最近我收到了很多"您的包裹无法送达"的网络钓鱼攻击，如果你是一个有手机的人，你可能也收到了。简单提醒一下，它们看起来是这样的：这些消息绕过了我电信公司的所有技术控制，直接进入了我的短信收件箱。然而，我并没有上当，因为我会寻找警告信号：一种紧迫感、错失机会的恐惧和看起来与我所知道的任何包裹快递服务都不相似的奇怪网址。尽管他们在每个链接中放了"auspost"来试图让我相信他们来自澳大利亚邮政，但我很聪明，所以我不相信（这是个玩笑，看看为什么人类对网址不敏感）。然而……我确实在期待一个包裹。现在是2020年代，疫情后，所以我总是期待包裹，因为这就是我们现在购物的方式。所以，当我在这周早些时候收到了以下短信时，我既在期待包裹，也在期待网络钓鱼攻击：那么……到底是包裹还是网络钓鱼？让我们看看人们怎么说：参考原推文，这条信息是真的吗？我应该支付关税和税费吗？——Troy Hunt（@troyhunt）2024年2月20日 哇——在超过4000名受访者中，有87%的人表示"非常可疑"，所以是的，这相当明确。为什么如此压倒性的人群充满怀疑？让我们将这条信息拆分成7个"非常可疑"的标志：网络钓鱼者在他们的信息中通常会犯拼写错误，我知道“FedEx”中的“E”总是要大写。那“ -Exp”又是怎么回事？非常可疑！运输编号怎么这么短？而且它和下面要求的付款完全相同？非常可疑！哦，急吗？紧迫感是社会工程的核心原则，因为它促使人们在没有仔细考虑的情况下采取行动。非常可疑！为什么“D”和“T”要大写？非常可疑！这是一个在美国总部的全球包裹递送服务，为什么不告诉我货币？甚至连美元符号都不使用？非常可疑！这还用解释吗？这个“bpoint.com.au”服务是什么？如果我们谈论的是关税和税收，那绝对不是FedEx的域名，也不是澳大利亚政府的。非常可疑！所以……你要给我任何“查询”的联系方式（不是“查询”，这又是另一个语法红旗），这是我们现在正努力避免的做法，原因很简单：因为这非常可疑！所以，我也和其他87%的人在一起。然而……我在期待一个包裹。来自FedEx。来自澳大利亚以外，可能会吸引关税和税收。而且我真的很想取这个包裹，因为那是来自Prusa的新3D打印机，它们非常棒！在这种情况下，有一句永远适用的明智建议非常简单：如果有疑问，就去相关网站亲自验证请求。所以，我去了Prusa的购买确认，找到了运输详情，并点击了链接前往FedEx网站。现在只是找到谈论税收的部分，但……非常可疑。我查遍了那页，找不到任何有关关税或任何税务的参考。尽管我努力尝试，但无法通过直接访问（所谓的）来源来确认这条短信的真实性。但我可以很容易确定的是，如果你遵循短信中的链接，你可以将跟踪号码、客户名称和金额更改为你想要的任何东西！这只是通过简单地更改URL参数来完成的；我并没有修改浏览器DOM或拦截流量或做任何复杂的事情，字面上就是查询字符串参数篡改反射式XSS风格。这感觉像是每一个网络钓鱼网站，而不是由澳大利亚最大的银行运营的支付服务。说真的，BPOINT是由联邦银行提供的，而在上述经验之后，我正准备联系他们并进行披露。只不过这是系统显然被设计成这样运作，并且这是一个与可疑的FedEx短信完全平行的问题。说到这里，第二天早上我又收到了同一发件人的另一条信息：我不知道这是否让情况好一点或更糟🤦‍♂️让我们直接看到亮点，无论好坏：我的运输编号现在确实在邮件的文本中——耶！“关税”和“税费”的字母现在是正确的大写方式——耶！“立即支付”这几个字母是大写的，这似乎……非常可疑！而我最喜欢的部分是：这个“链接”实际上根本不是链接，因为它不包含任何方案、域名和路径，只有查询字符串参数！非常可疑！他们对链接所做的处理简直令人难以置信，因为这使得短信完全无法采取行动。根本无法点击任何地方并支付款项。而且我在这里，为什么所有查询字符串参数名称现在都是大写？感觉像是某个地方有一个完全不同（坏的）过程在生成这些链接。或者骗子们根本就不一致……因为“非常可疑”是主流主题，所以我需要深入挖掘。