Sprytny phishing na konto Gmaila

[Grandalf]

Era dominacji ataków na systemy i aplikacje przemija z każdym dniem a przestępcy wynajdują coraz nowe sposoby, by atakować najsłabszy element układanki bezpieczeństwa, czyli użytkownika. Czasem robią to naprawdę kreatywnie.

Użytkownicy świadomi zagrożeń także mogą paść ofiarami ataków – w końcu są tylko ludźmi. Wykorzystują to internetowi przestępcy, którzy liczą na chwilę wolniejszego kojarzenia faktów lub nieuwagi u swoich ofiar i potrafią sprytnie wyłudzać także kody dwuskładnikowego uwierzytelnienia.

Czy zamawiał pan reset hasła

Pewien użytkownik Twittera napotkał i opublikował całkiem sprytną próbę wyłudzenia od niego kodu SMS służącego do potwierdzenia logowania do konta Gmaila. Atak musi zacząć się uzyskaniem loginu i hasła ofiary. Możliwości jest tu sporo – kradzież za pomocą złośliwego oprogramowania, używanie tego samego hasła w innych serwisach czy przekonujący phishing.
Jeśli jednak konto zabezpieczone jest za pomocą najprostszego dwuskładnikowego uwierzytelnienia opartego o wiadomości SMS, to przestępca po podaniu prawidłowego loginu i hasła zobaczy taki oto ekran:

Jeśli przestępca zna numer telefonu ofiary (w informacji od Google widać tylko ostatnie dwie cyfry), to może próbować ten kod wyłudzić, jak w ujawnionym przypadku. Zaczyna się od takiej wiadomości:

Przestępcy pytają ofiarę, czy próbowała uruchomić proces resetowania hasła Google. Jeśli ta zareaguje i wyśle wiadomość „STOP” by zatrzymać proces resetu, to w kolejnej wiadomości zostanie poproszona o przepisanie sześciocyfrowego kodu otrzymanego od Google. Kod ten wygląda następująco:

Kod ten może także być użyty w procesie resetowania hasła do konta Google. Przestępca, chcąc ten kod wyłudzić, informuje ofiarę, że kod należy przepisać, by zatwierdzić zatrzymanie procesu resetu hasła.

Jak widać, ofiara nie dała się podejść – ale trzeba przyznać, że atakujący miał całkiem sprytny pomysł i jest możliwe, że znajdzie wkrótce swoich naśladowców.
Uważajcie na takie komunikaty i

Zaloguj lub Zarejestruj się aby zobaczyć!

ewentualne podejrzane wiadomości.

Taki atak uniemożliwia (oprócz świadomości ofiary) dopiero klucz sprzętowy – np.

Zaloguj lub Zarejestruj się aby zobaczyć!

lub usługa „Google Prompt”, gdzie zapytanie o potwierdzenie logowania pojawia się na zaufanym smartfonie. Nawet kod z Google Authenticatora można przepisać przestępcom…

źródło:

Zaloguj lub Zarejestruj się aby zobaczyć!