Oszuści Facebook 2FA powracają – tym razem już za 21 minut

Czy kiedykolwiek zdarzyło Ci się zbliżyć się do kliknięcia linku phishingowego po prostu przez przypadek?

Mieliśmy kilka niespodzianek, na przykład zakup telefonu komórkowego w sklepie typu „kliknij i odbierz”.

Mieszkając przez wiele lat poza Wielką Brytanią, był to nasz pierwszy zakup od tej konkretnej firmy od ponad dekady…

…jednak następnego ranka otrzymaliśmy wiadomość SMS rzekomo pochodzącą z tego właśnie sklepu, informującą nas, że przepłaciliśmy i że czekamy na zwrot pieniędzy.

Była to nie tylko nasza pierwsza interakcja z marką X od wieków, ale także pierwszy w historii SMS (oryginalny lub inny), który otrzymaliśmy, w którym wspomniano o marce X.

Jaka jest szansa, że ​​TO się stanie?

(Od tego czasu zrobiliśmy kilka dodatkowych zakupów od X, jak na ironię, w tym inny telefon komórkowy po odkryciu, że telefony nie zawsze radzą sobie dobrze w prankach rowerowych, i otrzymaliśmy kilka kolejnych fałszywych wiadomości SMS skierowanych do X, ale nigdy nie ustawiałem się tak wiarygodnie.)

Zróbmy arytmetykę

Irytujące jest to, że szanse na to, że oszustwa spotykają się z prawdziwym życiem, są zaskakująco dobre, jeśli wykonujesz arytmetykę.

W końcu szansa na odgadnięcie zwycięskich liczb w brytyjskiej loterii (6 ponumerowanych kulek z 59) to prawie nieskończenie mała wartość 1 na 45 milionów, obliczona za pomocą wzoru znanego jako 59C6 or 59 choose 6, który jest 59!/6!(59-6)!, który wychodzi jako 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

Dlatego masz nigdy nie wygrał jackpota…

…nawet jeśli sporo osób ma, przez wiele lat to trwało.

W ten sam sposób oszuści phishingowi nie muszą celować ani oszukiwać ty, ale tylko po to, by oszukać ktoś, a pewnego dnia może, tylko może, że ktoś może być tobą.

Dziwnie o tym przypomnieliśmy wczoraj wieczorem, kiedy siedzieliśmy na kanapie i bezczynnie czytaliśmy artykuł w publikacji technicznej Rejestr o oszustwach 2FA.

Pierwszą niespodzianką było to, że w chwili, gdy pomyśleliśmy, „Hej, napisaliśmy coś takiego około dwa tygodnie temu” dotarliśmy do akapitu w Regu historia, która nie tylko tak mówi, ale łączy się bezpośrednio do naszego artykułu!

Jaka jest szansa, że ​​TO się stanie?

Oczywiście każdemu pisarzowi, który mówi, że nie przejmuje się tym, czy inni ludzie zauważą jego pracę, czy nie, prawie na pewno nie można mu ufać, a my jesteśmy gotowi przyznać (hem), że zrobiliśmy zrzut ekranu odpowiedniego akapitu i wysłaliśmy go e-mailem do siebie („czysto do celów dokumentacji PR” było wyjaśnieniem, na które się zdecydowaliśmy).

Teraz robi się dziwniej

Oto, gdzie zbieg okoliczności staje się dziwniejszy.

Po wysłaniu e-maila z naszego telefonu do laptopa przesunęliśmy się o niecałe dwa metry w lewo i usiedliśmy przed wspomnianym laptopem, aby zapisać załączony obraz, tylko po to, aby go znaleźć przez kilka sekund wstaliśmy...

…BARDZO TEN SAM OSZUSIEŃ, CO PRZED, wysłał nam jeszcze jeden e-mail Strony Facebook Oszustwo 2FA, zawierające prawie identyczny tekst jak poprzedni:

Jaka jest szansa, że ​​TO się wydarzy, w połączeniu z szansą na poprzedni zbieg okoliczności, który właśnie wydarzył się podczas czytania artykułu?

