Facebook 2FA-svindlere kommer tilbake – denne gangen på bare 21 minutter

Har du noen gang vært i nærheten av å klikke på en phishing-kobling bare ved en tilfeldighet?

Vi har hatt noen overraskelser, som da vi kjøpte en mobiltelefon fra en klikk-og-hent-butikk for et par år tilbake.

Etter å ha bodd utenfor Storbritannia i mange år før det, var dette vårt første kjøp noensinne fra denne bedriften på godt over et tiår...

…allikevel allerede neste morgen mottok vi en SMS-melding som hevdet å være fra akkurat denne butikken, med beskjed om at vi hadde betalt for mye og at en refusjon ventet.

Ikke bare var dette vår første interaksjon med Brand X på evigheter, det var også den første SMS-en (ekte eller på annen måte) vi noen gang hadde mottatt som nevnte Brand X.

Hva er sjansen for at DET skjer?

(Siden den gang har vi gjort noen flere kjøp fra X, ironisk nok inkludert en annen mobiltelefon etter oppdagelsen av at telefoner ikke alltid gjør det bra i sykkelprang, og vi har hatt flere SMS-svindelmeldinger rettet mot X, men de har aldri stilt opp så troverdig.)

La oss regne

Irriterende nok er sjansene for svindel-møter-virkelige tilfeldigheter overraskende gode, hvis du regner.

Tross alt er sjansen for å gjette vinnertallene i det britiske lotteriet (6 nummererte baller av 59) en nesten uendelig liten 1-i-45-millioner, beregnet via formelen kjent som 59C6 or 59 choose 6, som er 59!/6!(59-6)!, som kommer ut som 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

Derfor du har aldri vunnet jackpotten...

…selv om ganske mange mennesker har, i løpet av de mange årene det har pågått.

På samme måte trenger ikke phishing-skurker å sikte eller lure du, men bare for å lure noen, og en dag, kanskje, bare kanskje, at noen kan være deg.

Vi hadde en merkelig påminnelse om dette i går kveld, da vi satt på sofaen og leste en artikkel i teknisk publikasjon Registeret om 2FA-svindel.

Den første overraskelsen var at akkurat i det øyeblikket vi tenkte, "Hei, vi skrev noe sånt som dette for omtrent to uker siden," vi nådde avsnittet i El Reg historie som ikke bare sa nettopp det, men koblet direkte til vår egen artikkel!

Hva er sjansen for at DET skjer?

Selvfølgelig er enhver forfatter som sier at de ikke bryr seg om andre mennesker legger merke til arbeidet deres eller ikke, nesten helt sikkert ikke å stole på, og vi er klare til å innrømme (ahem) at vi tok et skjermbilde av det relevante avsnittet og sendte det på e-post til oss selv (“rent for PR-dokumentasjonsformål” var forklaringen vi bestemte oss for).

Nå blir det merkeligere

Her blir tilfeldighetene merkeligere.

Etter å ha sendt e-posten fra telefonen til den bærbare datamaskinen, beveget vi oss mindre enn to meter til venstre og satte oss foran den bærbare datamaskinen for å lagre det vedlagte bildet, bare for å finne at i løpet av de par sekundene vi sto opp...

…de SAMME CROOKS SOM FØR hadde sendt oss enda en e-post Facebook Pages 2FA-svindel, som inneholder nesten identisk tekst som den forrige:

Hva er sjansen for at DET skjer, kombinert med sjansen for den forrige tilfeldigheten som nettopp skjedde mens vi leste artikkelen?

Dessverre, gitt hvor enkelt nettkriminelle kan registrere nye domenenavn, sette opp nye servere og sende ut millioner av e-poster over hele verden...

...sjansen er stor nok til at det ville være mer overraskende om denne typen tilfeldigheter ALDRI skjedde.

Små endringer i svindelen

Interessant nok hadde disse skurkene gjort beskjedne endringer i svindelen sin.

Som forrige gang laget de en HTML-e-post med en klikkbar lenke som i seg selv så ut som en URL, selv om den faktiske URL-en den linket til ikke var den som dukket opp i teksten.

Denne gangen derimot, lenken du så hvis du holdt markøren over den blå teksten i e-posten (den faktiske URL-mål i stedet for det tilsynelatende) var virkelig en lenke til en URL som var vert på facebook.com domene.

I stedet for å koble direkte fra e-posten til svindelsiden deres, med det falske passordet og 2FA-oppfordringene, koblet de kriminelle til en egen Facebook-side, og ga dem dermed en facebook.com lenke som skal brukes i selve e-posten:

Dette trikset med ett klikk gir de kriminelle tre små fordeler:

• Den siste tvilsomme koblingen er ikke direkte synlig for programvare for e-postfiltrering, og dukker ikke opp hvis du holder musepekeren over lenken i e-postklienten.
• Svindellenken trekker tilsynelatende legitimitet fra å vises på Facebook selv.
• Å klikke på svindellenken føles på en eller annen måte mindre farlig fordi du besøker den fra nettleseren din i stedet for å gå dit direkte fra en e-post, som vi alle har blitt lært opp til å være forsiktige med.

