感谢 FedEx，这就是我们不断被钓鱼的原因（2024）

# 感谢联邦快递，这就是我们不断被钓鱼的原因 来源：https://www.troyhunt.com/thanks-fedex-this-is-why-we-keep-getting-phished/ 最近我收到了很多那种“您的包裹无法送达”的钓鱼攻击，如果您是一个有手机的人类，您可能也收到了。简单提醒一下，它们长这样： 这些攻击穿过了我电信运营商那里的所有技术控制，直接出现在我的短信收件箱里。不过，我不会上当，因为我会寻找警示信号：紧迫感、害怕错过，以及那些看起来和我所知的任何包裹递送服务都毫无相似之处的奇怪URL。他们想通过在链接里某个地方放上“auspost”来说服我他们来自澳大利亚邮政，但我是个聪明人，所以不会上当（这是个玩笑，请阅读[为什么人类不擅长URL](https://www.troyhunt.com/humans-are-bad-at-urls-and-fonts-dont-matter/)）。 然而……我*确实*在等一个包裹。现在已经进入21世纪20年代，又是后疫情时代，所以我*总是*在等包裹，因为这就是我们现在买东西的方式。所以，当我本周早些时候收到下面这条短信时，我既在等包裹，*又*在等钓鱼攻击： 那么……到底是哪个？包裹还是钓鱼？让我们看看大家怎么说： > 参考上面的推文，这条消息是合法的吗？我应该支付关税和税费吗？ > — Troy Hunt (@troyhunt) [2024年2月20日](https://twitter.com/troyhunt/status/1759827511402537256?ref_src=twsrc%5Etfw&ref=troyhunt.com) 哇——在超过4000名受访者中，有87%的人投了“可疑得不行（dodgy AF）”。所以是的，这相当明显。为什么人群如此一致地怀疑？让我们把这条消息拆解成7个“可疑得不行”的标志： 1. 钓鱼者通常会在消息中犯拼写错误，而且我知道“FedEx”总是把“E”大写。那个“-Exp”又是怎么回事？可疑得不行！ 2. 为什么运单号看起来这么短？而且为什么它和下面要求的付款金额一模一样？可疑得不行！ 3. 啊，所以是*紧急*的，对吧？紧迫感是社会工程学的核心原则，因为它会促使人们不假思索地行动。可疑得不行！ 4. 为什么“D”和“T”要大写？可疑得不行！ 5. 这是一家总部位于美国的全球包裹递送服务，为什么他们不告诉我货币单位？甚至不用美元符号？可疑得不行！ 6. 这还需要解释吗？这个“bpoint.com.au”服务是什么？如果我们在谈论关税和税费，它肯定不是联邦快递的域名，也不是澳大利亚政府的域名。可疑得不行！ 7. 所以……*你*要给我提供任何“query”（不是“queries”，所以这又是一个语法危险信号）的联系方式，而我们现在正逐渐摒弃这种做法，原因很简单：因为它可疑得不行！ 所以，我和另外87%的人站在一边。然而……我确实在等一个包裹。来自联邦快递。从澳大利亚境外寄来，所以可能需要缴纳关税和税费。而且我*真的*想拿到这个包裹，因为那是来自Prusa的新3D打印机，它们太棒了！ 有一条睿智的建议在这种情况下总是适用，而且非常简单：如果有疑问，请自行前往相关网站核实请求。于是，我打开Prusa的购买确认邮件，找到物流信息，然后点击链接进入联邦快递网站。现在只需要找到谈论税费的部分，但是…… 可疑。得。不。行。 我把那个页面翻了个遍，也找不到任何提到关税或与税费相关的内容。无论我怎么尝试，都无法通过直接访问（所谓的）源头来确认这条短信的真实性。但我*能够*轻松确认的是，如果你点击短信中的那个链接，你可以把追踪号、客户姓名和金额*改写成你想要的任何值！* 这只需通过更改URL参数即可完成；我没有修改浏览器DOM，也没有拦截流量，或者做任何花哨的事情，它真的只是查询字符串参数篡改，XSS风格的反射。这感觉就像所有钓鱼网站一样，而不是由澳大利亚最大银行运营的支付服务。说真的，BPOINT由联邦银行提供，经历了上述体验后，我已经准备联系他们并进行披露。只不过，这个系统显然就是设计成这样的，而且它与那些可疑的联邦快递短信完全是一个平行的问题。说到这个，就在第二天早上，我又收到了同一个发件人发来的另一条短信： 我不知道这会让事情变得更好还是更糟🤦♂️ 让我们直接来看重点，好的和坏的都有： 1. 我的运单号现在真的出现在短信文本里了——耶！ 2. “duty”和“taxes”这两个词现在大小写正确了——耶！ 