Kyberzločinci zneužívají Live ID jako návnadu

22. květen 2015 10:25 0 komentářů

Podvodníci zneužili Windows Live ID jako návnadu na získání osobních informací z uživatelských profilů. Na podvod upozornili analytici Kaspersky Lab. Týká se dat uložených v profilech služeb, jako jsou Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger či OneDrive.

„Poctivý phishing“ Uživatelé obdrží e-mailem varování, že je jejich Windows Live ID účet používán k distribuci nevyžádaných zpráv a bude zablokován. Aby tomuto předešli, jsou vyzváni k následování odkazu a aktualizaci uživatelských detailů v souladu s novými bezpečnostními požadavky služby. Tato zpráva vypadá jako typický phishingový e-mail, kdy se od obětí očekává, že kliknou na odkaz odkazující na falešný web napodobující oficiální stránky a zadají data, která budou zaslána podvodníkům. V tomto případě však odkaz v podvodném e-mailu skutečně vedl na oficiální web Windows Live a analytici nezaznamenali žádný pokus získat přihlašovací údaje či hesla uživatele.

Ovšem po úspěšném ověření účtu na oficiálních stránkách live.com, uživatelé obdrželi ze služby nezvyklou výzvu. Aplikace žádala povolení k automatickému přihlášení do účtu, zobrazení profilových informací, adresáře a přístupu k seznamu e mailových adres uživatelů, a to jak pracovních, tak osobních. Podvodníci při této technice využili bezpečnostní chyby v otevřeném protokolu pro autentizaci (OAuth).

Uživatelé, kteří klikli na „ano“, neprozradili své přihlašovací údaje a hesla, ale poskytli osobní data, e-mailové adresy svých kontaktů a přezdívky i reálná jména svých přátel. Povolit přístup bylo možné i k ostatním informacím, včetně seznamu schůzek či důležitých událostí. Tato data jsou pravděpodobně použita k podvodným účelům, jako například zasílání spamu kontaktům z adresáře oběti nebo zahájení cílených phishingových útoků.

O bezpečnostních chybách v OAuth protokolech již nějakou dobu víme. Na začátku roku 2014 singapurský student popsal možné cesty, jak ukrást data uživatelů po autentizaci. Toto je ale poprvé, co jsme narazili na použití phishingového e-mailu k uvedení těchto praktik do praxe. Podvodník může využít získané údaje k vytvoření podrobného obrazu uživatele, včetně informací o tom, co dělá, s kým se stýká, kdo jsou jeho přátelé a podobně. Tento profil pak může být zneužit ke kriminálním účelům,“ dodal přední analytik Kaspersky Lab Andrey Kostin.

Analytici Kaspersky Lab radí vývojářům webových aplikací pro sociální sítě pracující s OAuth protokolem:

  1. vyhnout se užívání otevřeného přesměrování z webových stránek,
  2. vytvořit si seznam důvěryhodných adres pro přesměrování pomocí OAuth. Podvodníci mohou provést skryté přesměrování na škodlivé stránky tím, že najdou aplikaci, kterou lze napadnout, a změní její „redirect_uri“ parametr.

Doporučení pro uživatele:

  1. Neklikejte na odkazy přijaté e-mailem nebo v soukromých zprávách na sociálních sítích.
  2. Neposkytujte neznámým aplikacím právo přistupovat k vašim osobním údajům.
  3. Ujistěte se, že plně rozumíte přístupovým právům k účtu, které vyžaduje každá aplikace.
  4. Pokud zjistíte, že aplikace distribuuje spam nebo škodlivé odkazy vaším jménem, můžete zaslat stížnost administrátorovi sociální sítě nebo webové služby a aplikace bude zablokována.
  5. Aktualizujte svou antivirovou databázi a anti-phishingovou ochranu.

Komentáře

RSS 

Komentujeme

Vládní čtvrť a vládní systém, tedy ten informační

Petr Zavoral , 06. leden 2018 16:15
Petr Zavoral

Jeden ze zakladatelů enterprise architektury John Zachman srovnává IT v institucích s Boeingem: Firm...

Více







Kalendář

18. 01.

19. 01.
itSMF 2018
29. 01.

30. 01.
G2BTechEd
30. 01. Ecommerce Expo Prague 2018

RSS 

Zprávičky

Zpomalování iPhonů půjde vypnout

ČTK , 18. leden 2018 13:01

Řada uživatelů Apple podezřívala, že zpomalováním starších telefonů tlačí spotřebitele k nákupu nové...

Více 0 komentářů

Apple se vrací do USA

ČTK , 18. leden 2018 10:07

Firma Apple plánuje postavit další firemní kampus ve Spojených státech a najmout v zemi v příštích p...

Více 0 komentářů

Prodej přes Internet zničí dealery aut

ČTK , 18. leden 2018 10:02

Do roku 2025 celosvětově zanikne 30 až 50 % klasických automobilových dealerství. ...

Více 0 komentářů

Starší zprávičky

Bitcoin se poprvé od začátku prosince propadl pod 10 000 dolarů

ČTK , 18. leden 2018 08:00

"Co se týče kryptoměn, obecně mohu téměř s jistotou prohlásit, že dospějí ke špatnému konci," řekl W...

Více 0 komentářů

Digitální fragmentace představuje hrozbu pro další rozvoj firem

Pavel Houser , 17. leden 2018 14:51

Množství restriktivních opatření přijatých státy G20 se mezi lety 2010 a 2016 zčtyřnásobilo....

Více 1 komentářů

V USA prý vyzývají AT&T k přerušení vztahů s Huawei

ČTK , 17. leden 2018 09:00

Zákonodárci údajně varují americké podniky, že vztahy s Huawei či China Mobile snižují jejich šance ...

Více 0 komentářů

Roman Knap jmenován generálním ředitelem SAP Slovensko

Pavel Houser , 17. leden 2018 08:00

R. Knap v letech 2012–2014 zastával pozici generálního ředitele SAP Slovensko, od roku 2014 je gener...

Více 0 komentářů