นักต้มตุ๋น 2FA ของ Facebook กลับมาอีกครั้ง – คราวนี้ในเวลาเพียง 21 นาที

คุณเคยเข้าใกล้การคลิกลิงก์ฟิชชิ่งโดยบังเอิญหรือไม่?

เรามีความประหลาดใจบางอย่าง เช่น เมื่อเราซื้อโทรศัพท์มือถือจากร้านค้าคลิกและรวบรวมเมื่อสองสามปีก่อน

หลังจากอาศัยอยู่นอกสหราชอาณาจักรมาหลายปีก่อนหน้านั้น นี่เป็นครั้งแรกที่เราซื้อจากธุรกิจนี้โดยเฉพาะมากว่าทศวรรษ...

…แต่เช้าวันรุ่งขึ้นเราได้รับข้อความ SMS ที่อ้างว่ามาจากร้านค้านี้ แจ้งเราว่าเราจ่ายเงินเกินและรอการคืนเงิน

นี่เป็นการโต้ตอบครั้งแรกของเรากับ Brand X เป็นเวลานานเท่านั้น แต่ยังเป็น SMS ครั้งแรก (ของแท้หรืออย่างอื่น) ที่เราได้รับซึ่งกล่าวถึง Brand X

โอกาสที่สิ่งนั้นจะเกิดขึ้นคืออะไร?

(ตั้งแต่นั้นมา เราได้ทำการซื้อเพิ่มเติมจาก X อีกสองสามรายการ รวมถึงโทรศัพท์มือถืออีกเครื่องหนึ่งด้วย หลังจากที่พบว่าโทรศัพท์ทำงานได้ไม่ดีนักในปรางค์จักรยาน และเรามีข้อความหลอกลวงทาง SMS ที่กำหนดเป้าหมายไปที่ X อีกหลายข้อความ แต่พวกเขา ไม่เคยเรียงแถวกันจนน่าเชื่อขนาดนี้)

มาคิดเลขกัน

น่าแปลกที่โอกาสที่จะเกิดขึ้นโดยบังเอิญในชีวิตจริงนั้นค่อนข้างดีอย่างน่าประหลาดใจ หากคุณใช้เลขคณิต

ท้ายที่สุดโอกาสในการเดาหมายเลขที่ออกในลอตเตอรีสหราชอาณาจักร (6 ลูกจาก 59 ลูก) นั้นน้อยมากเพียง 1 ใน 45 ล้านซึ่งคำนวณโดยใช้สูตรที่เรียกว่า 59C6 or 59 choose 6ซึ่งเป็น 59!/6!(59-6)!ซึ่งออกมาเป็น 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

นั่นเป็นเหตุผลที่ คุณได้ ไม่เคยถูกแจ็กพอต...

…แม้ว่า มีคนจำนวนไม่น้อยที่มีตลอดหลายปีที่ผ่านมา

ในทำนองเดียวกัน อาชญากรฟิชชิ่งก็ไม่จำเป็นต้องกำหนดเป้าหมายหรือหลอกลวง เธอแต่เพียงเพื่อหลอกลวง บางคนและวันหนึ่ง บางที บางที บางคนอาจเป็นคุณ

เมื่อคืนเรามีเรื่องแปลกๆ ขึ้นมาเตือนความจำว่า เมื่อเรานั่งอยู่บนโซฟา นั่งอ่านบทความในสื่อเทคโนโลยีอย่างเกียจคร้าน ลงทะเบียน เกี่ยวกับการหลอกลวง 2FA

ความประหลาดใจประการแรกคือ ณ ขณะนั้นเราคิดว่า “เฮ้ เราเขียนอะไรแบบนี้เมื่อสองอาทิตย์ก่อน” เรามาถึงย่อหน้าใน เอล เร็ก เรื่องที่ไม่ใช่แค่พูดแค่นั้น แต่เชื่อมโยงโดยตรง สู่บทความของเรา!

โอกาสที่สิ่งนั้นจะเกิดขึ้นคืออะไร?

