Шахраї Facebook 2FA повертаються – цього разу лише за 21 хвилину

Ви коли-небудь були дуже близькі до того, щоб натиснути фішингове посилання просто випадково?

У нас було кілька сюрпризів, наприклад, коли пару років тому ми купили мобільний телефон у магазині «натисни та забери».

Ми жили за межами Великобританії протягом багатьох років до того, це була наша перша покупка в цьому конкретному бізнесі за більш ніж десятиліття…

…але вже наступного ранку ми отримали SMS-повідомлення, нібито від цього самого магазину, у якому повідомлялося, що ми переплатили та чекаємо відшкодування.

Це не лише наша перша взаємодія з Brand X за багато років, це також перше в історії SMS (справжнє чи інше), яке ми коли-небудь отримали, у якому згадується Brand X.

Яка ймовірність того, що ЦЕ станеться?

(З тих пір ми зробили ще кілька покупок у X, за іронією долі включно з іншим мобільним телефоном після відкриття, що телефони не завжди добре справляються з велосипедом, і ми отримали ще кілька шахрайських SMS-повідомлень, націлених на X, але вони ніколи не вишиковувався так правдоподібно.)

Давайте проведемо арифметику

На жаль, ймовірність випадкового збігу шахрайства з реальним життям напрочуд висока, якщо ви порахуєте.

Зрештою, шанс вгадати виграшні номери в британській лотереї (6 пронумерованих куль із 59) є майже нескінченно малим 1 до 45 мільйонів, обчислений за формулою, відомою як 59C6 or 59 choose 6, Яка є 59!/6!(59-6)!, що виходить як 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

Ось чому ти маєш ніколи не вигравав джекпот...

…незважаючи на досить багато людей мають, протягом багатьох років, що це відбувається.

Так само шахраям-фішингам не потрібно націлюватися чи обманювати ви, а просто обдурити хтось, і одного разу, можливо, просто можливо, цим кимось станете ви.

У нас було дивне нагадування про це лише вчора ввечері, коли ми сиділи на дивані й бездіяльно читали статтю в технічному виданні Реєстр про шахрайство 2FA.

Першим сюрпризом було те, що в той момент, коли ми подумали, «Гей, ми написали щось подібне близько двох тижнів тому», ми дійшли до абзацу в El Reg історія, в якій не тільки сказано саме це, але й пов’язано безпосередньо до нашої власної статті!

Яка ймовірність того, що ЦЕ станеться?

Звичайно, майже напевно не можна довіряти будь-якому автору, який каже, що його не хвилює те, помітять інші люди його роботу чи ні, і ми готові визнати (гм), що зробили знімок екрана відповідного абзацу та надіслали його електронною поштою для себе («виключно для цілей піар-документації» — таке пояснення ми вирішили).

Тепер це стає ще дивніше

Ось де збіг збігів стає ще дивнішим.

Надіславши електронний лист із телефону на ноутбук, ми відійшли менш ніж на два метри ліворуч і сіли перед цим ноутбуком, щоб зберегти прикріплене зображення, але виявили, що протягом кількох секунд, коли ми стояли...

… ТІ Ж шахраї, ЯК І РАНІШЕ, надіслали нам ще одного електронного листа Facebook Сторінки 2FA-шахрайство, що містить майже ідентичний текст попереднього:

Яка ймовірність того, що ЦЕ станеться, у поєднанні з ймовірністю попереднього збігу обставин, який щойно стався, коли ми читали статтю?

На жаль, враховуючи легкість, з якою кіберзлочинці можуть реєструвати нові доменні імена, налаштовувати нові сервери та розсилати мільйони електронних листів по всьому світу...

…ймовірність досить висока, що було б більш дивним, якби такого роду співпадіння НІКОЛИ не сталося.

Невеликі зміни в афері

Цікаво, що ці шахраї внесли скромні зміни у свою аферу.

Як і минулого разу, вони створили електронний лист у форматі HTML із посиланням, яке можна натиснути, яке саме по собі виглядало як URL-адреса, хоча фактична URL-адреса, на яку воно посилалося, не була тією, що з’явилася в тексті.

Однак цього разу посилання, яке ви побачили, навівши курсор на синій текст в електронному листі ( фактичний Цільова URL-адреса, а не очевидна) справді була посиланням на URL-адресу, розміщену на facebook.com домен

Замість того, щоб посилатися безпосередньо зі своєї електронної пошти на свій шахрайський сайт із підробленим паролем і підказками 2FA, зловмисники посилалися на власну сторінку Facebook, таким чином надаючи їм facebook.com посилання для використання в самому електронному листі:

Цей додатковий трюк дає злочинцям три невеликі переваги:

• Останнє хитре посилання не відображається програмним забезпеченням для фільтрації електронної пошти, і не з’являється, якщо навести курсор на посилання в поштовому клієнті.
• Шахрайське посилання має очевидну легітимність від появи на самому Facebook.
• Натискання посилання на шахрайство виглядає менш небезпечним тому що ви відвідуєте його зі свого веб-переглядача, а не переходите туди безпосередньо з електронної пошти, до якої нас усіх вчили бути обережними.

