الملف المرفق بصيغة SVG ما هو إلا صفحة HTML خالية من أي عناصر رسومية. عند فتح الملف في المتصفح، يظهر كصفحة ويب فيها رابط يزعم أنّه يؤدي إلى ملف صوتي. عند النقر على الرابط، يتم توجيه المستخدم لصفحة تصيد احتيالي تحاكي تسجيل Google Voice، لكن التسجيل الصوتي ليس سوى صورة ساكنة. وعند النقر على «تشغيل الصوت» يُحال المستخدم إلى صفحة تسجيل دخول بالبريد الإلكتروني للشركة، حيث يتمكن المحتالون من سرقة معلومات حسابه. تتضمن هذه الصفحة كذلك إشارة إلى Google Voice. كما تعرض الصفحة أيضاً شعار الشركة المستهدفة للتخفيف من حذر المستخدم.

نموذج تسجيل دخول مزيف

في حادثة أخرى، تظاهر المهاجمون بإرسال إشعار من خدمة توقيع إلكتروني، مقدمين ملف SVG كوثيقة تحتاج مراجعة وتوقيعاً.

رسالة تصيد احتيالي متخفية في طلب توقيع إلكتروني

خلافاً للحالة الأولى التي ظهر فيها ملف SVG كصفحة HTML، يتضمن هذا الملف كود JavaScript يفتح، عند تشغيل الملف، نافذة متصفح تعرض موقع تصيد احتيالي يحاكي خدمات مايكروسوفت.

يعلق رومان ديدينوك، خبير مكافحة البريد العشوائي لدى كاسبرسكي: «يواصل محتالوا التصيد الاحتيالي استكشاف تقنيات جديدة باستمرار للتحايل على آليات الرصد. فهم يغيرون أساليبهم، مستخدمين أحياناً إعادة توجيه المستخدم للتضليل، وأحياناً أخرى، يجربون تنسيقات مختلفة للمرفقات. تُظهر الهجمات التي تستخدم مرفقات SVG اتجاهاً تصاعدياً واضحاً. وفي حين أن هذه الهجمات حالياً بسيطة نسبياً، حيث تحتوي ملفات SVG إما على صفحة برابط تصيد احتيالي أو نص برمجي لإعادة التوجيه إلى موقع احتيالي، إلا أن استخدام SVG كحاوية للمحتوى الخبيث يمكن توظيفه أيضاً في هجمات موجهة أكثر تطوراً». 

لتجنب الوقوع ضحية للتصيد الاحتيالي أو الرسائل الخبيثة، يقدم خبراء كاسبرسكي النصائح التالية:

• تأكد من موثوقية المرسل قبل فتح أي رسالة إلكترونية أو النقر على أي رابط فيها.
• حتى لو بدا المُرسل مشروعاً، ولكن محتوى الرسالة يبدو غريباً، من الأفضل التواصل معه عبر قناة اتصال أخرى للتأكّد.
• دقق في إملاء رابط الموقع الإلكتروني للتأكد من أنه ليس صفحة تصيد احتيالي. قد يحتوي رابط الموقع الإلكتروني على أخطاء يصعب اكتشافها من النظرة الأولى، مثل استخدام الرقم 1 بدلاً من حرف I أو الرقم 0 بدلاً من حرف O.
• استخدم حلاً أمنياً معتمداً عند تصفح الويب.