See Chrome’i andmepüügikomplekt on pagana hirmutav
Inimeste meelitamine sisselogimismandaate üle andma pole kunagi olnud lihtsam. Nagu on näidatud uues andmepüügi tööriistakomplektis, on ühekordse sisselogimise (SSO) hüpikaknaid Chrome’is väga lihtne võltsida ja sisselogimiskasti URL ei pruugi näidata, kas sait on tõesti seaduslik.
Kas teate, kuidas mõned veebisaidid võimaldavad teil Google’i, Apple’i, Facebooki või Amazoni kontoga sisse logida? See on SSO-sisselogimine – see on väärtuslik aja kokkuhoid, kuna vähendab kasutajanimede ja paroolide arvu, mida peate meeles pidama.
Siin on probleem; häkkerid saavad neid SSO-aknaid Chrome’is suurepäraselt kopeerida, isegi kuni URL-ini. Turvauurija dr.d0x uus andmepüügikomplekt sisaldab valmismalli, mida algajad häkkerid või valged mütsid saavad kasutada veenva SSO-hüpikakna kiireks koostamiseks. (Teised mallid võivad juba häkkimisringkondades hõljuda.)
Häkkerid, kes kasutavad neid võltsitud SSO-aknaid, kleebivad need kõikvõimalikele veebisaitidele. Häkker võib saata teile näiteks teie Dropboxi konto kohta meili ja käskida teil külastada teatud linki. See link võib suunata võltsitud Dropboxi veebisaidile, kus on Google’i, Apple’i ja Facebooki SSO sisselogimisvõimalused. Häkker kogub kogu teabe, mille sisestate nendesse võltsitud SSO-kastidesse, nagu teie Google’i sisselogimine.
Loomulikult võivad nende võltsitud SSO-akende jaoks olla kõige levinumad sihtkohad piraatvideoveebisaidid (ja muud tasuta kraami pakkuvad saidid). Häkker võib luua piraatvideoveebisaidi, mis nõuab näiteks SSO-sisselogimist, sundides inimesi tõhusalt kätt andma. nende Google’i või Facebooki mandaatide kaudu.
Selgituseks võib öelda, et dr.d0x ei leiutanud SSO-d ega brauseris toimuvat andmepüügi ärakasutamist. Häkkerid hakkasid SSO sisselogimisaknaid võltsima mitu aastat tagasi. See andmepüügikomplekt lihtsalt näitab, kuidas sellised ärakasutamised töötavad. Lisaks võivad ettevõtted kasutada seda komplekti, et testida oma töötajate võimet andmepüügiskeeme märgata.
Andmepüügirünnakute vältimine võib olla keeruline. Soovitan teil alustuseks installida paroolihaldur, mis võib sageli tuvastada andmepüügikatseid ja aitab teil kasutada iga veebisaidi jaoks ainulaadset sisselogimisteavet (mis vähendab edukast andmepüügirünnakust tulenevat kahju). Samuti peaksite vältima linkide avamist meilides või tekstisõnumites, isegi kui need tunduvad tõsised või õigustatud.
Allikas: mr.d0x BleepingComputeri kaudu