Хакеры обманули пользователей Robinhood с помощью поддельных писем: как это работает

В минувшие выходные пользователи торговой платформы Robinhood получили фишинговые письма, которые не смогла распознать ни одна система защиты. Сообщения выглядели как легитимные уведомления от компании: имели корректные заголовки, были подписаны DKIM, SPF и DMARC, а также отправлены с подлинного сервера [email protected]. Более того, Gmail автоматически поместил их в ту же цепочку переписки, что и настоящие уведомления Robinhood о безопасности.

Единственными признаками мошенничества стали незначительные технические несоответствия и содержащаяся в письме ссылка на поддельную страницу для ввода логина и пароля. К воскресенью хакеры использовали саму систему уведомлений Robinhood, чтобы распространить атаку. Анализ инцидента быстро стал вирусным в социальных сетях.

Почему фишинговые письма были такими убедительными

Эксперт по кибербезопасности Абдель Саббах опубликовал разбор атаки и назвал её «как бы красивой» — с намёком на изящную техническую реализацию. Злоумышленники использовали несколько уловок:

• «Трюк с точками» в Gmail: сервис игнорирует точки в части адреса до символа @. Например, [email protected] и [email protected] приходят в один и тот же ящик. Хакеры создали аккаунт с адресом, похожим на легитимный, но с точками, которые Gmail не учитывает.
• HTML-инъекция: мошенники указали в названии устройства блок нефильтрованного HTML-кода. Когда Robinhood отправляла уведомление о неопознанной активности, шаблон вставлял это название без санитизации, в результате чего в письме отображался вредоносный контент.

В итоге получатели видели письмо от [email protected] с прошедшими все проверки безопасности DKIM, SPF и DMARC, но содержащее фишинговую ссылку. Переход по ней вёл на поддельную страницу, где жертвы вводили данные для входа и двухфакторной аутентификации — таким образом хакеры получали доступ к аккаунтам и могли похитить деньги.

Предыдущие случаи и уроки для пользователей

В апреле 2025 года разработчик Ethereum Name Service Ник Джонсон задокументировал аналогичную атаку: мошенники отправляли фишинговые письма от имени Google, используя его же инфраструктуру. Тогда, как и сейчас, традиционные методы защиты — проверка домена отправителя и проверка подлинности писем — не сработали.

«Любое письмо, которое якобы пришло от Robinhood, даже если оно действительно отправлено их системой, является фишингом. Это очень коварно».
— Дэвид Шварц, технический директор Ripple

Эксперты призывают пользователей быть бдительными и не кликать по ссылкам в письмах, даже если они выглядят абсолютно легитимными. Проверка домена отправителя и наличие ошибок аутентификации в данном случае не помогут — мошенники используют легитимные каналы для рассылки вредоносного контента.