Niestety, biorąc pod uwagę łatwość, z jaką cyberprzestępcy mogą rejestrować nowe nazwy domen, konfigurować nowe serwery i wysyłać miliony e-maili na całym świecie…

…szansa jest na tyle duża, że ​​byłoby bardziej zaskakujące, gdyby taki przypadek NIGDY nie miał miejsca.

Małe zmiany w oszustwie

Co ciekawe, ci oszuści dokonali skromnych zmian w swoim oszustwie.

Podobnie jak ostatnim razem, utworzyli wiadomość e-mail w formacie HTML z klikalnym linkiem, który sam wyglądał jak adres URL, mimo że rzeczywisty adres URL, do którego prowadzi, nie był tym, który pojawił się w tekście.

Tym razem jednak link, który zobaczyłeś po najechaniu kursorem na niebieski tekst w e-mailu ( rzeczywisty docelowy adres URL, a nie ten pozorny) w rzeczywistości był linkiem do adresu URL hostowanego na facebook.com domeny.

Zamiast linkować bezpośrednio ze swojego adresu e-mail do swojej oszukańczej witryny, za pomocą fałszywego hasła i monitów 2FA, przestępcy podali link do własnej strony na Facebooku, dając im w ten sposób facebook.com link do użycia w samej wiadomości e-mail:

Ta sztuczka z dodatkowym kliknięciem daje przestępcom trzy małe korzyści:

• Ostatni podejrzany link nie jest bezpośrednio widoczny dla oprogramowania filtrującego wiadomości e-mail, i nie wyskakuje po najechaniu na link w swoim kliencie poczty e-mail.
• Link do oszustwa przyciąga pozorną legitymację od pojawienia się na samym Facebooku.
• Kliknięcie linku oszustwa jest w jakiś sposób mniej niebezpieczne ponieważ odwiedzasz go z przeglądarki, a nie bezpośrednio z e-maila, o czym nauczono nas być ostrożnym.

Nie przegapiliśmy ironii, jak mamy nadzieję, że i wy nie, całkowicie fałszywej strony na Facebooku utworzonej specjalnie po to, by potępić nas za rzekomo słabą jakość naszej własnej strony na Facebooku!

Od tego momentu oszustwo przebiega dokładnie tak samo, jak ten, który opisaliśmy ostatnio:

Po pierwsze, zostaniesz poproszony o podanie swojego imienia i innych rozsądnie brzmiących danych osobowych.

Po drugie, musisz potwierdzić swoje odwołanie, wpisując swoje hasło do Facebooka.

Na koniec, jak można się spodziewać, używając hasła, zostaniesz poproszony o wprowadzenie jednorazowego kodu 2FA, który właśnie wygenerowała Twoja aplikacja na telefon komórkowy lub który otrzymał SMS-em.

Oczywiście, gdy tylko podasz każdy element danych w procesie, oszuści używają wyłudzanych informacji do logowania się w czasie rzeczywistym, tak jakbyś był tobą, więc w końcu uzyskują dostęp do twojego konta zamiast ciebie.

Ostatnim razem minęło zaledwie 28 minut między oszustami tworzącymi fałszywą domenę, której użyli w oszustwie (link, który umieścili w samej wiadomości e-mail), co naszym zdaniem było dość szybkie.

Tym razem było to tylko 21 minut, chociaż, jak już wspomnieliśmy, fałszywa domena nie została użyta bezpośrednio w otrzymanej fałszywej wiadomości e-mail, ale została umieszczona na stronie internetowej hostowanej, jak na ironię, jako Strona na facebook.com sama.

Zgłosiliśmy fałszywą stronę na Facebooku, gdy tylko ją znaleźliśmy; dobrą wiadomością jest to, że został on wyłączony, co zrywa połączenie między fałszywym adresem e-mail a fałszywą domeną Facebooka:

Co robić?