3. “PAY NOW”这两个词被大写了，这似乎……可疑得不行！ 4. 而我最喜欢的部分：这个“链接”实际上根本不是链接，因为它没有协议、没有域名、没有路径，只有查询字符串参数！可疑得不行！ 他们对这个链接的做法简直令人难以置信，因为这使得短信完全无法操作。你根本不可能点击任何地方来付款。而且顺便说一句，为什么现在所有查询字符串参数名都大写了？就像某个地方有一个完全不同的（坏掉的）流程在生成这些链接。或者是骗子们本来就不一致…… 由于“可疑得不行”是主要的论调，我需要更深入地挖掘，所以我搜索了那个1800号码。前几个结果之一是[Reverse Australia上关于该号码的页面](https://www.reverseaustralia.com/lookup/1800111112/?ref=troyhunt.com)，我读了前三条评论，它们完美地总结了目前的感受： 无论你是在那个网站还是在搜索结果中的其他顶级链接上阅读，越多读就越会发现，人们完全搞不清楚这些消息是否合法。只有一件事可以做——打电话给联邦快递。不是打短信里那个（仍然可能是钓鱼的）号码，而是通过他们网站上的号码。于是，点击“Support”菜单项，进入“Customer Support”，[我们来到了这里](https://www.fedex.com/en-au/customer-support.html?ref=troyhunt.com)： 我就不让你忍受接下来那段回复的痛苦了，只需要说它只提到了电子邮件通信，并归结为建议你阅读发件人的域名。但我确实设法从系统里找到了一个电话号码，你接下来会看到，它和短信里的号码完全不同： 于是，我拨打那个号码，跟随语音提示，通过键盘选择选项，把我转接到关税和税费部分。但最终，在流程深入几步之后，系统不再响应按键！“1”没用，“2”也没用，所以没有响应，同样的消息只是重复播放。但它确实提供了另一种选择，建议我拨打132610。*那正是我一开始拨打、然后陷入这个无限循环的号码！* 我再次尝试，这次跟随一系列不同的提示，最终系统要求输入追踪号，然后开始告诉我网站已经展示过的内容！但它也提供了与客服人员通话的选项，我很快就被接通了。客服人员解释说，我的货物价值799美元，折合澳元1,215.97，因此需要缴纳一些入境费用。“太好了，但具体是多少？和我收到的可疑短信里说的是否一致？”他承诺会很快有人给我回电…… 然后，在最初那条可疑短信到达三天后，突然有一封邮件出现在我的收件箱里： 金额、BPOINT地址和措辞都与短信一致，但这仅仅是相关性，如果有人同时拥有我的电话号码和电子邮件地址，他们完全可以尝试用同样的细节来钓鱼。但随后，我查看了邮件的附件，发现了这个： ***这就是缺失的那一环！！！*** 我的完整Prusa发票被附上了，还有订单号、价格和物流信息。换句话说，你们87%的人都错了😲 更严肃地说，[仅澳大利亚人每年因诈骗损失就超过30亿澳元](https://www.abc.net.au/news/2023-04-17/australian-money-losses-to-scams-tops-3b-accc-report-says/102223720?ref=troyhunt.com)，而相对于这个问题的全球规模，这显然只是冰山一角。我们的澳大利亚通信和媒体管理局（ACMA）[最近报告称，已拦截了3.36亿条诈骗短信](https://www.acma.gov.au/articles/2023-11/336-million-scam-texts-blocked-telcos?ref=troyhunt.com)，像这样的技术控制显然很棒，但他们的报告中没有提到他们*没有*拦截的诈骗短信数量。这个遗漏很容易解释：他们根本不知道有多少条被发送出去。但如果让我猜，他们只是拦截了冰山一角。这就是为什么除了技术控制之外，我们还依赖人工控制，这意味着帮助人们识别诈骗的模式：要钱、紧迫感、有点奇怪的语法和大小写、看起来怪异的URL。你知道的，就像这样： 让这种情况如此荒谬的是，当我们都在警惕试图模仿合法组织的骗子时，联邦快递却在模仿骗子！我们正处于由AI驱动的诈骗蓬勃发展的时代，这些诈骗对人类来说越来越难以识别，而联邦快递却像是“来，帮我拿一下啤酒”，在骗子自己的游戏里更胜一筹，完美地做到了与他们完全无法区分。 唉，正如我在这种情况下最终会感叹的那样，现在是进入这个行业的好时机😊 [诈骗](https://www.troyhunt.com/tag/scam/)