Kyberzločinci zneužívají Live ID jako návnadu

22. květen 2015 10:25 0 komentářů

Podvodníci zneužili Windows Live ID jako návnadu na získání osobních informací z uživatelských profilů. Na podvod upozornili analytici Kaspersky Lab. Týká se dat uložených v profilech služeb, jako jsou Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger či OneDrive.

„Poctivý phishing“ Uživatelé obdrží e-mailem varování, že je jejich Windows Live ID účet používán k distribuci nevyžádaných zpráv a bude zablokován. Aby tomuto předešli, jsou vyzváni k následování odkazu a aktualizaci uživatelských detailů v souladu s novými bezpečnostními požadavky služby. Tato zpráva vypadá jako typický phishingový e-mail, kdy se od obětí očekává, že kliknou na odkaz odkazující na falešný web napodobující oficiální stránky a zadají data, která budou zaslána podvodníkům. V tomto případě však odkaz v podvodném e-mailu skutečně vedl na oficiální web Windows Live a analytici nezaznamenali žádný pokus získat přihlašovací údaje či hesla uživatele.

Ovšem po úspěšném ověření účtu na oficiálních stránkách live.com, uživatelé obdrželi ze služby nezvyklou výzvu. Aplikace žádala povolení k automatickému přihlášení do účtu, zobrazení profilových informací, adresáře a přístupu k seznamu e mailových adres uživatelů, a to jak pracovních, tak osobních. Podvodníci při této technice využili bezpečnostní chyby v otevřeném protokolu pro autentizaci (OAuth).

Uživatelé, kteří klikli na „ano“, neprozradili své přihlašovací údaje a hesla, ale poskytli osobní data, e-mailové adresy svých kontaktů a přezdívky i reálná jména svých přátel. Povolit přístup bylo možné i k ostatním informacím, včetně seznamu schůzek či důležitých událostí. Tato data jsou pravděpodobně použita k podvodným účelům, jako například zasílání spamu kontaktům z adresáře oběti nebo zahájení cílených phishingových útoků.

O bezpečnostních chybách v OAuth protokolech již nějakou dobu víme. Na začátku roku 2014 singapurský student popsal možné cesty, jak ukrást data uživatelů po autentizaci. Toto je ale poprvé, co jsme narazili na použití phishingového e-mailu k uvedení těchto praktik do praxe. Podvodník může využít získané údaje k vytvoření podrobného obrazu uživatele, včetně informací o tom, co dělá, s kým se stýká, kdo jsou jeho přátelé a podobně. Tento profil pak může být zneužit ke kriminálním účelům,“ dodal přední analytik Kaspersky Lab Andrey Kostin.

Analytici Kaspersky Lab radí vývojářům webových aplikací pro sociální sítě pracující s OAuth protokolem:

  1. vyhnout se užívání otevřeného přesměrování z webových stránek,
  2. vytvořit si seznam důvěryhodných adres pro přesměrování pomocí OAuth. Podvodníci mohou provést skryté přesměrování na škodlivé stránky tím, že najdou aplikaci, kterou lze napadnout, a změní její „redirect_uri“ parametr.

Doporučení pro uživatele:

  1. Neklikejte na odkazy přijaté e-mailem nebo v soukromých zprávách na sociálních sítích.
  2. Neposkytujte neznámým aplikacím právo přistupovat k vašim osobním údajům.
  3. Ujistěte se, že plně rozumíte přístupovým právům k účtu, které vyžaduje každá aplikace.
  4. Pokud zjistíte, že aplikace distribuuje spam nebo škodlivé odkazy vaším jménem, můžete zaslat stížnost administrátorovi sociální sítě nebo webové služby a aplikace bude zablokována.
  5. Aktualizujte svou antivirovou databázi a anti-phishingovou ochranu.

Komentáře

RSS 

Komentujeme

Umí ještě chlapi řídit IT byznys?

ITBiz.cz , 07. srpen 2018 11:00

Co mají v ČR společného obří IT korporace jako Google, HP, Microsoft, Oracle a nejnověji SAP? Mají v...

Více







RSS 

Zprávičky

Apple prý už nechce sám vyrábět autonomní auta, soustředí se na software

ČTK , 14. srpen 2018 10:55

Manažer Doug Field, který odešel z Tesly, se vrací do Applu....

Více 0 komentářů

Google prý ukládá údaje o poloze uživatelů i proti jejich vůli

ČTK , 14. srpen 2018 09:00

I s pozastavenou historií pohybu prý některé aplikace Googlu automaticky ukládají data o poloze s ča...

Více 0 komentářů

Foxconnu nečekaně klesl zisk o 2,3 %

ČTK , 14. srpen 2018 08:00

Firma čelí riziku nasycení trhu s chytrými telefony....

Více 0 komentářů

Kalendář

22. 08.

25. 08.
Human-Level AI Conference 2018
26. 08.

30. 08.
VMworld 2018 U.S.
31. 08.

05. 09.
IFA 2018

Starší zprávičky

Zranitelnost ve WhatsApp umožňuje manipulovat konverzaci

Pavel Houser , 13. srpen 2018 13:03

Útočníkům se nabízí nástroj na vytváření a šíření dezinformací, které vypadají jako zprávy z důvěryh...

Více 0 komentářů

Před 150 lety se narodil úspěšný italský podnikatel Olivetti

ČTK , 13. srpen 2018 08:00

V 80. letech byla značka Olivetti známá jako jeden z největších výrobců počítačů. Sloužily i při čes...

Více 0 komentářů

Nová služba databáze v cloudu: Oracle Autonomous Transaction Processing

Pavel Houser , 11. srpen 2018 13:46

Vytvoření systému pro řízení databáze tradičně vyžadovalo experty, kteří sestavili na míru přizpůsob...

Více 0 komentářů

Centrum kyberobrany představilo svou strategii do roku 2022

ČTK , 11. srpen 2018 12:11

Vojenské zpravodajství buduje NCKO na základě vládního akčního plánu ke kybernetické bezpečnosti z r...

Více 0 komentářů