Хакеры придумали, как обойти двухфакторную аутентификацию Google обманом пользователя

Взломы, шпионская малварь, утечки данных, — аккаунты подвергаются компрометации самыми разными путями, и со всех сторон пользователи слышат совет: «включайте двухфакторную аутентификацию». Хотя этот дополнительный слой безопасности призван снизить шансы злоумышленников на успех, даже он срабатывает далеко не всегда. Так, исследователь обнаружил, что киберпреступники придумали новый способ обхода двухфакторной аутентификации аккаунтов Google.

Сегодня двухфакторную аутентификацию предлагают практически все уважающие себя сайты и сервисы, от Facebook до ресурсов правительственных учреждений. Дополнительный слой защиты действительно уберегает пользователей от множества проблем, а сама процедура авторизации по-прежнему проста: в основном двухфакторная аутентификация реализована посредством получения SMS-сообщения с одноразовым кодом, который нужно ввести на сайте.

Конечно, существует мобильная малварь, способная перехватывать SMS-сообщения от банков и других сервисов. Благодаря ней коды аутентификации отправляются прямиком в руки злоумышленников. Но подобные вредоносы, к счастью, пока не распространяются со скоростью лесного пожара, как это происходит, к примеру, с криптовымогательским ПО.

Исследователь Алекс Маккау (Alex MacCaw), один из сооснователей Clearbit.com, пишет, что основной проблемой пользователей по-прежнему остается «прокладка между стулом и клавиатурой». То есть они сами.

Маккау обнаружил новую вредоносную кампанию, основной которой служат социальная инженерия и хитрость. Исследователь рассказывает, что недавно он получил подозрительное SMS-сообщение, якобы написанное Google:

«(Уведомление от Google™) Недавно мы обнаружили подозрительную попытку входа в ваш аккаунт jschnei4@gmail.com с IP-адреса 136.91.38.203 (Вакавилл, Калифорния). Если вы не пытались авторизоваться из этого места и хотите чтобы работа вашего аккаунта была временно приостановлена, пожалуйста, ответьте на это уведомление шестизначным кодом верификации, который вы получите в ближайшее время. Если попытку авторизации предпринимали вы, просто проигнорируйте данное предупреждение», — гласит SMS.

Злоумышленники действуют изобретательно и заранее подготавливают жертву к получению одноразового кода двухфакторной аутентификации, который неизбежно будет отправлен на номер владельца аккаунта Google, когда хакеры попытаются авторизоваться. Фактически, после получения такого SMS, неподготовленный пользователь будет считать, что отправляет код «в Google», хотя на самом деле он своими руками даст взломщикам «зеленый свет» и позволить им осуществить хак.

Неизвестно, насколько массовый характер носит новый вредоносный спам. Похоже, старая добрая социальная инженерия никогда не выйдет из моды.

Be warned, there's a nasty Google 2 factor auth attack going around. pic.twitter.com/c9b9Fxc0ZC— Alex MacCaw (@maccaw) June 4, 2016

Фото: iStock

Источник: Хакер

Налоговая служба отключила систему защиты от мошенников: ей пользовались мошенники

Федеральная налоговая служба США (Internal Revenue Service, IRS) в последнее время часто фигурирует в сводках новостей. Так, в прошлом месяце представители ведомства сообщили, что в 2015 году, в результате атаки на сервис Get Transcript, пострадало более 700 000 человек, а не 300 000, как было заявлено ранее (хотя исходно вообще сообщалось о ста тысячах пострадавших). 8 марта 2016 года IRS и вовсе объявила о приостановке работы системы Identity Protection PIN, которая была призвана защитить граждан от хищения личности, но оказалось, что системой пользуются мошенники, от которых она и должна оберегать.

Сотрудник Snapchat раскрыл злоумышленникам зарплаты персонала

Социальная инженерия – мощное оружие в умелых руках. Как уже не раз показывала практика, чтобы добраться до чужих конфиденциальных данных, не обязательно обладать глубокими познаниями в технических областях. Инцидент, произошедший с компанией Snapchat на прошлой неделе, — яркий тому пример.

В официальном блоге Snapchat появилось сообщение, рассказывающее, что на прошлой неделе расчетный отдел компании подвергся направленной фишинговой атаке. В поддельном письме, присланном в бухгалтерию, злоумышленник выдал себя за руководителя компании Эвана Шпигеля (Evan Spiegel), и запросил у сотрудника, чье имя не раскрывается, данные о зарплатах персонала компании. Служащий не распознал в сообщении подделку и переслал злоумышленнику исчерпывающую информацию о расчетах заработной платы как для текущих сотрудников Snapchat, так и для бывших.

Эксперт смогла получить доступ к чужому аккаунту при помощи простого телефонного звонка

Всего за 30 мин эксперт получила электронный адрес жертвы и вынудила службу поддержки сбросить пароль от учетной записи.

Хакеры могут получить доступ к учетным записям жертв различными способами. Для данной цели необязательно использовать сложное ПО, в некоторых случаях достаточно обычного телефона. Эксперт Джессика Кларк (Jessica Clark) продемонстрировала, как можно получить доступ к аккаунту посредством простого телефонного звонка.