Nie daj się nabrać na takie oszustwa.

• Nie używaj linków w e-mailach, aby dotrzeć do oficjalnych stron „odwołania” w serwisach społecznościowych. Dowiedz się, dokąd się udać, i prowadź lokalny rejestr (na papierze lub w zakładkach), aby nigdy nie używać linków internetowych w wiadomościach e-mail, niezależnie od tego, czy są autentyczne, czy nie.
• Sprawdź dokładnie adresy e-mail. Link z tekstem, który sam wygląda jak adres URL, niekoniecznie jest adresem URL, do którego prowadzi link. Aby znaleźć prawdziwe łącze docelowe, najedź na łącze myszą (lub dotknij i przytrzymaj łącze w telefonie komórkowym).
• Nie zakładaj, że wszystkie adresy internetowe ze znaną domeną są w jakiś sposób bezpieczne. Domeny takie jak facebook.com, outlook.com or play.google.com są legalnymi usługami, ale nie każdemu, kto z nich korzysta, można ufać. Poszczególne konta e-mail na serwerze poczty internetowej, strony na platformie mediów społecznościowych lub aplikacje w internetowym sklepie z oprogramowaniem są hostowane przez platformy z zaufanymi nazwami domen. Ale treści dostarczane przez indywidualnych użytkowników nie są ani tworzone przez tę platformę, ani przez nią szczególnie mocno weryfikowane (bez względu na to, jak bardzo zautomatyzowana weryfikacja ma to robić).
• Sprawdź dokładnie nazwy domen internetowych. Każda postać ma znaczenie, a część biznesowa nazwy serwera znajduje się na końcu (prawa strona w językach europejskich, które chodzą od lewej do prawej), a nie na początku. Jeśli jestem właścicielem domeny dodgy.example na początku mogę umieścić dowolną nazwę marki, którą lubię, na przykład visa.dodgy.example or whitehouse.gov.dodgy.example. To są po prostu subdomeny mojej fałszywej domeny i tak samo niegodne zaufania, jak każda inna część dodgy.example.
• Jeśli nazwa domeny nie jest wyraźnie widoczna na telefonie komórkowym, rozważ poczekanie, aż będziesz mógł użyć zwykłej przeglądarki komputerowej, która zwykle ma znacznie więcej miejsca na ekranie, aby ujawnić prawdziwą lokalizację adresu URL.
• Rozważ menedżera haseł. Menedżerowie haseł kojarzą nazwy użytkowników i hasła logowania z określonymi usługami i adresami URL. Jeśli trafisz na oszukańczą witrynę, bez względu na to, jak przekonująco wygląda, menedżer haseł nie zostanie oszukany, ponieważ rozpoznaje witrynę po adresie URL, a nie po wyglądzie.
• Nie spiesz się z wprowadzaniem kodu 2FA. Wykorzystaj zakłócenia w przepływie pracy (np. fakt, że musisz odblokować telefon, aby uzyskać dostęp do aplikacji generatora kodów) jako powód, aby sprawdzić ten adres URL po raz drugi, dla pewności, dla pewności.
• Rozważ zgłoszenie fałszywych stron na Facebooku. Irytujące jest to, że musisz mieć własne konto na Facebooku, aby to zrobić (użytkownicy spoza Facebooka nie mogą składać raportów, aby pomóc większej społeczności, a szkoda) lub mieć znajomego, który wyśle ​​​​raport za ciebie . Ale z naszego doświadczenia w tym przypadku wynikało, że zgłoszenie zadziałało, ponieważ Facebook wkrótce zablokował dostęp do obraźliwej strony.

Pamiętaj, jeśli chodzi o dane osobowe, zwłaszcza hasła i kody 2FA…

...Jeśli masz wątpliwości/nie podawaj tego.

---