Facebook 2FA-oplichters keren terug - dit keer in slechts 21 minuten

Ben je ooit door toeval heel dichtbij het klikken op een phishing-link gekomen?

We hebben een paar verrassingen gehad, zoals toen we een paar jaar geleden een mobiele telefoon kochten bij een click-and-collect-winkel.

Omdat we daarvoor vele jaren buiten het VK hebben gewoond, was dit onze allereerste aankoop bij dit specifieke bedrijf in meer dan tien jaar...

... maar de volgende ochtend ontvingen we een sms-bericht dat beweerde uit deze winkel te komen, met de mededeling dat we te veel hadden betaald en dat een terugbetaling wachtte.

Dit was niet alleen onze eerste interactie met Merk X sinds tijden, het was ook de allereerste sms (al dan niet echt) die we ooit hadden ontvangen waarin Merk X werd genoemd.

Wat is de kans dat DAT gebeurt?

(Sindsdien hebben we nog een paar aankopen gedaan bij X, ironisch genoeg inclusief een andere mobiele telefoon na de ontdekking dat telefoons het niet altijd goed doen in fietsprangs, en we hebben nog een aantal sms-berichten gehad die gericht waren op X, maar ze heb nog nooit zo geloofwaardig opgesteld.)

Laten we gaan rekenen

Vervelend is dat de kans op oplichting-ontmoetingen-real-life toevalligheden verrassend goed is, als je de rekenkunde doet.

De kans om de winnende nummers in de Britse loterij te raden (6 genummerde ballen van de 59) is immers een bijna oneindig kleine 1-op-45 miljoen, berekend via de formule die bekend staat als 59C6 or 59 choose 6Dit is 59!/6!(59-6)!, die uitkomt als 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

Dat is waarom je hebt nooit de jackpot gewonnen...

…zelfs nogal wat mensen hebben, in de vele jaren dat het gaat.

Op dezelfde manier hoeven phishing-boeven niet te targeten of te misleiden u, maar alleen om te misleiden iemand, en op een dag, misschien, heel misschien, dat iemand jou zou kunnen zijn.

We hadden hier gisteravond een rare herinnering aan, toen we op de bank zaten, werkeloos een artikel in technische publicatie te lezen Het register over 2FA oplichting.

De eerste verrassing was dat we op het moment dat we dachten, "Hé, we hebben ongeveer twee weken geleden zoiets opgeschreven," we bereikten de paragraaf in de El Reg verhaal dat niet alleen dat zei, maar ook direct linkte naar ons eigen artikel!

Wat is de kans dat DAT gebeurt?

Natuurlijk is elke schrijver die zegt dat het hem niet interesseert of andere mensen hun werk opmerken, vrijwel zeker niet te vertrouwen, en we zijn klaar om toe te geven (ahum) dat we een screenshot van de relevante paragraaf hebben gemaakt en het hebben gemaild voor onszelf (“puur voor PR-documentatiedoeleinden” was de uitleg die we besloten).

Nu wordt het gekker

Hier wordt het toeval van toevalligheden vreemder.

Nadat we de e-mail van onze telefoon naar onze laptop hadden gestuurd, gingen we minder dan twee meter naar links en gingen we voor die laptop zitten om de bijgevoegde afbeelding op te slaan, om te ontdekken dat gedurende de paar seconden dat we opstonden...

...de HEEL DEZELFDE OPLICHTERS ALS VOORDAT ons nog een andere had gemaild Facebook Pages 2FA-zwendel, met bijna identieke tekst als de vorige:

Wat is de kans dat DAT gebeurt, gecombineerd met de kans op het vorige toeval dat net gebeurde terwijl we het artikel aan het lezen waren?

Helaas, gezien het gemak waarmee cybercriminelen nieuwe domeinnamen kunnen registreren, nieuwe servers kunnen opzetten en miljoenen e-mails over de hele wereld kunnen verspreiden...

… de kans groot genoeg is dat het nog verrassender zou zijn als dit soort toeval NOOIT zou gebeuren.

Kleine wijzigingen in de zwendel

Interessant genoeg hadden deze boeven bescheiden wijzigingen aangebracht in hun zwendel.

Net als de vorige keer creëerden ze een HTML-e-mail met een klikbare link die er zelf uitzag als een URL, ook al was de daadwerkelijke URL waarnaar het linkte niet degene die in de tekst verscheen.

Deze keer echter, de link die je zag als je de muisaanwijzer op de blauwe tekst in de e-mail hield (de daadwerkelijk URL-doel in plaats van de schijnbare) was echt een link naar een URL die werd gehost op de facebook.com domein.

In plaats van rechtstreeks vanuit hun e-mail naar hun zwendelsite te linken, met zijn nepwachtwoord en 2FA-prompts, linkten de criminelen naar een eigen Facebook-pagina, waardoor ze een facebook.com link om in de e-mail zelf te gebruiken:

Deze one-extra-click-away truc geeft de criminelen drie kleine voordelen:

• De laatste onbetrouwbare link is niet direct zichtbaar voor e-mailfiltersoftware, en verschijnt niet als u de muisaanwijzer op de link in uw e-mailclient plaatst.
• De zwendellink trekt schijnbare legitimiteit niet op Facebook zelf verschijnen.
• Op de een of andere manier op de scam-link klikken voelt minder gevaarlijk omdat je het vanuit je browser bezoekt in plaats van er rechtstreeks vanuit een e-mail naartoe te gaan, waarvan we allemaal hebben geleerd om voorzichtig te zijn.

