Pode alguém ainda estar infectado apenas respondendo um email hoje em dia?

Question

Aqui - no item número 5 da lista - é uma recomendação para não responder a e-mails anônimos devido à possibilidade de estar infectado. Eu sei que uma vez que era possível por causa do JavaScript . Mas agora, ainda é um problema? Especialmente para serviços de e-mail de maior segurança, como o Gmail.

    

Answer 1

O risco de responder a e-mails de registro de domínio vem dos riscos de invasão de engenharia social e de não estar realmente "infectado".

Here—in item number 5 in the list—is a recommendation not to reply to anonymous emails because of the possibility of being infected.

Olhando para o item número 5 na página que você está linkando para mostra que nada disso tem nada a ver com o básico infecções por e-mail do usuário final:

5. Do not reply (or click on any links) in any domain related e-mail correspondence you do not recognize. Also be careful not to reply to any 'official looking' renewal notices you receive in the mail from companies you do not recognize. Domain hijackers and unscrupulous registrars have been known to submit mass amounts of transfers hoping that a small percentage of confused registrants will accidentally confirm the transfers. When in doubt, contact your original registrar to verify any suspicious messages.

Depois de ler isso, é muito claro que o conselho é sobre como evitar transferências fraudulentas de registro de nomes de domínio e alterações relacionadas ao registrador de domínios. Isso significa que, se você receber uma notificação por e-mail do registrador de domínio real dizendo que "sua ação é necessária" para concluir um processo, não aja de forma alguma. Ou então você corre o risco de dar início a um processo em que alguém - que não é você - pode roubar seu nome de domínio de você.

Dito isto, essas instruções parecem bastante arcaicas. A página tem uma data de direitos autorais de 2009, mas mesmo naquela época não era tão "magicamente" fácil roubar um registro de domínio dessa maneira.

A realidade é que as mudanças no registro de domínio hoje em dia exigem mais alguns freios e contrapesos - e muito mais habilidades de “engenharia social” (aka: ser um trapaceiro completo) - e não podem ser simplesmente afetadas pelo acionamento de um simples e-mail. Então, embora esse conselho seja um pouco sólido, é sempre bom ignorar os e-mails indesejados. Também é um pouco paranoico.

Com relação à questão central sobre como responder a e-mails - em geral, ser um risco de infecção.

I know that once upon a time that was possible because of JavaScript. But now, is it still an issue? Especially for higher security email services such as Gmail.

As chances de você ser infectado respondendo a um e-mail são muito baixas, já que responder tem nunca sido um vetor. O único risco de infecção de e-mail que existia veio de procurar em - ou abrir - um e-mail, pois se o e-mail continha conteúdo HTML, era risco de HTML poder conter JavaScript malicioso incorporado.

Isso já era um risco em alguns navegadores / programas de e-mail que não filtravam / desativavam adequadamente o JavaScript de e-mails como o drumroll, o Microsoft Outlook, que tratava o e-mail HTML como se fossem apenas páginas HTML. O simples ato de tratar um e-mail em HTML como se fosse uma página da Web em HTML abriu uma porta bastante ampla para infecções simplesmente examinando um e-mail.

Então você está 100% correto ao pensar que hoje em dia existem mais proteções no lugar. E a principal “proteção” em vigor em qualquer programa / navegador de e-mail moderno verdadeiramente competente é simplesmente não executar JavaScript ao exibir conteúdo de e-mail HTML. Conforme explicado nesta página, em “Os Fazer e Não Fazer do Email HTML” :

Don’t use Javascript. It will be ignored or even treated as a security risk. Once someone receives a security notice about one of your emails, they’ll be unlikely to ever open another one.

O único risco que posso imaginar é se você estivesse de alguma forma usando um cliente de e-mail desatualizado, baseado em navegador, que não filtrasse ativamente o JavaScript em e-mails HTML. Nesse caso, o programa de e-mail baseado em navegador apenas exibe o e-mail em HTML em um navegador da web. O que seria, é claro, apenas exibir o conteúdo HTML do e-mail como se fosse uma página HTML do navegador da web puro ... JavaScript e tudo. Mas como eu disse, isso é estritamente um risco extremo hoje em dia, mas você deve estar ciente de que, de alguma forma, você encontra - e precisa usar - um programa de e-mail baseado em navegador.

    

Answer 2

O motivo pelo qual muitas vezes é aconselhável excluir e-mails de spam sem abri-los é limitar o feedback fornecido aos spammers.

Idealmente, queremos que seja impossível para os spammers saber a diferença entre um e-mail que foi capturado por um filtro de spam e um e-mail que passou pelo filtro de spam, mas foi reconhecido como spam pelo usuário.

Se os remetentes de spam puderem dizer a diferença entre os dois cenários, eles poderão automatizar os ajustes em seus e-mails de spam com o objetivo de obter filtros de spam.

Responder a um e-mail, clicar em um link em um e-mail ou carregar arquivos externos para renderizar tudo isso fornece feedback aos spammers, o que queremos evitar.

Em alguns contextos, o conselho é dado sem explicar a razão por trás dele, e às vezes com a razão implícita, que não seguir o conselho fará com que seu computador seja infectado por um vírus. Embora existam vulnerabilidades, o que tornaria essas infecções possíveis, essa nunca foi a principal razão para o conselho.

Como apontado na resposta de @JakeGould, a página para a qual você fornece um link ainda fornece outro motivo para não responder ou clicar em qualquer link. Esse motivo é direcionado a fluxos de trabalho específicos relacionados ao gerenciamento de domínios. No entanto, isso pode se aplicar a outros fluxos de trabalho e, geralmente, qualquer e-mail de spam pode fazer parte de um ataque de engenharia social. Às vezes, esses ataques de engenharia social podem ser tão complicados que mesmo os usuários mais conscientes da segurança podem achar o e-mail suspeito, mas podem ser completamente incapazes de explicar como ele poderia ser útil como parte de um ataque de engenharia social.

Se todas as três razões ou apenas uma das três se aplica a um email específico, o conselho permanece o mesmo. E alguns usuários estão muito satisfeitos apenas lembrando o conselho e não o raciocínio por trás dele.