แน่นอนว่านักเขียนคนใดที่บอกว่าพวกเขาไม่สนใจว่าคนอื่นสังเกตเห็นงานของพวกเขาหรือไม่นั้นแทบจะไม่น่าเชื่อถือเลยและเราพร้อมที่จะยอมรับ (อะแฮ่ม) ว่าเราได้จับภาพหน้าจอของย่อหน้าที่เกี่ยวข้องแล้วส่งอีเมล เพื่อตัวเราเอง (“เพื่อวัตถุประสงค์ในการจัดทำเอกสารประชาสัมพันธ์เท่านั้น” คือคำอธิบายที่เราตัดสินใจ)

ตอนนี้มันเริ่มแปลกขึ้น

นี่คือสิ่งที่เรื่องบังเอิญของเรื่องบังเอิญแปลกขึ้น

หลังจากส่งอีเมลจากโทรศัพท์ไปยังแล็ปท็อปของเราแล้ว เราก็เดินไปทางซ้ายไม่ถึงสองเมตร แล้วนั่งลงหน้าแล็ปท็อปดังกล่าวเพื่อบันทึกภาพที่แนบมา แต่กลับพบว่า ระหว่างสองสามวินาทีที่เรายืนขึ้น...

… CROOKS ที่เหมือนกันมากก่อนหน้านี้ได้ส่งอีเมลถึงเราอีกคนหนึ่ง หน้า Facebook กลโกง 2FA ที่มีข้อความเกือบเหมือนกันกับข้อความก่อนหน้า:

โอกาสที่สิ่งนั้นจะเกิดขึ้น รวมกับโอกาสของความบังเอิญครั้งก่อนที่เพิ่งเกิดขึ้นในขณะที่เรากำลังอ่านบทความอยู่คืออะไร?

น่าเศร้าที่อาชญากรไซเบอร์สามารถจดทะเบียนชื่อโดเมนใหม่ ตั้งค่าเซิร์ฟเวอร์ใหม่ และทำลายอีเมลนับล้านทั่วโลกได้อย่างง่ายดาย...

…มีโอกาสสูงพอที่จะน่าประหลาดใจกว่านี้หากอุบัติการณ์ร่วมกันแบบนี้ไม่เคยเกิดขึ้น

การเปลี่ยนแปลงเล็กน้อยในการหลอกลวง

ที่น่าสนใจคือโจรเหล่านี้ได้ทำการเปลี่ยนแปลงเล็กน้อยกับการหลอกลวงของพวกเขา

เช่นเดียวกับครั้งที่แล้ว พวกเขาสร้างอีเมล HTML ที่มีลิงก์ที่คลิกได้ซึ่งดูเหมือน URL แม้ว่า URL จริงที่ลิงก์ไปจะไม่ใช่ URL ที่ปรากฏในข้อความก็ตาม

อย่างไรก็ตาม คราวนี้ ลิงก์ที่คุณเห็นหากคุณวางเมาส์เหนือข้อความสีน้ำเงินในอีเมล (ตัว ที่เกิดขึ้นจริง เป้าหมายของ URL มากกว่าที่เห็นได้ชัด) เป็นลิงก์ไปยัง URL ที่โฮสต์บน facebook.com โดเมน.

แทนที่จะลิงก์จากอีเมลโดยตรงไปยังไซต์หลอกลวงด้วยรหัสผ่านปลอมและข้อความแจ้ง 2FA อาชญากรจะลิงก์ไปยังหน้า Facebook ของตนเอง จึงให้ facebook.com ลิงก์เพื่อใช้ในอีเมลเอง:

เคล็ดลับเพียงคลิกเดียวนี้ทำให้อาชญากรมีข้อได้เปรียบเล็กๆ สามประการ:

• ลิงก์หลบเลี่ยงสุดท้ายไม่สามารถมองเห็นได้โดยตรงในซอฟต์แวร์กรองอีเมล และไม่ปรากฏขึ้นหากคุณวางเมาส์เหนือลิงก์ในโปรแกรมรับส่งเมลของคุณ
• ลิงค์หลอกลวงดึงความชอบธรรมที่ชัดเจน จากการปรากฏบนเฟสบุ๊คนั่นเอง
• การคลิกลิงก์หลอกลวงทำให้รู้สึกอันตรายน้อยลง เพราะคุณกำลังเข้าชมจากเบราว์เซอร์ของคุณ แทนที่จะไปที่นั่นโดยตรงจากอีเมล ซึ่งเราทุกคนล้วนแต่ได้รับการสอนให้ระมัดระวัง

เราไม่พลาดการประชดประชันดังที่เราหวังว่าคุณจะไม่ทำเช่นเดียวกันกับหน้า Facebook ปลอมทั้งหมดที่ถูกตั้งค่าขึ้นมาโดยเฉพาะเพื่อประณามเราสำหรับคุณภาพที่ถูกกล่าวหาว่าไม่ดีของหน้า Facebook ของเราเอง!