Vi gikk ikke glipp av ironien, som vi håper du heller ikke vil, med at en helt falsk Facebook-side ble opprettet spesielt for å fordømme oss for den angivelig dårlige kvaliteten på vår egen Facebook-side!

Fra dette tidspunktet følger svindelen nøyaktig samme arbeidsflyt som den vi skrev opp forrige gang:

For det første blir du bedt om navnet ditt og andre rimelige mengder personlig informasjon.

For det andre må du bekrefte anken ved å skrive inn Facebook-passordet ditt.

Til slutt, som du kanskje forventer når du bruker passordet ditt, blir du bedt om å legge inn engangs 2FA-koden som mobilappen din nettopp genererte, eller som kom via SMS.

Selvfølgelig, så snart du oppgir hvert dataelement i prosessen, bruker skurkene phished-informasjonen til å logge på i sanntid som om de var deg, så de ender opp med tilgang til kontoen din i stedet for deg.

Forrige gang gikk det bare 28 minutter mellom skurkene som opprettet det falske domenet de brukte i svindelen (lenken de la inn i selve e-posten), noe vi syntes var ganske raskt.

Denne gangen var det bare 21 minutter, men som vi har nevnt, ble det falske domenet ikke brukt direkte i den falske e-posten vi mottok, men ble i stedet plassert på en nettside som ironisk nok ble vert som en side på facebook.com selv.

Vi rapporterte den falske siden til Facebook så snart vi fant den; den gode nyheten er at den nå er slått offline, og dermed bryter forbindelsen mellom svindel-e-posten og det falske Facebook-domenet:

Hva gjør jeg?

Ikke fall for svindel som dette.

• Ikke bruk lenker i e-poster for å nå offisielle "anke"-sider på sosiale medier. Lær hvor du skal gå selv, og hold en lokal oversikt (på papir eller i bokmerkene dine), slik at du aldri trenger å bruke e-postlenker, enten de er ekte eller ikke.
• Sjekk e-post-URLene nøye. En lenke med tekst som i seg selv ser ut som en URL, er ikke nødvendigvis nettadressen som koblingen leder deg til. For å finne den sanne destinasjonslenken, hold musepekeren over koblingen (eller trykk og hold koblingen på mobiltelefonen).
• Ikke anta at alle internettadresser med et velkjent domene på en eller annen måte er trygge. Domener som f.eks facebook.com, outlook.com or play.google.com er legitime tjenester, men ikke alle som bruker disse tjenestene kan stole på. Individuelle e-postkontoer på en nettpostserver, sider på en sosial medieplattform eller apper i en nettbasert programvarebutikk ender opp med plattformer med pålitelige domenenavn. Men innholdet som leveres av individuelle brukere, er verken skapt av eller spesielt sterkt kontrollert av den plattformen (uansett hvor mye automatisert verifisering plattformen hevder å gjøre).
• Sjekk nettsteddomenenavn nøye. Hvert tegn betyr noe, og forretningsdelen av et servernavn er på slutten (høyre side på europeiske språk som går fra venstre til høyre), ikke i begynnelsen. Hvis jeg eier domenet dodgy.example så kan jeg sette et hvilket som helst merkenavn jeg liker i starten, som f.eks visa.dodgy.example or whitehouse.gov.dodgy.example. Dette er rett og slett underdomener av det falske domenet mitt, og like upålitelige som alle andre deler av dodgy.example.
• Hvis domenenavnet ikke er tydelig synlig på mobiltelefonen din, vurder å vente til du kan bruke en vanlig nettleser på datamaskinen, som vanligvis har mye mer skjermplass for å avsløre den sanne plasseringen til en URL.
• Vurder en passordbehandler. Passordadministratorer knytter brukernavn og påloggingspassord til spesifikke tjenester og URL-er. Hvis du havner på et bedragernettsted, uansett hvor overbevisende det ser ut, vil ikke passordbehandleren din bli lurt fordi den gjenkjenner nettstedet på nettadressen, ikke på utseendet.
• Ikke ha det travelt med å legge inn 2FA-koden din. Bruk avbruddet i arbeidsflyten din (f.eks. det faktum at du må låse opp telefonen for å få tilgang til kodegenerator-appen) som en grunn til å sjekke nettadressen en gang til, bare for å være sikker.
• Vurder å rapportere svindelsider til Facebook. Irriterende nok må du ha en egen Facebook-konto for å gjøre det (ikke-Facebook-brukere kan ikke sende inn rapporter for å hjelpe fellesskapet, noe som er synd), eller å ha en venn som vil sende inn rapporten for deg . Men vår erfaring i dette tilfellet var at rapporteringen fungerte, fordi Facebook snart blokkerte tilgangen til den fornærmende siden.

Husk at når det gjelder personlige data, spesielt passord og 2FA-koder...

...Hvis du er i tvil/Ikke gi det ut.

---