Spoofing? Mail met spam verstuurd bij verzonden items

[jordeynl]

Beste tweakers,

Heb een vraagje over eventueel spoofing of een hack. Een van mijn mailadressen (mail adres A) heeft gisteren 3 mailtjes verzonden naar zichzelf. Dit gebeurde op verschillende tijden en het mailtje was telkens identiek.

Titel
Melding - iPhone XsMax Free Giveaway before launching a new model.

In het bericht zit een link die overduidelijk fake is en waar ik absoluut niet op heb geklikt.

Nou vraag ik mij af, is mijn account dan gehackt of is dit spoofing? Zojuist wachtwoord gereset, tweestaps verificatie ingesteld en alle externe partijen de rechten van ingetrokken die deels toegang hadden tot mijn account. (Browsers, chromecast etc).

Relevante software en hardware die ik gebruik
Ik gebruik een iphone X en een macbook pro, die overigens die hele dag heeft aangestaan op sluimer modus. Wellicht mijn macbook overgenomen?...

Iemand tips? Suggesties?
Hoor het graag.

Edit
Mailtjes verstuurd en ontvangen naar zelfde mailadres ipv naar een ander mailadres.

[ Voor 7% gewijzigd door jordeynl op 29-08-2019 11:07 ]

[Opifex]

Ik weet niet of het gerelateerd is, maar ik merkte gisteren iets zeer gelijkaardigs.
In mijn Google-agenda stonden voor een 7-tal dagen, op elke dag een taak ingepland. En als ik je post zo zie... volgens mij was de titel van die taak EXACT hetzelfde als de titel van jouw verzonden mails!

Ik kan het niet meer controleren want de volgende dag waren ze weer verdwenen... Ik heb zitten zoeken naar apps met toegang tot mijn agenda, maar kon niet meteen iets fishy vinden.

Ik ben wel benieuwd naar wat hier uit de bus komt...

[jordeynl]

Ik kreeg in eerste instantie ook iets van een kalender melding. Ik denk dat het gerelateerd is...

[Opifex]

Ik heb m'n Verzonden items in m'n Gmail gecontroleerd, maar kan hier geen mails in vinden zoals jij beschrijft.

Ik blijf dit topic wel volgen, want ik wil ook wel weten wat hier nu juist aan de hand is

[Sebastiaannn]

Weet je wel zeker dat de mail echt vanaf het account van Adres A verzonden is en dat het niet alleen lijkt alsof dat zo is omdat ze een valse afzender hebben opgegeven?

oh laat maar zeg je in de titel

[ Voor 12% gewijzigd door Sebastiaannn op 29-08-2019 01:36 ]

[Opifex]

Sebastiaannn schreef op donderdag 29 augustus 2019 @ 01:35:
Weet je wel zeker dat de mail echt vanaf het account van Adres A verzonden is en dat het niet alleen lijkt alsof dat zo is omdat ze een valse afzender hebben opgegeven?

Dat is wat hij bedoelt met spoofing. Maarrrrr... dan zouden ze niet in "Verzonden items" komen te staan lijkt me...

[jordeynl]

Helaas wel inderdaad vanuit mijn mail... zie afbeelding (heb ze in het archief gezet..)

https://i.imgur.com/tCPmA...ape=thumb&fidelity=medium

[Opifex]

Ik vond intussen dit:

https://www.reddit.com/r/...otifications_like_iphone/

dit:

https://www.reddit.com/r/...yhq/google_calendar_spam/

en dit:

https://support.google.co...ead/533146?msgid=12405710

Het lijkt de calendar-meldingen te verklaren, maar jouw mail-probleem nog niet.

[jordeynl]

Opifex schreef op donderdag 29 augustus 2019 @ 01:41:
Ik vond intussen dit:

https://www.reddit.com/r/...otifications_like_iphone/

dit:

https://www.reddit.com/r/...yhq/google_calendar_spam/

en dit:

https://support.google.co...ead/533146?msgid=12405710

Het lijkt de calendar-meldingen te verklaren, maar jouw mail-probleem nog niet.

Ah kijk, dit verklaart het kalender gedrag in ieder geval! Thanks!

[Marly]

Zie hiervoor ook dit topic: Iphone spam in agenda

[ Voor 9% gewijzigd door Marly op 29-08-2019 04:54 ]

[Pietervs]

Spoofing of hack is misschien te achterhalen aan de hand van de headers van de verzonden mails: daar staat vaak (altijd?) een ip-adres van de verzender. Als daar je eigen ip adres als afzender in staar, heb je reden om je eigen apparatuur nog eens goed te controleren.

[Jordy_413]

2 dagen terug stond er iets gelijks in mijn agenda. heb m'n wachtwoord maar veranderd en de afspraken verwijderd. Nog niets van terug gezien.

[jordeynl]

Pietervs schreef op donderdag 29 augustus 2019 @ 09:04:
Spoofing of hack is misschien te achterhalen aan de hand van de headers van de verzonden mails: daar staat vaak (altijd?) een ip-adres van de verzender. Als daar je eigen ip adres als afzender in staar, heb je reden om je eigen apparatuur nog eens goed te controleren.

