć, które systemy i usługi faktycznie wysyłają wiadomości e-mail przy użyciu Twojej domeny.
• Wykrywać nieautoryzowanych nadawców lub nagłe skoki podejrzanego ruchu podczas wydarzeń i świąt.
• Śledzić wyniki SPF, DKIM i DMARC we wszystkich domenach w jednym miejscu.
• Pewne przejście do pełnego egzekwowania DMARC bez zgadywania, co może się zepsuć.

Dzięki DMARCeye będziesz miał rzeczywisty wgląd w to, jak Twoja domena jest używana (lub nadużywana).

Pobierz bezpłatną wersję próbną DMARCeye już dziś i zacznij chronić swoją domenę e-mail przed kolejnym dużym wzrostem zakupów.

Aby uzyskać więcej informacji na temat tego, co możesz zrobić, aby zabezpieczyć swoją domenę e-mail, zapoznaj się z naszym kompleksowym przewodnikiem po bezpieczeństwie poczty elektronicznej.