Email bombing, znany również jako form bombing, to technika polegająca na masowym zapisywaniu adresu ofiary do setek legalnych serwisów, newsletterów i list mailingowych przy użyciu zautomatyzowanych narzędzi. Atak ten nie ma na celu samego spamowania, lecz stworzenie szumu informacyjnego, który ma przykryć krytyczne powiadomienia. Przestępcy chcą, aby użytkownik przeoczył alerty o zmianie hasła, nieautoryzowanym logowaniu lub potwierdzeniu oszukańczych transakcji bankowych.
Poza maskowaniem kradzieży, atakujący mogą wykorzystać chaos do przeprowadzenia socjotechniki. Często kontaktują się z ofiarą, podszywając się pod wsparcie techniczne, oferując pomoc w rozwiązaniu problemu przepełnionej skrzynki, co służy wyłudzeniu opłat lub zainfekowaniu komputera złośliwym oprogramowaniem. W środowisku korporacyjnym technika ta może służyć odwróceniu uwagi zespołów bezpieczeństwa od poważniejszych incydentów, takich jak wycieki danych czy Business Email Compromise.
Jeśli padniesz ofiarą takiego ataku, nie próbuj od razu wypisywać się ze wszystkich serwisów. Skup się na przeszukiwaniu skrzynki (również folderu spam) w poszukiwaniu ważnych alertów bezpieczeństwa, powiadomień o zakupach lub zmianach danych kontaktowych. Warto również ręcznie sprawdzić najważniejsze konta, takie jak bankowość elektroniczna, media społecznościowe czy konta Google/Microsoft, pod kątem podejrzanej aktywności.
Aby zminimalizować ryzyko, zaleca się stosowanie unikalnych haseł zarządzanych przez menedżer haseł oraz włączanie uwierzytelniania dwuskładnikowego (2FA). Dobrą praktyką jest również używanie osobnego adresu e-mail do mniej istotnych usług, takich jak zakupy czy newslettery, co oddzieli komunikację marketingową od kluczowych powiadomień z banków czy instytucji publicznych.