Ми не упустили з уваги іронію, як, сподіваємось, і ви, у тому, що абсолютно фальшиву сторінку у Facebook було створено спеціально для того, щоб засудити нас за нібито низьку якість нашої власної сторінки у Facebook!

З цього моменту шахрайство слідує точно тому ж робочому процесу, що й той, який ми описали минулого разу:

По-перше, вас просять надати ваше ім’я та іншу об’ємну кількість особистої інформації.

По-друге, вам потрібно підтвердити своє звернення, ввівши свій пароль у Facebook.

Нарешті, як і можна було очікувати під час використання пароля, вас попросять ввести одноразовий код 2FA, який щойно згенерував ваш мобільний додаток або який надійшов через SMS.

Звичайно, щойно ви надаєте кожен елемент даних у процесі, шахраї використовують фішингову інформацію для входу в систему в реальному часі, ніби вони були вами, тож вони отримують доступ до вашого облікового запису замість вас.

Минулого разу минуло лише 28 хвилин між тим, як шахраї створили фальшивий домен, який вони використовували в шахрайстві (посилання, яке вони розмістили в самому електронному листі), що, на нашу думку, було досить швидким.

Цього разу це була лише 21 хвилина, хоча, як ми вже згадували, фальшивий домен не використовувався безпосередньо в отриманому нами фальшивому електронному листі, а був розміщений на веб-сторінці в Інтернеті, розміщеній, за іронією долі, як сторінка на facebook.com себе.

Ми повідомили про фальшиву сторінку у Facebook, щойно знайшли її; хороша новина полягає в тому, що тепер його вимкнено, таким чином розірвавши зв’язок між шахрайською електронною поштою та фальшивим доменом Facebook:

Що ж робити?

Не піддавайтеся на такі шахрайства.

• Не використовуйте посилання в електронних листах для переходу на офіційні сторінки «звернень» у соціальних мережах. Дізнайтеся, куди йти самостійно, і зберігайте місцеві записи (на папері чи в закладках), щоб вам ніколи не доводилося використовувати веб-посилання в електронній пошті, незалежно від того, справжні вони чи ні.
• Уважно перевіряйте URL-адреси електронної пошти. Посилання з текстом, який сам по собі виглядає як URL-адреса, не обов’язково є URL-адресою, на яку вас спрямовує посилання. Щоб знайти справжнє цільове посилання, наведіть курсор миші на посилання (або натисніть і утримуйте посилання на своєму мобільному телефоні).
• Не думайте, що всі інтернет-адреси з добре відомим доменом певним чином безпечні. Домени, такі як facebook.com, outlook.com or play.google.com є законними послугами, але не кожному, хто користується цими послугами, можна довіряти. Індивідуальні облікові записи електронної пошти на сервері веб-пошти, сторінки на платформі соціальних мереж або додатки в онлайн-магазині програмного забезпечення – усе це розміщується на платформах із надійними доменними іменами. Але вміст, наданий окремими користувачами, не створюється цією платформою та не особливо ретельно перевіряється нею (незалежно від того, скільки автоматизованої перевірки платформа стверджує).
• Уважно перевіряйте доменні імена веб-сайтів. Кожен символ має значення, і бізнес-частина будь-якого імені сервера знаходиться в кінці (права частина в європейських мовах, які йдуть зліва направо), а не на початку. Якщо я володію доменом dodgy.example тоді я можу поставити будь-який бренд, який мені подобається, на початку, наприклад visa.dodgy.example or whitehouse.gov.dodgy.example. Це просто субдомени мого шахрайського домену, і вони так само ненадійні, як і будь-яка інша частина dodgy.example.
• Якщо ім’я домену не видно на вашому мобільному телефоні, подумайте про те, щоб зачекати, доки ви зможете використовувати звичайний браузер настільного комп’ютера, який зазвичай має набагато більше місця на екрані для виявлення справжнього розташування URL-адреси.
• Розгляньте менеджер паролів. Менеджери паролів пов’язують імена користувачів і паролі для входу з певними службами та URL-адресами. Якщо ви потрапите на сайт-самозванець, яким би переконливим він не виглядав, ваш менеджер паролів не обдурить, оскільки він розпізнає сайт за URL-адресою, а не за зовнішнім виглядом.
• Не поспішайте вводити код 2FA. Використовуйте збій у своєму робочому процесі (наприклад, той факт, що вам потрібно розблокувати телефон, щоб отримати доступ до програми генератора коду) як причину перевірити цю URL-адресу вдруге, щоб бути впевненим, щоб бути впевненим.
• Спробуйте повідомити Facebook про шахрайські сторінки. На жаль, вам потрібно мати власний обліковий запис у Facebook (користувачі, які не є користувачами Facebook, не можуть надсилати звіти, щоб допомогти ширшій спільноті, на жаль), або мати друга, який надішле звіт за вас . Але наш досвід у цьому випадку показав, що повідомлення про це спрацювало, оскільки Facebook незабаром заблокував доступ до сторінки-порушника.

Пам’ятайте, коли йдеться про особисті дані, особливо паролі та коди 2FA…

...Якщо ви сумніваєтеся/не віддавайте.

---