È estremamente facile falsificare le email. Se qualcuno ha falsificato questo, non vedo come l'agenzia lo saprebbe. La preoccupazione è che il collegamento che ti hanno inviato fosse l'attacco stesso. Ad esempio, potrebbe trattarsi di un attacco CSRF:

Con un piccolo aiuto di ingegneria sociale ( come l'invio di un collegamento tramite e-mail o chat), un utente malintenzionato può indurre gli utenti di un'applicazione web a eseguire azioni di sua scelta.

Un suggerimento è contattare l'ufficio e scoprire se è qualcosa che fa. Solo perché la lingua sembra corretta e dice che proviene dal mittente giusto non significa nulla. Questo è un approccio comune utilizzato nelle email di phishing.

Un compito del CERT ( Computer Emergency Response Team) è precisamente quello di sorvegliare i problemi di sicurezza degli attivi nella loro circoscrizione.

Nel caso di CERT nazionali come CERT- AU, spesso si preoccupano di tutto ciò che è ospitato nel loro paese e, se vengono informati di qualsiasi problema, il loro compito sarebbe contattare il proprietario interessato in modo che possa risolvere il problema (come hanno fatto in questo caso). Potrebbero anche averti fornito qualche consiglio nel caso ne avessi avuto bisogno per trovare il problema.

Questi servizi sono gratuiti per le persone (sono un'agenzia governativa) e non ti chiederanno alcun tipo di pagamento per averti notificato.

Un elenco completo dei servizi CERT-AU è disponibile su https://cert.gov.au/services

Il modo di fornire l'URL come hXXp: //domain.com [.] Au / s.htm è abbastanza comune per condividere URL dannosi. L'obiettivo è che tu riceva l'URL (che ti servirà per scoprire dove si trova il contenuto dannoso) ma allo stesso tempo minimizzi il rischio che tu possa inavvertitamente aprirlo nell'ambiente sbagliato o prima di leggere l'email per intero ( inoltre, aiuta anche a evitare filtri e-mail che eliminano e-mail contenenti URL dannosi¹).

Ci sono molte fonti da cui potrebbero essere venuti a conoscenza di questo incidente:

• Un individuo li ha notificati
• Un altro CERT o una società di sicurezza li ha notificati
• È apparso in un elenco di siti compromessi a cui si sono iscritti
• È apparso su alcuni forum di deturpazione che stavano guardando (come zone-h)
• L'hanno trovato durante qualche altra indagine

Tra i vantaggi dell'invio le notifiche tramite il CERT sono:

• Quando ci sono più siti compromessi, è molto più facile notificare una singola entità per paese rispetto a ciascun operatore di sito web¹
• Il CERT avrà spesso alcune procedure per riprovare nel caso in cui fosse ignorato dall'amministratore. Una terza parte probabilmente tenterebbe una sola volta.
• Il CERT potrebbe avere contatti migliori a cui inviare la notifica.
• In quanto parte neutrale, è più probabile che il CERT riceva attenzione a²
• Nessuna barriera linguistica: il CERT dovrebbe essere in grado di contattare il proprietario del sito web nella sua lingua madre.
• Il CERT avrà personale tecnico in grado di comprendere facilmente il problema e in grado di spiegarlo, se necessario, al proprietario del sito web (che potrebbe non avere alcuna conoscenza in sé).

È disponibile un elenco di CERT mondiali (sia pubblici che privati) all'inizio: https://first.org/members/teams

Un database di CERT europei e team di sicurezza è disponibile anche su Trusted Introducer.

¹ Ad esempio, Google trova ogni giorno un sacco di URL dannosi che rileva tramite la scansione, invece di tentare di segnalarli direttamente al proprietario, li condivide con il pertinente CERT nazionale in modo che possa occuparsi della notifica.

² Immagina che questa domanda sia «un tipo a caso da un indirizzo hotmail ha inviato al nostro amministratore…»

A meno che non ve lo dicessero nella lettera, non c'è modo di sapere come sono stati informati dell'hacking. È probabile che qualcuno abbia segnalato un problema, un attacco o un'indagine di qualche tipo al CERT e che sia stato quindi in grado di risalire all'indirizzo IP del tuo server.

Ti consiglio almeno di continuare la tua indagine; ma considera di assumere una società di sicurezza. C'è molto da fare in questa fase di un attacco oltre a capire cosa è successo. Potrebbe essere necessario conservare le prove, sarà necessario ripristinare i sistemi, potrebbe essere necessario fornire notifiche di violazione, potrebbe essere necessario che la clientela modifichi le proprie password; tutti i tipi di attività possono derivare da una violazione e un professionista ti aiuterà a guidarti in tutto ciò.

Senza vedere le intestazioni delle email, non c'è modo per noi di esserne sicuri, ma sembra più probabile che l'avviso di posta elettronica fosse il phishing, come dice Jimmy James sopra. Molto più facile per l'attaccante che ha inserito il file lì, conoscerlo e "segnalarlo" a te "ufficialmente" per farti fare clic su di esso. CSRF sembra il tentativo più probabile in corso. L'autore dell'attacco non ha modo di sapere che la persona a cui l'ha inviato non aveva credenziali sul sito, ma come hai sottolineato, ha utilmente inoltrato l'email a te, chi le ha. Non sto dicendo che ha avuto successo, ma la risposta a "Come facevano a saperlo" sembra molto probabilmente "Non l'hanno fatto e la notifica è stata falsificata".

Questo sarebbe un buon modo per fare Phishing a qualcuno quando potresti hackerare "un po '" il suo sito.

Basta scrivere un file benigno sul suo server, quindi contattarlo e avviare una conversazione con il governo "Tech". A quel punto, se non fossi sospettoso, probabilmente potrebbero chiederti di fare qualsiasi cosa e tu lo faresti e basta.

Mi rendo conto che non hai detto che ti hanno chiesto di contattarli o altro, quindi forse no, ma mi piace sempre sbagliare dalla parte della paranoia.

Cosa fa questo sito web? Ospita account o accetta carte di credito?

Il file dovrebbe essere considerato un chiaro segno che sei stato effettivamente compromesso. Non conosci l'estensione o il vettore dell'attacco, ma il file potrebbe essere un "flag" che un bot cerca per determinare che il server è ancora compromesso.

Quindi assicurati di mantenere i backup e conserva i timbri di data / ora, i log del server web e i backup stessi. Torna al tuo primo backup e controlla se il file è presente, confronta anche i contenuti del sito con i contenuti previsti.

Cerca anche nei tuoi log le richieste al file s.htm . Di tanto in tanto potresti trovare una rete bot che effettua il check-in per vedere che le luci sono accese. C'è la strana possibilità che tu possa usare le informazioni IP che trovi lì per cercare altro traffico, il che potrebbe scoprire le orme dell'attacco.

Nel frattempo contatta il mittente dell'email - be assicurati di cercare le loro informazioni di contatto da una fonte ufficiale e non dall'email stessa. Ho ricevuto notifiche simili da provider di hosting, che potrebbero anche cercare il file se è noto che indica una macchina compromessa.

Penso davvero che sia un attacco di phishing.

Tuttavia, è anche possibile per le agenzie CERT ottenere un elenco di siti compromessi tramite i mirror di deturpazione, come Zone-H. Ma non vedo perché lo avrebbero fatto.