Golpistas estão abusando de notificações legítimas de pedidos da Dell e da Staples para aplicar golpes de callback phishing (phishing com retorno de chamada), inserindo números fraudulentos de central de ajuda em e-mails transacionais que passam pelas verificações de autenticação.
Pesquisadores da Cisco Talos observaram cerca de 1.400 mensagens em duas campanhas, o que evidencia como a infraestrutura de varejo confiável pode transmitir instruções controladas por invasores sem depender de remetentes falsificados ou de links maliciosos.
O caso faz parte de um padrão mais amplo: a Talos monitorou abusos envolvendo mais de 25 plataformas legítimas ao longo do último ano, abrangendo serviços de colaboração, produtividade, compartilhamento de arquivos, pesquisas, pagamentos e IA (inteligência artificial).
A campanha da Staples usou uma confirmação de pedido enviada a partir do endereço [e-mail protegido], com o assunto referindo-se ao pedido nº 9939818875.
O corpo da mensagem, com formatação profissional, descrevia a compra de um iPad da Apple, incluindo preços, informações de entrega, dados de cobrança e a identidade visual padrão de uma empresa.
No entanto, os campos normalmente reservados às informações de entrega ou de cobrança continham “Helpline 806 283 7712” (central de ajuda) e “Order Confirmed” (pedido confirmado).
Essas instruções inseridas incentivavam os destinatários, alarmados com uma compra inesperada, a ligar para o golpista em vez de investigar pelos canais oficiais.
A campanha contra a Dell seguiu o mesmo modelo. Uma notificação de pedido fazia referência ao ID de compra da Dell 2009829958247 e a uma licença do Microsoft Project Standard 2024, no valor total de US$ 736,09.
As seções “Ship To” (entrega) e “Bill To” (cobrança) incluíam “Helpline 808 232 6397”, “Confirmed Order” (pedido confirmado) e “Call Our Sales Team” (ligue para nossa equipe de vendas).
As duas campanhas buscavam levar os destinatários do e-mail para conversas por telefone, onde os golpistas poderiam, potencialmente, aplicar fraudes de pagamento, roubo de credenciais ou golpes de assistência remota.
Pesquisadores da Cisco Talos afirmaram que, ao transformar em arma os fluxos de notificação de software como serviço (SaaS), essas plataformas são cada vez mais reaproveitadas como intermediárias para intenções maliciosas.
As informações disponíveis não permitem determinar quais ações posteriores ocorreram.
E-mails da Dell e da Staples explorados
A amostra da Staples apresentou autenticação DKIM (correio identificado por chaves de domínio) alinhada para os pedidos enviados pelo domínio orders.staples.com, com resultado DMARC (autenticação de mensagens baseada em domínio) aprovado. A infraestrutura relacionada à Dell também passou na verificação DKIM, e o DMARC foi aprovado para o domínio order.dell.com.
Ao inserir uma “hostile string” (sequência hostil), como um isca com tema de criptomoedas, em campos destinados a nome, empresa ou cargo, o invasor leva a plataforma a tratar esses dados como informações legítimas do usuário.
Esses resultados comprovaram o contexto de envio da mensagem, e não a legitimidade da compra ou dos números de telefone incorporados.
O encaminhamento por serviços como o Microsoft 365 e o Proton Mail, no caso da Staples, complicou a análise de origem, sem alterar essa distinção.
O mecanismo reproduz a pesquisa anterior da Talos sobre abuso de plataformas usadas como intermediárias, em que invasores inseriram conteúdo fraudulento em mensagens de commit do GitHub e em campos de projetos e convites do Jira.
Serviços confiáveis passaram, depois, a incorporar esses dados em notificações autenticadas, emprestando sua reputação a instruções maliciosas.
A Talos também descreveu fluxos de cadastro que refletem nomes, dados de empresas ou títulos de projetos fornecidos por invasores em e-mails automáticos. Em alguns casos de list-bombing (inundação de caixas de entrada com inscrições indesejadas em listas de e-mail), isso transforma o transtorno na caixa de entrada em entrega direcionada de conteúdo, e não apenas em simples perturbação.
As notificações de falha na entrega são outro veículo. Corpos de mensagens devolvidas ou conteúdos MIME (extensões multifuncionais de correio de internet) aninhados podem preservar iscas de phishing dentro de relatórios de falha aparentemente legítimos. Um exemplo observado continha uma isca com tema do WeTransfer, embora diferentes mecanismos de entrega possam produzir mensagens com aparência semelhante.
Varejistas devem validar os campos controlados pelos usuários antes de armazená-los e exibi-los, sinalizando números de telefone, URLs ou instruções urgentes de suporte que não deveriam estar presentes nesses campos.
As notificações de pedido também devem ser conferidas em relação ao status do pagamento, ao histórico da conta, ao contexto da entrega e aos canais de suporte aprovados.
Gateways de segurança precisam inspecionar o HTML renderizado, o texto simples, os anexos, os redirecionamentos e os objetos MIME aninhados, em vez de depender apenas da reputação do remetente ou da autenticação.
Verificações de contexto de negócio podem revelar instruções de cancelamento incorporadas em campos de endereço.
Isso separa a autenticação da infraestrutura da validação da transação, dois controles que tratam de riscos fundamentalmente diferentes.
Os destinatários devem confirmar compras inesperadas acessando as contas do varejista de forma independente ou pelos canais de suporte já estabelecidos, nunca pelos números de telefone fornecidos em notificações suspeitas.
A falha central está na confiança mal direcionada: uma infraestrutura legítima pode entregar conteúdo hostil mesmo quando a identidade externa do e-mail é autêntica.