We hebben de ironie niet gemist, en we hopen dat jullie dat ook niet zullen doen, van een totaal nep Facebook-pagina die speciaal is opgezet om ons aan te klagen voor de zogenaamd slechte kwaliteit van onze eigen Facebook-pagina!

Vanaf dit punt volgt de zwendel exact dezelfde workflow als degene die we de vorige keer schreven:

Ten eerste wordt u gevraagd om uw naam en andere redelijk klinkende hoeveelheden persoonlijke informatie.

Ten tweede moet u uw bezwaar bevestigen door uw Facebook-wachtwoord in te voeren.

Ten slotte wordt u, zoals u zou verwachten bij het gebruik van uw wachtwoord, gevraagd om de eenmalige 2FA-code in te voeren die uw mobiele telefoon-app zojuist heeft gegenereerd of die via sms is binnengekomen.

Natuurlijk, zodra u elk gegevensitem in het proces verstrekt, gebruiken de oplichters de phishing-informatie om in realtime in te loggen alsof zij u waren, zodat ze uiteindelijk toegang krijgen tot uw account in plaats van u.

De vorige keer verliepen er slechts 28 minuten tussen de boeven die het nepdomein creëerden dat ze bij de zwendel gebruikten (de link die ze in de e-mail zelf plaatsten), waarvan we dachten dat het vrij snel was.

Deze keer duurde het slechts 21 minuten, hoewel, zoals we al zeiden, het nepdomein niet rechtstreeks werd gebruikt in de nep-e-mail die we ontvingen, maar in plaats daarvan op een online webpagina werd geplaatst die, ironisch genoeg, werd gehost als een pagina op facebook.com zelf.

We hebben de neppagina op Facebook gemeld zodra we hem vonden; het goede nieuws is dat het nu offline is gehaald, waardoor de verbinding tussen de scam-e-mail en het nep-Facebook-domein wordt verbroken:

Wat te doen?

Trap niet in dit soort oplichting.

• Gebruik geen links in e-mails om officiële 'bezwaar'-pagina's op sociale-mediasites te bereiken. Leer zelf waar u heen kunt gaan en houd een plaatselijk register bij (op papier of in uw bladwijzers), zodat u nooit e-mailweblinks hoeft te gebruiken, of ze nu echt zijn of niet.
• Controleer e-mail-URL's zorgvuldig. Een link met tekst die er zelf uitziet als een URL, is niet per se de URL waarnaar de link je verwijst. Om de echte bestemmingslink te vinden, beweegt u de muisaanwijzer over de link (of houdt u de link op uw mobiele telefoon ingedrukt).
• Ga er niet vanuit dat alle internetadressen met een bekend domein op de een of andere manier veilig zijn. Domeinen zoals facebook.com, outlook.com or play.google.com zijn legitieme services, maar niet iedereen die deze services gebruikt, kan worden vertrouwd. Individuele e-mailaccounts op een webmailserver, pagina's op een social-mediaplatform of apps in een online softwarewinkel worden allemaal gehost door platforms met vertrouwde domeinnamen. Maar de inhoud die door individuele gebruikers wordt geleverd, is niet gemaakt door of bijzonder streng gecontroleerd door dat platform (ongeacht hoeveel geautomatiseerde verificatie het platform beweert te doen).
• Controleer website domeinnamen zorgvuldig. Elk karakter is belangrijk, en het zakelijke deel van een servernaam staat aan het einde (de rechterkant in Europese talen die van links naar rechts gaan), niet aan het begin. Als ik eigenaar ben van het domein dodgy.example dan kan ik elke merknaam die ik leuk vind aan het begin zetten, zoals: visa.dodgy.example or whitehouse.gov.dodgy.example. Dat zijn gewoon subdomeinen van mijn frauduleuze domein, en net zo onbetrouwbaar als elk ander deel van dodgy.example.
• Als de domeinnaam niet duidelijk zichtbaar is op uw mobiele telefoon, overweeg te wachten tot u een gewone desktopbrowser kunt gebruiken, die doorgaans veel meer schermruimte heeft om de ware locatie van een URL te onthullen.
• Overweeg een wachtwoordmanager. Wachtwoordmanagers koppelen gebruikersnamen en inlogwachtwoorden aan specifieke services en URL's. Als u op een bedrieglijke site terechtkomt, hoe overtuigend deze er ook uitziet, uw wachtwoordbeheerder zal zich niet voor de gek laten houden omdat hij de site herkent aan de URL, niet aan het uiterlijk.
• Haast je niet om je 2FA-code in te voeren. Gebruik de verstoring in je workflow (bijvoorbeeld het feit dat je je telefoon moet ontgrendelen om toegang te krijgen tot de codegenerator-app) als een reden om die URL een tweede keer te controleren, voor de zekerheid, om zeker te zijn.
• Overweeg om oplichtingspagina's aan Facebook te melden. Vervelend genoeg moet je hiervoor een eigen Facebook-account hebben (niet-Facebook-gebruikers kunnen geen rapporten indienen om de grotere gemeenschap te helpen, wat jammer is), of een vriend hebben die het rapport voor je zal opsturen . Maar onze ervaring in dit geval was dat het melden werkte, omdat Facebook al snel de toegang tot de gewraakte pagina blokkeerde.

Denk eraan, als het gaat om persoonlijke gegevens, met name wachtwoorden en 2FA-codes...

...Bij twijfel/Geef het niet uit.

---