Robinhood 账户创建漏洞遭利用，被用于发送网络钓鱼邮件

在线交易平台罗宾汉（Robinhood）的账户创建流程被威胁行为者利用，他们将网络钓鱼信息注入合法邮件，诱使用户相信其账户出现可疑活动。

从昨晚开始，罗宾汉的客户陆续收到主题为 “您最近登录罗宾汉” 的邮件，邮件称检测到 “与您账户关联的未知设备”，其中包含不寻常的 IP 地址和部分电话号码。

网络钓鱼邮件内容称：“我们检测到一次来自未知设备的登录尝试。如果这不是您本人操作，请立即查看您的账户活动，以确保账户安全。”

邮件中包含一个名为 “立即查看活动” 的按钮，点击后会跳转到网址为 robinhood [.] casevaultreview [.] com 的网络钓鱼网站，该网站目前已无法访问。

不过，Reddit 上的截图显示，该网站很可能被用于窃取罗宾汉的账户凭证。

这些邮件令人信服的原因在于，它们来自罗宾汉的合法邮箱 noreply@robinhood.com，并且通过了 SPF 和 DKIM 邮件安全检查。

攻击者利用罗宾汉公司引导流程中的一个漏洞，通过该平台生成网络钓鱼邮件。这个漏洞使他们能够将任意 HTML 代码注入账户确认邮件中。

BleepingComputer 证实，当注册一个新的罗宾汉账户时，公司会自动向关联邮箱发送一封 “您最近登录罗宾汉” 的邮件，其中包含注册时间、IP 地址、设备信息和大致位置。

为了注入网络钓鱼信息，威胁行为者修改了设备元数据字段，加入嵌入的 HTML 代码，而罗宾汉没有对其进行正确清理。

随后，这段 HTML 代码被注入到账户创建邮件的 “设备：” 字段中，使其显示为一条虚假的 “与您账户关联的未知设备” 消息。

为了针对罗宾汉客户进行攻击，攻击者可能使用了此前数据泄露事件中获取的已知客户邮箱列表。2021 年 11 月，罗宾汉曾遭遇数据泄露事件，影响 700 万客户，泄露的数据后来在一个黑客论坛上被出售。

攻击者还利用了 Gmail 的点别名特性，即在邮箱地址中添加句点不改变其收件目的地，这样他们就能使用真实邮箱地址的变体注册账户，同时仍能将邮件发送给目标收件人。

结果，收件人收到的看似是标准的登录提醒邮件，但其中嵌入了网络钓鱼内容，警告 “未知活动” 并敦促他们查看账户。

罗宾汉在 X 平台（原推特）发布的一份声明中证实了这一事件。

罗宾汉发文称：“周日晚上，部分客户收到了一封来自 noreply@robinhood.com 的伪造邮件，主题为‘您最近登录罗宾汉’。这次网络钓鱼尝试是由于账户创建流程被滥用导致的。这并非我们系统或客户账户遭到入侵，客户个人信息和资金未受影响。”

BleepingComputer 已证实，罗宾汉通过从账户创建邮件中移除此前被滥用的 “设备：” 字段，修复了这个漏洞。

罗宾汉建议收到该邮件的用户删除邮件，避免点击任何链接。