Εδώ στο groovyPost, πιέζουμε συνεχώς τον έλεγχο ταυτότητας σε 2 βήματα ως έναν τρόπο για να διασφαλίσουμε τους online λογαριασμούς σας. Χρησιμοποιώ έλεγχο ταυτότητας Gmail 2 παραγόντων εδώ και αρκετό καιρό και πρέπει να πω, με κάνει να νιώθω πολύ ασφαλής. Για όσους δεν το χρησιμοποιούν, ο έλεγχος ταυτότητας σε 2 βήματα σημαίνει ότι πρέπει να χρησιμοποιήσετε τον κωδικό πρόσβασής σας για να συνδεθείτε και έναν άλλο μοναδικό κωδικό (συνήθως αποστέλλεται μέσω κειμένου, τηλεφωνικής κλήσης ή μιας εφαρμογής όπως ο Επαληθευτής Google). Είναι αλήθεια ότι είναι λίγο πόνος, αλλά μου αξίζει τον κόπο. Στην πραγματικότητα έχω δει περιπτώσεις όπου είναι μια προσπάθεια πειρατείας (δηλαδή, πήρα κείμενα 2 παραγόντων στο τηλέφωνό μου όταν δεν προσπαθούσα να συνδεθώ, πράγμα που σημαίνει ότι κάποιος εισήγαγε σωστά τον κωδικό πρόσβασής μου).

Λοιπόν, την άλλη εβδομάδα, με συγκλόνισε όταν άκουσα στο podcast "Απάντηση σε όλους" ότι ένας χάκερ είχε ψαρέψει κάποιον με επιτυχία χρησιμοποιώντας μια επαλήθευση Gmail σε 2 βήματα. Αυτό ήταν στο επεισόδιο με τίτλο What Kind of Idiot Gets Phishing; Είναι ένα υπέροχο επεισόδιο, οπότε δεν θα το χαλάσω λέγοντας ποιος ήταν ο «ηλίθιος», αλλά θα σας πω μερικά από τα κόλπα που χρησιμοποίησαν.

1. Κοιτάξτε όμοια ονόματα τομέα

Ο χάκερ είχε άδεια από τους παραγωγούς της εκπομπής να προσπαθήσει να πειραχτεί το προσωπικό. Όμως δεν είχαν πρόσβαση στο εσωτερικό των διακομιστών τους. Αλλά το πρώτο βήμα για την επίτευξη των στόχων τους ήταν η πλαστογράφηση της διεύθυνσης ηλεκτρονικού ταχυδρομείου ενός συναδέλφου. Δείτε, το άτομο του οποίου το ηλεκτρονικό ταχυδρομείο αποκάλυψε ήταν:

phia@gimletmedia.com

Η διεύθυνση ηλεκτρονικού ταχυδρομείου που χρησιμοποίησε ο phisher ήταν η εξής:

phia@gimletrnedia.com

Μπορείτε να πείτε τη διαφορά; Ανάλογα με τη γραμματοσειρά, μπορεί να μην έχετε παρατηρήσει ότι η λέξη "μέσα" στο όνομα τομέα είναι όντως γραμμένη rnedia. Τα r και n συνθλίβονται μαζί μοιάζουν με m. Ο τομέας ήταν νόμιμος, επομένως δεν θα είχε πάρει από ένα φίλτρο ανεπιθύμητων μηνυμάτων.

2. Πειστικά συνημμένα και κείμενο σώματος

Το πιο δύσκολο μέρος του ηλεκτρονικού ψαρέματος ήταν ότι ακούγεται εξαιρετικά νόμιμο. Τις περισσότερες φορές, μπορείτε να εντοπίσετε ένα σκιερό email από ένα μίλι μακριά από τους περίεργους χαρακτήρες και τα σπασμένα αγγλικά. Αλλά αυτός ο phisher προσποιήθηκε ως παραγωγός που στέλνει ένα κομμάτι ήχου σε μια ομάδα για επεξεργασία και έγκριση. Σε συνδυασμό με το πειστικό όνομα τομέα, φαινόταν πολύ πιστευτό.

3. Ψεύτικη σελίδα σύνδεσης Gmail σε 2 βήματα

Αυτό ήταν το δύσκολο. Έτσι, ένα από τα συνημμένα που στάλθηκε ήταν ένα PDF στα Έγγραφα Google. Ή έτσι φαινόταν. Όταν το θύμα έκανε κλικ στο συνημμένο, του ώθησε να συνδεθούν στα Έγγραφα Google, όπως μερικές φορές πρέπει να κάνετε ακόμη και όταν είστε ήδη συνδεδεμένοι στο Gmail (ή έτσι φαίνεται).

Και εδώ είναι το έξυπνο μέρος.

Ο phisher δημιούργησε μια ψεύτικη σελίδα σύνδεσης που έστειλε ένα πραγματικό αίτημα ελέγχου ταυτότητας 2 παραγόντων στον πραγματικό διακομιστή της Google, παρόλο που η σελίδα σύνδεσης ήταν εντελώς ψεύτικη. Έτσι, το θύμα έλαβε ένα μήνυμα κειμένου όπως το κανονικό και, στη συνέχεια, όταν του ζητηθεί, το έβαλε στη σελίδα ψεύτικης σύνδεσης. Ο phisher στη συνέχεια χρησιμοποίησε αυτές τις πληροφορίες για να αποκτήσει πρόσβαση στον λογαριασμό του στο Gmail.

Phishing.

Λοιπόν, αυτό σημαίνει ότι έχει διακοπεί ο έλεγχος ταυτότητας 2 παραγόντων;

Δεν λέω ότι ο έλεγχος ταυτότητας σε 2 βήματα δεν λειτουργεί. Αισθάνομαι ακόμα πιο ασφαλής και πιο ασφαλής με ενεργοποιημένο τον 2 παράγοντα και θα το διατηρήσω έτσι. Αλλά ακούγοντας αυτό το επεισόδιο με έκανε να συνειδητοποιήσω ότι είμαι ακόμα ευάλωτος. Λοιπόν, θεωρήστε αυτό μια προειδοποιητική ιστορία. Μην ξεπεράσετε την αυτοπεποίθηση και αφιερώστε στα μέτρα ασφαλείας για να προστατευθείτε από το αδιανόητο.

Ω, παρεμπιπτόντως, ο ιδιοφυής χάκερ από την ιστορία είναι: @DanielBoteanu

Χρησιμοποιείτε έλεγχο ταυτότητας σε 2 βήματα; Ποια άλλα μέτρα ασφαλείας χρησιμοποιείτε;