Как мошенники отправляют фишинговые письма с реального адреса Microsoft

Фактически злоумышленник вставляет фишинговый текст внутрь настоящего системного уведомления Microsoft.

Какие уловки используют злоумышленники

Исследователи отмечают несколько приемов, которые делают письма более убедительными и помогают обходить фильтры:

• Манипуляция темой письма — длинный текст мошенничества помещается в поле названия организации и попадает в тему или предпросмотр сообщения.
• Похожие символы (homoglyphs) — использование похожих букв и специальных символов, чтобы обойти фильтры ключевых слов.
• Скрытые номера телефонов — цифры могут заменяться буквами или необычными символами, чтобы автоматические антиспам‑системы не распознали номер.

Почему такие письма выглядят настоящими

Главная проблема в том, что письмо не является обычной подделкой.

Поскольку сообщение отправляется из инфраструктуры Microsoft, оно проходит проверки подлинности электронной почты — SPF, DKIM и DMARC. Многие почтовые системы используют именно эти механизмы, чтобы убедиться, что отправитель настоящий.

Кроме того, получатель видит знакомый адрес отправителя, связанный с уведомлениями о безопасности аккаунта Microsoft. Это повышает доверие даже тогда, когда содержание письма вызывает сомнения.

Что сообщили исследователи и антиспам‑организации

Расследования журналистов и специалистов по безопасности показали, что:

• мошеннические письма с адреса Microsoft приходили в разные почтовые ящики и имели похожую структуру;
• в сообщениях использовались типичные сценарии — уведомления о покупке, проблемах с оплатой или срочные обращения в «службу поддержки»;
• злоумышленники массово создают и быстро удаляют тенанты Microsoft 365, действуя по схеме «создал‑использовал‑выбросил».

Антиспам‑эксперты также критиковали возможность слишком гибко настраивать текст в автоматических уведомлениях. По их мнению, если контроль слабый, доверенная инфраструктура может превратиться в канал распространения фишинга.

При этом на момент публикации сообщений Microsoft публично не подтверждала точную техническую причину проблемы.

Как понять, что письмо от Microsoft подозрительное

Даже если адрес отправителя настоящий, стоит обращать внимание на контекст. Тревожные признаки:

• уведомление о покупке или платеже, который вы не совершали;
• просьба срочно позвонить по номеру поддержки;
• ссылки для «срочного решения проблемы с аккаунтом»;
• коды подтверждения для действий, которые вы не инициировали.

Адрес отправителя сам по себе больше не является надежным признаком подлинности.

Что делать, если пришло подозрительное письмо

Если вы получили такое сообщение:

• не переходите по ссылкам и не звоните по указанным номерам;
• откройте сервис Microsoft вручную, введя официальный адрес сайта в браузере;
• проверьте активность аккаунта в панели безопасности;
• пометьте письмо как фишинг или спам в почтовом клиенте;
• если вы уже взаимодействовали с письмом, смените пароль и проверьте историю входов.

Этот случай показывает растущую тенденцию в киберпреступности: вместо поддельных доменов злоумышленники все чаще используют доверенную инфраструктуру крупных платформ, что делает фишинг значительно убедительнее и сложнее для обнаружения.