Beste phishingmail ooit of eigenijk gewoon echt?

[YellowOnline]

Een mail van Facebook ("[e-mail]") op mijn spamadres:

"Sorry that you've been having trouble logging in to your Facebook account. Get back on Facebook now."

De headers:

code:

Delivered-To: [e-mail]
Received: by 10.27.131.85 with SMTP id f82csp199662wld;
        Wed, 30 Sep 2015 13:55:37 -0700 (PDT)
X-Received: by 10.170.44.19 with SMTP id 19mr5001430ykm.4.1443646537407;
        Wed, 30 Sep 2015 13:55:37 -0700 (PDT)
Return-Path: <[e-mail]>
Received: from mx-out.facebook.com (66-220-155-157.outmail.facebook.com. [66.220.155.157])
        by mx.google.com with ESMTPS id w6si1161259ywf.23.2015.09.30.13.55.37
        for <[e-mail]>
        (version=TLSv1 cipher=ECDHE-RSA-RC4-SHA bits=128/128);
        Wed, 30 Sep 2015 13:55:37 -0700 (PDT)
Received-SPF: pass (google.com: domain of [e-mail] designates 66.220.155.157 as permitted sender) client-ip=66.220.155.157;
Authentication-Results: mx.google.com;
       spf=pass (google.com: domain of [e-mail] designates 66.220.155.157 as permitted sender) smtp.mailfrom=[e-mail];
       dkim=pass header.i=@facebookmail.com;
       dmarc=pass (p=REJECT dis=NONE) header.from=facebookmail.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=facebookmail.com;
    s=s1024-2013-q3; t=1443646537;
    bh=tpMZguOPHu0qmgu+m8hw3TVn8huBk7qUuoqAQpgonKY=;
    h=Date:To:Subject:From:MIME-Version:Content-Type;
    b=pmXGaBFKRJn9QuWqtjNK6tVzxSd3RT+NfGTvjJdFEvJavA09ckriRunRp4qT6Sb/l
     vCN1ItImMyAcnVSaJVBHtP1gN8EmphnAJKvUXmbLsAHrtPfU+Dd8uTop7z1r/yWDpX
     C8oQnuj+uphoSpN+riAQGler5XO0jkFXAiqlXtBE=
Received: from facebook.com (lSODvDIvzmkkRRPIolFBPJPJ6fN2EhVxaS4C23ibhDerQl4o0wEwEb1BDONn1NI1 10.224.41.71)
 by facebook.com with Thrift id 99c1e0d867b511e58bde0002c9df6936-671fa240;
 Wed, 30 Sep 2015 13:55:37 -0700
X-Facebook: from 2401:db00:2130:c081:face:0:4f:0 ([MTI3LjAuMC4x]) 
    by www.facebook.com with HTTP (ZuckMail);
Date: Wed, 30 Sep 2015 13:55:37 -0700
To: YellowOnline <[e-mail]>
Subject: Getting back onto Facebook
X-Priority: 3
X-Mailer: ZuckMail [version 1.00]
Return-Path: [e-mail]
From: "Facebook" <[e-mail]>
Reply-to: noreply <[e-mail]>
Errors-To: [e-mail]
X-Facebook-Notify: failed_login; mailid=520fcdd6f5931G56342346G0G86G40f158c0
List-Unsubscribe: <https://www.facebook.com/o.php?k=AS0ZPypRzBH9_kBH&u=1446257478&mid=520fcdd6f5931G56342346G0G86G40f158c0>
X-FB-FFV: normal
X-FACEBOOK-PRIORITY: 1
X-Auto-Response-Suppress: All
Message-ID: <[e-mail]>
MIME-Version: 1.0
Content-Type: multipart/alternative;
    boundary="b1_13c373abd52da5cc1fe0b7911add6ad6"
X-EsetId: 37303A29601F8F63657465

Dat is de eerste keer in mijn leven dat ik twijfel bij een mail. Dat ziet er helemaal legit uit. Nochtans heb ik niets te doen met Facebook - geen account en nooit gehad. Ook is mijn spammail een adres dat je niet met verkeerd typen krijgen kan (tenzij met een oneindig aantal apen en oneindig veel tijd). Als het echt is, dan vraag ik mij af waarom Suikerberg mij lastig valt.

[Pistolebob]

Misschien gebeurt dat ook wanneer je probeert in te loggen op facebook met een emailadres waar geen facebook aan gekoppeld is..
De mail lijkt echt iig.

[Freezerator]

Of iemand heeft pogingen gedaan om op jouw account in te loggen?

[J0HAN]

Freezerator schreef op donderdag 01 oktober 2015 @ 22:29:
Of iemand heeft pogingen gedaan om op jouw account in te loggen?

Daar lijkt het op...

De mail bevat een "list-unsubscribe" link, als je die volgt zie je dit:



ik heb nog niet op confirm geklikt, dat mag je zelf doen ;-)

[ Voor 7% gewijzigd door J0HAN op 01-10-2015 22:41 ]

[hcQd]

Freezerator schreef op donderdag 01 oktober 2015 @ 22:29:
Of iemand heeft pogingen gedaan om op jouw account in te loggen?

Eh? “Nochtans heb ik niets te doen met Facebook - geen account en nooit gehad.”

[prekz]

Whois lijkt ook te kloppen: http://whois.domaintools.com/facebookmail.com

[Onbekend]

En geef eens de code van de complete mail?

[MAX3400]

Als je weet hoeveel confirmation-mails ik krijg van Twitter, Instagram en andere social media sites... Allemaal legit en allemaal bij mij bezorgd omdat er een andere "debiel" mijn mail-adres als simpel/cool ofzo heeft ingevoerd.

Geen idee of jouw eigen @adr.es een logisch/makkelijk iets is maar als je daar ook een soort catchall hebt ingesteld, krijg je dus inderdaad mail van Facebook. Het is niet anders dan als ik nu een Facebook zou openen met [e-mail]; daar krijg jij op een gegeven moment ook mails van dus als ik lang niet inlog ofzo.

[Ketho]

Ik krijg soms ook dit soort berichten van Facebook, terwijl ik mijn account al een tijdje heb gedeactiveerd.

https://gist.github.com/anonymous/01c1065b5ec615166b22

[spone]

Het ziet er in elk geval erg legit uit: de mail is ontvangen door google vanaf een IP wat toebehoort aan facebook. Enige wat zo te zien niet lijkt te kloppen is dat de forward lookup voor mx-out.facebook.com naar 69.63.179.26 verwijst, maar of dat nou zo'n probleem is.