Ik vraag het me af..

Ik heb zojuist even een testje gedaan:
2 mailtjes verstuurd naar mijn email adres
- Via Apple Mail
- Via Thunderbird

Ik heb de mail informatie vergeleken met elkaar + dat van het spam mailtje.
Veel informatie lijkt 1 op 1 te kloppen.

Wat ik er tot nu toe uit kan concluderen is dat de mailtjes vanuit Apple Mail client zijn verzonden. Als ik mijzelf een mailtje stuur via thunderbird krijg ik hele andere informatie (zie bijgevoegde afbeelding). Ik ga het account van mijn computer verwijderen om te controleren of het vanavond of morgen weer gebeurt dat ik een 'mailtje' naar mijzelf stuur. Dit keer zou het niet mogelijk moeten zijn dat het mailtje vanuit de Apple Mail client wordt verstuurd, simpelweg omdat deze dit keer niet is ingesteld.



Overigens
Er zijn geen mailtjes gestuurd van email adres A naar email adres B. Ik heb het verkeerd gezien.. De mailtjes worden zijn naar 'zichzelf' (zelfde mail adres verstuurd en ontvangen) verstuurd en ontvangen (ofwel, van email adres A naar email adres A)

[Verwijderd]

jordeynl schreef op donderdag 29 augustus 2019 @ 10:55:
Overigens
Er zijn geen mailtjes gestuurd van email adres A naar email adres B. Ik heb het verkeerd gezien.. De mailtjes worden zijn naar 'zichzelf' (zelfde mail adres verstuurd en ontvangen) verstuurd en ontvangen (ofwel, van email adres A naar email adres A)

Het gaat dus om een Gmail account? Heb je de security pagina van je Google account al eens bekeken?
https://support.google.com/mail/answer/45938?hl=en

Zojuist wachtwoord gereset

Was het wachtwoord uniek voor dit account?

[jordeynl]

Verwijderd schreef op donderdag 29 augustus 2019 @ 11:20:
[...]

Vraag 1
Het gaat dus om een Gmail account? Heb je de security pagina van je Google account al eens bekeken?
https://support.google.com/mail/answer/45938?hl=en


[...]

Vraag 2
Was het wachtwoord uniek voor dit account?

Vraag 1
Yes, Gmail account. Ik heb alle rechten ingetrokken van browsers waar ik eventueel nog op zou ingelogd kunnen zijn. Wachtwoord veranderd + tweestaps verificatie ingesteld.

Vraag 2
Helaas niet, het betreft een mailadres dat ik feitelijk bijna niet meer gebruik. Voor alle belangrijke websites gebruik ik sinds een jaar of twee een password manager.

[ Voor 12% gewijzigd door jordeynl op 29-08-2019 11:33 ]

[BernardV]

@jordeynl Wat je ziet in je headers is dat de mail met de spam een "x-apple-auto-saved" heeft, dit is een standaard instelling van de calendar app om reactie te sturen naar de verzender van een agenda uitnodiging. Als ze een uitnodiging sturen waar ze spoofen dat jij de afzender bent lijkt het alsof jijzelf de mail hebt verstuurd.

Zie ook dit: https://arstechnica.com/i...pple-calendar-alert-spam/

[jordeynl]

BernardV schreef op donderdag 29 augustus 2019 @ 11:32:
@jordeynl Wat je ziet in je headers is dat de mail met de spam een "x-apple-auto-saved" heeft, dit is een standaard instelling van de calendar app om reactie te sturen naar de verzender van een agenda uitnodiging. Als ze een uitnodiging sturen waar ze spoofen dat jij de afzender bent lijkt het alsof jijzelf de mail hebt verstuurd.

Zie ook dit: https://arstechnica.com/i...pple-calendar-alert-spam/

Aha!
Dat kan het gedrag dus verklaren! Dankjewel.

Ik heb voor mijn Gmail accounts ook de kalender instellingen gewijzigd zoals het voorbeeld wat @Opifex mij liet zien:

Opifex schreef op donderdag 29 augustus 2019 @ 01:41:
Ik vond intussen dit:

https://www.reddit.com/r/...otifications_like_iphone/

dit:

https://www.reddit.com/r/...yhq/google_calendar_spam/

en dit:

https://support.google.co...ead/533146?msgid=12405710

Het lijkt de calendar-meldingen te verklaren, maar jouw mail-probleem nog niet.

Ik ga er vanuit dat het probleem nu moet zijn opgelost. Zoals eerder aangegeven, ben ik er nog niet zeker van en wil ik de komende dagen het mailgedrag in de gaten houden. Ik hou jullie op de hoogte, zelfs al krijg ik nu geen mailtjes meer.

Om dit te bevestigen zie gedrag kalender:
- 26 augustus 1e spam mail
- 27 augustus 2e en 3e spam mail
- 28 augustus 4e spam mail (nog voor het Tweakers bericht, en voor dat ik erachter kwam..)

Vanaf vandaag, 29 augustus verwacht ik dan ook geen spam mailtjes (inc kalender) meer te ontvangen.

[ Voor 22% gewijzigd door jordeynl op 29-08-2019 11:45 ]