Внимание: подписки PayPal используются не по назначению для рассылки поддельных писем о покупках.

[zender]

Мошенническая схема с использованием электронной почты заключается в злоупотреблении функцией оплаты «Подписки» в PayPal для рассылки легитимных писем PayPal, содержащих поддельные уведомления о покупках, встроенные в поле URL-адреса службы поддержки клиентов.


В течение последних нескольких месяцев люди сообщали [ 1 , 2 ] о получении электронных писем от PayPal с сообщением: «Ваш автоматический платеж больше не активен».


В электронном письме содержится поле с URL-адресом службы поддержки клиентов, которое каким-то образом было изменено, чтобы включить сообщение о том, что вы приобрели дорогостоящий товар, например, устройство Sony, MacBook или iPhone.

Этот текст содержит доменное имя, сообщение о том, что был обработан платеж в размере от 1300 до 1600 долларов (сумма варьируется в зависимости от электронного письма), а также номер телефона для отмены или оспаривания платежа. Текст заполнен символами Unicode, из-за чего некоторые части текста выделены жирным шрифтом или необычным шрифтом — это тактика, используемая для обхода спам-фильтров и распознавания ключевых слов.


"http://[domain] [domain] Платеж в размере 1346,99 долларов США успешно обработан. Для отмены или по другим вопросам обращайтесь в службу поддержки PayPal по телефону +1-805-500-6377", - гласит URL-адрес службы поддержки в мошенническом электронном письме.

В мошеннической схеме использовался электронный адрес подписки PayPal.
Источник: BleepingComputer

Хотя это явно мошенничество, электронные письма отправляются напрямую от PayPal с адреса "[email protected]", что заставляет людей опасаться, что их учетные записи могли быть взломаны.

Кроме того, поскольку эти электронные письма являются подлинными письмами от PayPal, они обходят системы безопасности и спам-фильтры. В следующем разделе мы объясним, как мошенники рассылают эти письма.


Цель этих писем — обманом заставить получателей поверить, что на их счету было приобретено дорогостоящее устройство, и запугать их, чтобы они позвонили по номеру телефона службы поддержки PayPal, указанному мошенником.


Подобные электронные письма исторически использовались для того, чтобы убедить получателей позвонить по указанному номеру для совершения банковского мошенничества или обманным путем заставить их установить вредоносное ПО на свои компьютеры.


Поэтому, если вы получили подлинное электронное письмо от PayPal о том, что ваш автоматический платеж больше не активен, и оно содержит поддельное подтверждение покупки, проигнорируйте это письмо и не звоните по указанному номеру.


Если вы опасаетесь, что ваш аккаунт PayPal был взломан, войдите в свою учетную запись и убедитесь, что никаких списаний не производилось.

Как работает мошенничество с PayPal​

BleepingComputer получил копию электронного письма от человека, который его получил и счёл странным, что мошенничество исходило с легитимного адреса электронной почты "[email protected]".

Кроме того, заголовки электронных писем указывают на то, что письма являются подлинными, проходят проверку безопасности DKIM и SPF и отправлены непосредственно с почтового сервера PayPal "mx15.slc.paypal.com", как показано ниже.


ARC-Authentication-Results: i=1; mx.google.com;<br> dkim=pass [email protected] header.s=pp-dkim1 header.b="AvY/E1H+";<br> spf=pass (google.com: domain of [email protected] designates 173.0.84.4 as permitted sender) smtp.mailfrom=[email protected];<br> dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=paypal.com<br>Received: from mx15.slc.paypal.com (mx15.slc.paypal.com. [173.0.84.4])<br> by mx.google.com with ESMTPS id a92af1059eb24-11dcb045a3csi5930706c88.202.2025.11.28.09.14.49<br> for <br> (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);<br> Fri, 28 Nov 2025 09:14:49 -0800 (PST)

После тестирования различных функций платежной системы PayPal, BleepingComputer смог воспроизвести тот же шаблон электронного письма, используя функцию «Подписки» PayPal и приостановив действие подписки для одного из подписчиков.

Подписки PayPal — это функция выставления счетов, которая позволяет продавцам создавать варианты оформления заказа по подписке, позволяющие пользователям подписаться на услугу за определенную сумму.


Когда продавец приостанавливает подписку подписчика, PayPal автоматически отправляет ему электронное письмо с уведомлением о том, что его автоматическая оплата больше не активна.


Однако, когда BleepingComputer попытался воспроизвести мошенническую схему, добавив к URL-адресу службы поддержки клиентов текст, отличный от URL-адреса, PayPal отклонил это изменение, поскольку допускается только использование URL-адреса.


Таким образом, похоже, что мошенники либо используют уязвимость в обработке метаданных подписки PayPal, либо применяют метод, например, API или устаревшую платформу, недоступную во всех регионах, который позволяет сохранять некорректный текст в поле URL-адреса службы поддержки клиентов.


Теперь, когда мы знаем, как они генерируют электронные письма от PayPal, по-прежнему неясно, как они отправляются людям, которые не оформили подписку на PayPal.

Заголовки письма показывают, что PayPal фактически отправляет электронное письмо на адрес "[email protected]", который, как мы полагаем, является адресом электронной почты, связанным с поддельным подписчиком, созданным мошенником.


Вероятно, это список рассылки Google Workspace, который автоматически пересылает все полученные электронные письма всем остальным участникам группы. В данном случае, мошенник нацелен именно на участников этой группы.


Такая пересылка может привести к тому, что все последующие проверки SPF и DMARC завершатся неудачей, поскольку электронное письмо было переслано сервером, который не являлся первоначальным отправителем.


Компания PayPal сообщила изданию BleepingComputer, что принимает меры по устранению метода, используемого для рассылки этих мошеннических писем.


«PayPal не терпит мошеннических действий и прилагает все усилия для защиты наших клиентов от постоянно совершенствующихся фишинговых атак», — заявили в PayPal изданию BleepingComputer.

«Мы активно работаем над решением этой проблемы и призываем людей всегда быть бдительными в интернете и внимательными к неожиданным сообщениям. Если клиенты подозревают, что стали жертвами мошенничества, мы рекомендуем им обратиться в службу поддержки клиентов напрямую через приложение PayPal или на нашей странице «Контакты» для получения помощи».


Обновление от 14.12.25: Добавлено обновленное заявление, подтверждающее, что PayPal принимает меры по устранению недостатков в способе отправки этих писем.