จากจุดนี้เป็นต้นไป กลโกงจะปฏิบัติตามขั้นตอนการทำงานเดียวกันกับที่เราเขียนขึ้นครั้งล่าสุด:

ประการแรก คุณจะถูกถามถึงชื่อของคุณและข้อมูลส่วนบุคคลอื่นๆ ที่สมเหตุสมผล

ประการที่สอง คุณต้องยืนยันการอุทธรณ์ของคุณโดยป้อนรหัสผ่าน Facebook ของคุณ

สุดท้าย ตามที่คุณอาจคาดหวังเมื่อใช้รหัสผ่านของคุณ ระบบจะขอให้คุณใส่รหัส 2FA แบบใช้ครั้งเดียวที่แอปโทรศัพท์มือถือของคุณเพิ่งสร้างขึ้น หรือที่มาทาง SMS

แน่นอน ทันทีที่คุณระบุแต่ละรายการข้อมูลในกระบวนการ โจรกำลังใช้ข้อมูลฟิชชิ่งเพื่อเข้าสู่ระบบแบบเรียลไทม์ราวกับว่าพวกเขาเป็นคุณ ดังนั้นพวกเขาจึงเข้าถึงบัญชีของคุณแทนคุณ

ครั้งล่าสุด ใช้เวลาเพียง 28 นาทีระหว่างโจรที่สร้างโดเมนปลอมที่พวกเขาใช้ในการหลอกลวง (ลิงก์ที่พวกเขาใส่ในอีเมล) ซึ่งเราคิดว่าค่อนข้างเร็ว

ครั้งนี้ใช้เวลาเพียง 21 นาที ตามที่เราได้กล่าวไปแล้ว โดเมนปลอมไม่ได้ถูกใช้โดยตรงในอีเมลปลอมที่เราได้รับ แต่ถูกนำไปวางไว้บนหน้าเว็บออนไลน์ที่โฮสต์แทน แดกดันพอเป็นเพจบน facebook.com ตัวเอง

เรารายงานเพจปลอมไปที่ Facebook ทันทีที่เราพบ ข่าวดีก็คือตอนนี้ถูกออฟไลน์ไปแล้ว จึงเป็นการทำลายการเชื่อมต่อระหว่างอีเมลหลอกลวงและโดเมน Facebook ปลอม:

จะทำอย่างไร?

