Хакеры используют фишинговые письма для сбора двухфакторных кодов Gmail

Принято считать, что добавление двухфакторной проверки подлинности (2FA) защитит ваши учетные записи от большинства фишинг-атак, но новая волна сложных автоматических атак напоминает нам, что 2FA не является непогрешимым. Как и в случае со всеми мерами безопасности, он является таким же безопасным, как и самое слабое звено - человеческое. Новая фишинговая кампания вынуждает людей передавать данные своего аккаунта и токены 2FA.

Отчет поступил от Amnesty International, которая обычно не публикует новости о кибербезопасности. В этом случае Amnesty заинтересована в вещах, потому что атаки в основном были направлены против активистов и журналистов на Ближнем Востоке и в Северной Африке. Как объясняет Amnesty, существует несколько отдельных фишинговых кампаний, которые, вероятно, связаны между собой.

В самой сложной кампании злоумышленники напали на сотни учетных записей Yahoo и Google, используемых активистами. Цель состоит в том, чтобы обойти двухфакторную защиту и получить доступ к учетной записи. Изучив подозрительные электронные письма, отмеченные активистами в 2017 и 2018 годах, Amnesty обнаружила ссылки, которые утверждают, что они являются предупреждениями безопасности. Тем не менее, они перенаправляют на поддельную страницу, которая собирает данные учетной записи. Это не уникально, но следующий этап усиливает это.

После того как цель введет имя пользователя и пароль, вредоносные сайты будут удаленно входить в учетную запись. Затем он запросил код через SMS, если учетная запись была включена двухфакторная. Фальшивый сайт попросил код, который не выглядел бы необычно - вы должны были бы ввести код 2FA при обычном входе в систему. Однако вредоносный сайт использовал этот код для удаленного входа в учетную запись до истечения срока действия токена. Пользователю будет предложено изменить свой пароль, который злоумышленник сохранит для дальнейшего использования.

Вторая и третья кампании использовали аналогичную тактику, но были ориентированы на пользователей зашифрованных почтовых сервисов Protonmail и Tutanota. В обоих случаях злоумышленники регистрировали, казалось бы, подлинные домены с поддельными страницами входа. Эти домены с тех пор были закрыты.

Amnesty International считает, что страны Персидского залива стоят за фишинговыми кампаниями, надеясь собрать информацию о диссидентах и ​​протестующих в своих странах. Пусть это будет напоминанием о том, что двухфакторная аутентификация не является серебряной пулей. Вы все еще должны опасаться электронных писем со ссылками на внешние страницы. Вы должны вводить учетные данные только на сайтах, которые, как вы подтвердили, являются реальной сделкой.