Facebook 2FA-svindlere vender tilbage - denne gang på kun 21 minutter

Har du nogensinde været helt tæt på at klikke på et phishing-link blot ved en tilfældighed?

Vi har haft et par overraskelser, som da vi købte en mobiltelefon i en klik-og-saml butik for et par år siden.

Efter at have boet uden for Storbritannien i mange år før det, var dette vores første køb nogensinde fra denne særlige virksomhed i mere end et årti ...

…alligevel modtog vi allerede næste morgen en SMS-besked, der hævdede at være fra netop denne butik, der fortalte os, at vi havde betalt for meget, og at en refusion ventede.

Ikke alene var dette vores første interaktion med Brand X i evigheder, det var også den første SMS nogensinde (ægte eller ej), vi nogensinde havde modtaget den nævnte Brand X.

Hvad er chancen for at DET sker?

(Siden da har vi foretaget et par flere køb fra X, ironisk nok inkluderet en anden mobiltelefon efter opdagelsen af, at telefoner ikke altid klarer sig godt i cykelprang, og vi har haft adskillige flere sms-svindelbeskeder rettet mod X, men de har aldrig stillet op helt så troværdigt.)

Lad os lave regnestykket

Irriterende nok er chancerne for fidus-møder-virkelige tilfældigheder overraskende gode, hvis du laver regnestykket.

Trods alt er chancen for at gætte vindertallene i det britiske lotteri (6 nummererede bolde ud af 59) en næsten uendeligt lille 1-i-45-million, beregnet via formlen kendt som 59C6 or 59 choose 6, Hvilket er 59!/6!(59-6)!, der kommer ud som 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

Derfor du har har aldrig vundet jackpotten...

…selv om en del mennesker har, gennem de mange år, det har stået på.

På samme måde behøver phishing-skurke ikke at målrette eller narre dig, men blot for at narre person, og en dag, måske, bare måske, at nogen måske er dig.

Vi fik en mærkelig påmindelse om dette lige i aftes, da vi sad i sofaen og læste en artikel i teknisk publikation Registret om 2FA-svindel.

Den første overraskelse var, at vi i samme øjeblik tænkte, "Hej, vi skrev noget som dette for omkring to uger siden," vi nåede til afsnittet i El Reg historie, der ikke kun sagde netop det, men linkede direkte til vores egen artikel!

Hvad er chancen for at DET sker?

Selvfølgelig er enhver forfatter, der siger, at de ikke er generet af, om andre mennesker bemærker deres arbejde eller ej, næsten helt sikkert ikke til at stole på, og vi er klar til at indrømme (ahem), at vi tog et skærmbillede af det relevante afsnit og sendte det via e-mail til os selv (“rent for PR-dokumentationsformål” var den forklaring, vi besluttede os for).

Nu bliver det mærkeligere

Det er her, hvor sammenfaldet af tilfældigheder bliver mærkeligere.

Efter at have sendt e-mailen fra vores telefon til vores bærbare, bevægede vi os mindre end to meter til venstre for os og satte os foran den bærbare computer for at gemme det vedhæftede billede, kun for at finde ud af, at i løbet af de par sekunder, vi stod op...

…de MEGET SAMME skurke SOM FØR havde sendt os endnu en e-mail Facebook Pages 2FA-svindel, der indeholder næsten identisk tekst med den forrige:

Hvad er chancen for at DET sker, kombineret med chancen for den tidligere tilfældighed, der lige skete, mens vi læste artiklen?

Desværre, givet den lethed, hvormed cyberkriminelle kan registrere nye domænenavne, oprette nye servere og sprænge millioner af e-mails rundt om i verden...

... chancen er stor nok til, at det ville være mere overraskende, hvis denne form for sammenfald ALDRIG skete.

Små ændringer i fidusen

Interessant nok havde disse skurke foretaget beskedne ændringer i deres fidus.

Ligesom sidste gang lavede de en HTML-mail med et klikbart link, der i sig selv lignede en URL, selvom den faktiske URL, den linkede til, ikke var den, der stod i teksten.

Denne gang, men det link, du så, hvis du holdt markøren over den blå tekst i e-mailen (den faktiske URL-mål snarere end det tilsyneladende) var virkelig et link til en URL, der var hostet på facebook.com domæne.

I stedet for at linke direkte fra deres e-mail til deres svindelside med dens falske adgangskode og 2FA-prompter, linkede de kriminelle til deres egen Facebook-side og gav dem dermed en facebook.com link til brug i selve e-mailen:

Dette et-ekstra-klik-væk trick giver de kriminelle tre små fordele:

• Det sidste risikable link er ikke direkte synligt for e-mailfiltreringssoftware, og dukker ikke op, hvis du holder markøren over linket i din e-mail-klient.
• Fiduslinket tiltrækker tilsyneladende legitimitet fra at optræde på selve Facebook.
• At klikke på fuplinket føles på en eller anden måde mindre farligt fordi du besøger den fra din browser i stedet for at gå derhen direkte fra en e-mail, som vi alle er blevet lært at være forsigtige med.

