Kyberzločinci zneužívají Live ID jako návnadu

22. květen 2015 10:25 0 komentářů

Podvodníci zneužili Windows Live ID jako návnadu na získání osobních informací z uživatelských profilů. Na podvod upozornili analytici Kaspersky Lab. Týká se dat uložených v profilech služeb, jako jsou Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger či OneDrive.

„Poctivý phishing“ Uživatelé obdrží e-mailem varování, že je jejich Windows Live ID účet používán k distribuci nevyžádaných zpráv a bude zablokován. Aby tomuto předešli, jsou vyzváni k následování odkazu a aktualizaci uživatelských detailů v souladu s novými bezpečnostními požadavky služby. Tato zpráva vypadá jako typický phishingový e-mail, kdy se od obětí očekává, že kliknou na odkaz odkazující na falešný web napodobující oficiální stránky a zadají data, která budou zaslána podvodníkům. V tomto případě však odkaz v podvodném e-mailu skutečně vedl na oficiální web Windows Live a analytici nezaznamenali žádný pokus získat přihlašovací údaje či hesla uživatele.

Ovšem po úspěšném ověření účtu na oficiálních stránkách live.com, uživatelé obdrželi ze služby nezvyklou výzvu. Aplikace žádala povolení k automatickému přihlášení do účtu, zobrazení profilových informací, adresáře a přístupu k seznamu e mailových adres uživatelů, a to jak pracovních, tak osobních. Podvodníci při této technice využili bezpečnostní chyby v otevřeném protokolu pro autentizaci (OAuth).

Uživatelé, kteří klikli na „ano“, neprozradili své přihlašovací údaje a hesla, ale poskytli osobní data, e-mailové adresy svých kontaktů a přezdívky i reálná jména svých přátel. Povolit přístup bylo možné i k ostatním informacím, včetně seznamu schůzek či důležitých událostí. Tato data jsou pravděpodobně použita k podvodným účelům, jako například zasílání spamu kontaktům z adresáře oběti nebo zahájení cílených phishingových útoků.

O bezpečnostních chybách v OAuth protokolech již nějakou dobu víme. Na začátku roku 2014 singapurský student popsal možné cesty, jak ukrást data uživatelů po autentizaci. Toto je ale poprvé, co jsme narazili na použití phishingového e-mailu k uvedení těchto praktik do praxe. Podvodník může využít získané údaje k vytvoření podrobného obrazu uživatele, včetně informací o tom, co dělá, s kým se stýká, kdo jsou jeho přátelé a podobně. Tento profil pak může být zneužit ke kriminálním účelům,“ dodal přední analytik Kaspersky Lab Andrey Kostin.

Analytici Kaspersky Lab radí vývojářům webových aplikací pro sociální sítě pracující s OAuth protokolem:

  1. vyhnout se užívání otevřeného přesměrování z webových stránek,
  2. vytvořit si seznam důvěryhodných adres pro přesměrování pomocí OAuth. Podvodníci mohou provést skryté přesměrování na škodlivé stránky tím, že najdou aplikaci, kterou lze napadnout, a změní její „redirect_uri“ parametr.

Doporučení pro uživatele:

  1. Neklikejte na odkazy přijaté e-mailem nebo v soukromých zprávách na sociálních sítích.
  2. Neposkytujte neznámým aplikacím právo přistupovat k vašim osobním údajům.
  3. Ujistěte se, že plně rozumíte přístupovým právům k účtu, které vyžaduje každá aplikace.
  4. Pokud zjistíte, že aplikace distribuuje spam nebo škodlivé odkazy vaším jménem, můžete zaslat stížnost administrátorovi sociální sítě nebo webové služby a aplikace bude zablokována.
  5. Aktualizujte svou antivirovou databázi a anti-phishingovou ochranu.

Komentáře


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář


RSS 

Zprávičky

Telefony Nokia se příští rok vrátí na trh

ČTK , 02. prosinec 2016 10:30

Chytré telefony se značkou Nokia se objeví zpátky na trhu v příštím roce. Finská společnost Nokia dn...

Více 2 komentářů

CETIN nabídne příští rok operátorům připojení až 250 Mbit/s

ČTK , 01. prosinec 2016 17:00

Společnost Česká telekomunikační infrastruktura (CETIN) zvýší od května příštího roku rychlost inter...

Více 0 komentářů

Akcie Samsungu stouply na nový rekord

ČTK , 01. prosinec 2016 12:00

Akcie jihokorejské společnosti Samsung Electronics dnes stouply o více než čtyři procenta na nový re...

Více 0 komentářů

Starší zprávičky

FBI bude moci s povolením soudu pronikat do jakýchkoli počítačů

ČTK , 01. prosinec 2016 10:30

V americkém Senátu dnes selhal poslední pokus o zablokování rozšířených policejních pravomocí, které...

Více 2 komentářů

Gartner:Prodej tabletů v ČR letos klesne o osm procent na 1,1 mil

ČTK , 30. listopad 2016 14:00

Zájem o tablety letos dále klesá. Prodej tabletů a hybridních notebooků na českém trhu se letos sníž...

Více 0 komentářů

Grafen opracovaný laserem

Pavel Houser , 30. listopad 2016 11:00

Na Iowa State University přišli s další metodou pro tištění grafenových součástek. V tomto případě j...

Více 0 komentářů

GFI Software přichází s beta verzí pokročilé cloudové ochrany e-mailu

Petr Velecký , 29. listopad 2016 18:00

Beta verzi své nejnovější cloudové platformy pro zajištění bezpečnosti a kontinuity provozu podnikov...

Více 0 komentářů