อย่าหลงกลหลอกลวงแบบนี้

• อย่าใช้ลิงก์ในอีเมลเพื่อเข้าถึงหน้า "อุทธรณ์" อย่างเป็นทางการบนไซต์โซเชียลมีเดีย เรียนรู้ว่าจะไปที่ใดด้วยตัวเอง และเก็บบันทึกในท้องที่ (บนกระดาษหรือในบุ๊คมาร์คของคุณ) เพื่อให้คุณไม่จำเป็นต้องใช้อีเมลลิงก์เว็บ ไม่ว่าจะเป็นของแท้หรือไม่ก็ตาม
• ตรวจสอบ URL ของอีเมลอย่างระมัดระวัง ลิงก์ที่มีข้อความที่ดูเหมือน URL นั้นไม่จำเป็นต้องเป็น URL ที่ลิงก์นั้นนำคุณไป หากต้องการค้นหาลิงก์ปลายทางที่แท้จริง ให้วางเมาส์เหนือลิงก์นั้น (หรือแตะลิงก์บนโทรศัพท์มือถือของคุณค้างไว้)
• อย่าทึกทักเอาเองว่าที่อยู่อินเทอร์เน็ตทั้งหมดที่มีโดเมนที่เป็นที่รู้จักนั้นปลอดภัย โดเมนเช่น facebook.com, outlook.com or play.google.com เป็นบริการที่ถูกต้องตามกฎหมาย แต่ไม่ใช่ทุกคนที่ใช้บริการเหล่านั้นจะเชื่อถือได้ บัญชีอีเมลส่วนบุคคลบนเซิร์ฟเวอร์เว็บเมล เพจบนแพลตฟอร์มโซเชียลมีเดีย หรือแอพในร้านค้าซอฟต์แวร์ออนไลน์ ทั้งหมดจบลงด้วยการโฮสต์โดยแพลตฟอร์มที่มีชื่อโดเมนที่เชื่อถือได้ แต่เนื้อหาที่จัดทำโดยผู้ใช้แต่ละรายไม่ได้สร้างขึ้นโดยหรือไม่ได้รับการตรวจสอบโดยเฉพาะอย่างยิ่งจากแพลตฟอร์มนั้น
• ตรวจสอบชื่อโดเมนเว็บไซต์อย่างละเอียด ทุกตัวอักษรมีความสำคัญ และส่วนธุรกิจของชื่อเซิร์ฟเวอร์ใด ๆ อยู่ที่ส่วนท้าย (ด้านขวามือในภาษายุโรปที่เปลี่ยนจากซ้ายไปขวา) ไม่ใช่จุดเริ่มต้น ถ้าฉันเป็นเจ้าของโดเมน dodgy.example จากนั้นฉันสามารถใส่ชื่อแบรนด์ใดก็ได้ที่ฉันชอบในตอนเริ่มต้นเช่น visa.dodgy.example or whitehouse.gov.dodgy.example. นี่เป็นเพียงโดเมนย่อยของโดเมนที่หลอกลวงของฉัน และไม่น่าไว้วางใจพอๆ กับส่วนอื่นๆ ของ dodgy.example.
• หากชื่อโดเมนไม่ปรากฏบนโทรศัพท์มือถือของคุณอย่างชัดเจน ให้รอจนกว่าคุณจะใช้เบราว์เซอร์เดสก์ท็อปปกติได้ ซึ่งโดยทั่วไปแล้วจะมีพื้นที่หน้าจอมากกว่ามากในการเปิดเผยตำแหน่งที่แท้จริงของ URL
• พิจารณาผู้จัดการรหัสผ่าน ผู้จัดการรหัสผ่านเชื่อมโยงชื่อผู้ใช้และรหัสผ่านเข้าสู่ระบบกับบริการและ URL เฉพาะ หากคุณลงเอยที่ไซต์แอบอ้าง ไม่ว่าจะดูน่าเชื่อถือเพียงใด ผู้จัดการรหัสผ่านของคุณจะไม่ถูกหลอกเพราะจะจดจำไซต์นั้นด้วย URL ของไซต์ ไม่ใช่โดยลักษณะที่ปรากฏ
• อย่ารีบร้อนที่จะใส่รหัส 2FA ของคุณ ใช้การหยุดชะงักในเวิร์กโฟลว์ของคุณ (เช่น คุณต้องปลดล็อกโทรศัพท์เพื่อเข้าถึงแอปสร้างโค้ด) เป็นเหตุผลในการตรวจสอบ URL นั้นอีกครั้งเพื่อให้แน่ใจ
• พิจารณารายงานหน้าหลอกลวงไปยัง Facebook น่ารำคาญ คุณต้องมีบัญชี Facebook ของคุณเองจึงจะทำได้ (ผู้ใช้ที่ไม่ใช่ Facebook ไม่สามารถส่งรายงานเพื่อช่วยเหลือชุมชนที่ใหญ่ขึ้นได้ ซึ่งน่าเสียดาย) หรือมีเพื่อนที่จะส่งรายงานให้คุณ . แต่ประสบการณ์ของเราในกรณีนี้คือการรายงานว่ามันได้ผล เพราะในไม่ช้า Facebook ก็บล็อกการเข้าถึงเพจที่ละเมิด

จำไว้ว่า เมื่อพูดถึงข้อมูลส่วนบุคคล โดยเฉพาะรหัสผ่านและรหัส 2FA...

...หากมีข้อสงสัย/อย่าให้ออก.

---