Vi gik ikke glip af ironien, som vi håber du heller ikke vil, i at en fuldstændig falsk Facebook-side blev oprettet specifikt for at fordømme os for den angiveligt dårlige kvalitet af vores egen Facebook-side!

Fra dette tidspunkt følger fidusen nøjagtig samme arbejdsgang som den, vi skrev sidste gang:

For det første bliver du bedt om dit navn og andre rimeligt klingende mængder af personlige oplysninger.

For det andet skal du bekræfte din appel ved at indtaste din Facebook-adgangskode.

Endelig, som du måske forventer, når du bruger din adgangskode, bliver du bedt om at indtaste den engangskode 2FA, som din mobiltelefon-app lige har genereret, eller som er ankommet via SMS.

Selvfølgelig, så snart du giver hvert dataelement i processen, bruger skurkene phished-oplysningerne til at logge ind i realtid, som om de var dig, så de ender med adgang til din konto i stedet for dig.

Sidste gang gik der kun 28 minutter mellem skurkene oprettede det falske domæne, de brugte i fidusen (linket de lagde i selve e-mailen), hvilket vi syntes var ret hurtigt.

Denne gang var der kun 21 minutter, men som vi har nævnt, blev det falske domæne ikke brugt direkte i den falske e-mail, vi modtog, men blev i stedet placeret på en online webside, der ironisk nok var hostet som en side på facebook.com Selv.

Vi rapporterede den falske side til Facebook, så snart vi fandt den; den gode nyhed er, at den nu er blevet slået offline, og dermed bryder forbindelsen mellem fup-e-mailen og det falske Facebook-domæne:

Hvad skal jeg gøre?

Fald ikke for svindel som denne.

• Brug ikke links i e-mails til at nå officielle "appel"-sider på sociale medier. Lær selv, hvor du skal henvende dig, og hold en lokal registrering (på papir eller i dine bogmærker), så du aldrig behøver at bruge e-mail-weblinks, uanset om de er ægte eller ej.
• Tjek e-mail-URL'er omhyggeligt. Et link med tekst, der i sig selv ligner en URL, er ikke nødvendigvis den URL, som linket leder dig til. For at finde det sande destinationslink skal du holde markøren over linket med din mus (eller trykke og holde på linket på din mobiltelefon).
• Antag ikke, at alle internetadresser med et velkendt domæne på en eller anden måde er sikre. Domæner som f.eks facebook.com, outlook.com or play.google.com er legitime tjenester, men det er ikke alle, der bruger disse tjenester, man kan stole på. Individuelle e-mailkonti på en webmailserver, sider på en social medieplatform eller apps i en online softwarebutik ender alle med platforme med pålidelige domænenavne. Men indholdet, der leveres af individuelle brugere, er hverken skabt af eller særlig stærkt kontrolleret af denne platform (uanset hvor meget automatiseret verifikation platformen hævder at udføre).
• Tjek hjemmesidens domænenavne omhyggeligt. Hvert tegn betyder noget, og forretningsdelen af ​​et servernavn er i slutningen (højre side på europæiske sprog, der går fra venstre mod højre), ikke i begyndelsen. Hvis jeg ejer domænet dodgy.example så kan jeg sætte et hvilket som helst mærke jeg kan lide i starten, som f.eks visa.dodgy.example or whitehouse.gov.dodgy.example. Det er simpelthen underdomæner af mit svigagtige domæne, og lige så utroværdige som enhver anden del af dodgy.example.
• Hvis domænenavnet ikke er tydeligt synligt på din mobiltelefon, overvej at vente, indtil du kan bruge en almindelig desktopbrowser, som typisk har meget mere skærmplads til at afsløre den sande placering af en URL.
• Overvej en adgangskodeadministrator. Adgangskodeadministratorer forbinder brugernavne og login-adgangskoder med specifikke tjenester og URL'er. Hvis du ender på et bedragerwebsted, uanset hvor overbevisende det ser ud, bliver din adgangskodeadministrator ikke narre, fordi den genkender webstedet på dets URL, ikke på dets udseende.
• Du skal ikke have travlt med at indtaste din 2FA-kode. Brug forstyrrelsen i din arbejdsgang (f.eks. det faktum, at du skal låse din telefon op for at få adgang til kodegenerator-appen) som en grund til at tjekke den URL en anden gang, bare for at være sikker, for at være sikker.
• Overvej at rapportere svindelsider til Facebook. Irriterende nok skal du have din egen Facebook-konto for at gøre det (ikke-Facebook-brugere er ikke i stand til at indsende rapporter for at hjælpe det større fællesskab, hvilket er en skam), eller at have en ven, der sender rapporten til dig . Men vores oplevelse i denne sag var, at rapporteringen virkede, fordi Facebook hurtigt blokerede adgangen til den fornærmende side.

Husk, når det kommer til personlige data, især adgangskoder og 2FA-koder...

...Hvis du er i tvivl/giv det ikke.

---