Ich habe so eine Mail nicht bekommen, würde auch nie drauf klicken.
Beispiel:
Sieht legitim aus. Oder? Klickt mal drauf, passiert nix.
Als y wird hier der kyrillische Buchstabe у (U+0443) verwendet.
Als a wird der kyrillische Buchstabe а (U+0430) verwendet.
Gute Browser schreiben das als http://xn--hundi-7ve3k.com/. Passiert aber nicht immer oder sieht man auch nicht unbedingt.
Es nennt sich "IDN-Homograph-Angriff" (Internationalized Domain Name Homograph Attack).
Mit mehr Rafinesse bekommt man auch Zeichen, die gar nicht in die xn-Schreibweise aufgelöst werden und sich nur minimal von den erwarteten Zeichen unterscheiden.
Auf der eigenen Seite macht der Angreifer dann einen sogenannten Proxy und stellt die Inhalte der richtigen Domain dar, inklusive login mit Allem. Das Zertifikat passt zur falschen Domain und der Browser ist froh. Man erkennt es nicht.
Im Verlauf der Sitzung nach dem Login tauscht der Angreifer dann einzelne Seiten aus und fragt selbst Zahlungsinformationen ab oder hat schon mal das Passwort im Klartext abgegriffen (leider nutzt hyundai kein Hash-verfahren) und kann alles tun, was es im Account zu tun gibt.
Klar kann das auch wirklich von Hyundai sein. Man muss aber vorher schon sehr aufmerksam sein, um das zu erkennen.
Update:
Hier gibt es auch eine schönes Beispiel mit dem Namen: https://hyundal.com/