感谢联邦快递，这就是我们不断遭到网络钓鱼的原因

我最近收到了很多“你的包裹无法投递”的网络钓鱼攻击，如果你是一个有手机的人，你可能也遇到过。简单提醒一下，它们看起来像这样：它们通过了我的电信公司现有的所有技术控制，然后直接进入我的短信收件箱。然而，我不会落入骗局，因为我会寻找警告信号：紧迫感、害怕错过的恐惧，以及与我所知道的任何包裹递送服务完全不同的奇怪 URL。他们通过在每个链接中的某处或其他位置放置“auspost”来说服我他们来自澳大利亚邮政，这是相当艰难的，但我是一个聪明的人，所以我不会上当（这是一个笑话，请阅读为什么人类不擅长 URL）。然而...我在等一个包裹。现在已经是 2020 年代了，新冠疫情过去了，所以我总是期待着收到包裹，因为这就是我们现在买东西的方式。因此，当我本周早些时候收到以下短信时，我正在等待一个包裹，并且我期待着网络钓鱼攻击：所以......它是哪一个？包裹还是网络钓鱼？让我们看看人们怎么说：哇 - 这是 4,000 多名受访者中 87% 的“狡猾 AF”投票，所以是的，这非常明显。为什么会有这么多可疑的人群？让我们将该消息分解为 7 个“狡猾的 AF”标志：网络钓鱼者通常会在消息中出现拼写错误，而且我知道“FedEx”总是将“E”大写。那么“-Exp”是怎么回事？狡猾的AF！为什么发货编号看起来这么短？为什么它与下面请求的付款相同？狡猾的AF！啊，这么紧急是吗？紧迫性是社会工程的核心原则，因为它鼓励人们在没有正确思考的情况下采取行动。狡猾的AF！为什么“D”和“T”要大写？狡猾的AF！这是一家总部位于美国的全球递送包裹服务公司，为什么他们不告诉我币种？或者甚至使用美元符号？狡猾的AF！这还需要解释吗？ “bpoint.com.au”服务是什么？如果我们谈论关税和税费，它绝对不是联邦快递域名，也不是澳大利亚政府域名。狡猾的AF！所以...你要给我任何“查询”的联系方式（不是“查询”，所以还有另一个语法上的危险信号），我们现在正在放弃这种做法，原因很简单：因为它是狡猾的 AF！所以，我和其他 87% 的人是一样的。然而...我期待着一个包裹。来自联邦快递。来自澳大利亚境外，因此可能会产生关税和税款。我真的很想得到这个包裹，因为它是 Prusa 的新型 3D 打印机，而且非常棒！有一个明智的建议在这些情况下总是相关的，而且非常简单：如果有疑问，请访问有问题的网站并亲自验证请求。因此，我转到 Prusa 的购买确认信息，找到了运输详细信息，然后点击联邦快递网站的链接。现在只需找到谈论税收的部分，除了……狡猾的。 A.F. 我浏览了整个页面，没有找到任何关于关税的提及，也没有找到任何与税收相关的内容。尽管我尽了最大的努力，但我无法通过直接访问（所谓的）来源来确定短信的真实性。但我可以轻松确定的是，如果您点击短信中的链接，您可以将跟踪号码、客户名称和金额更改为您想要的任何内容！这一切只需更改 URL 参数即可完成；我没有修改浏览器 DOM 或拦截流量或做任何花哨的事情，它实际上只是查询字符串参数篡改反映的 XSS 风格。这感觉就像每一个网络钓鱼网站，而不是澳大利亚最大银行运营的支付服务。说真的，BPOINT 是由联邦银行提供的，在经历了上述经历之后，我正准备联系他们并进行披露。除了这显然是系统设计的工作方式，而且它与网络钓鱼联邦快递短信完全平行。说到这里，第二天早上我收到了来自同一个发件人的另一封邮件：我不知道这是否会让事情变得更好还是更糟🤦‍♂️ 让我们直接进入亮点，无论好坏：我的送货号码现在实际上在电子邮件的文本中 - 耶！ “关税”和“税收”这两个词现在以正确的大小写表示 - 耶！ “PAY NOW”这个词是大写的，这看起来......狡猾的AF！我最喜欢的一点是：“链接”实际上根本不是链接，因为它不包含方案、域和路径，只包含查询字符串参数！狡猾的AF！他们对链接所做的事情令人难以置信，因为它使短信完全无法操作。不可能在任何地方点击并付款。当我在这里时，为什么所有查询字符串参数名称现在都大写？就好像在某个地方有一个完全不同的（损坏的）过程生成这些链接。或者诈骗者的态度不一致……因为“狡猾的AF”是流行的主题，我需要更深入地挖掘，所以我搜索了1800号码。第一个结果是该号码的反向澳大利亚页面，在阅读后