Paspaudus nuorodą pavojus atsiranda naršyklėje: nauja sukčių schema apeina net dalį el. pašto filtrų

El. laiškas gali atrodyti visiškai įprastas: pranešimas apie bendrinamą dokumentą, neapmokėtą sąskaitą ar laukiančią kainos užklausą. Nuorodą patikrina pašto sistema, ji neaptinka kenkėjiško puslapio, todėl laiškas ramiai pasiekia gavėjo dėžutę. Pavojus išryškėja tik tada, kai žmogus pats paspaudžia nuorodą ir atidaro ją savo naršyklėje.

Saugumo tyrėjai perspėja apie metodą, kuris sąmoningai sukurtas taip, kad įprasti URL tikrintuvai ir el. pašto filtrai nematytų tikrojo puslapio turinio. Kenkėjiška dalis laikoma užšifruota ir išskleidžiama tik naudotojo įrenginyje. Todėl automatinė apsauga gali pamatyti tik tuščią ar iš pažiūros nepavojingą svetainę, nors po kelių akimirkų žmogui jau rodomas įtikinamas prisijungimo scenarijus.

Ši ataka pavojinga dar ir tuo, kad sukčiams nebūtinai reikia išvilioti slaptažodį. Auka gali būti nukreipta į tikrą „Microsoft“ prisijungimo puslapį, pati atlikti dviejų veiksnių patvirtinimą ir vis tiek perduoti prieigą nusikaltėliams. Aiškiausias signalas, kurį reikia prisiminti: netikėtai gavus prašymą įvesti trumpą įrenginio kodą, reikia sustoti ir nieko netvirtinti.

Kenkėjiškas puslapis pasislepia iki paskutinės akimirkos

Naujoji schema siejama su sukčiavimo rinkiniu „EvilTokens“, o pats maskavimo būdas kartais vadinamas „vaiduoklišku sukčiavimu“. Jo esmė paprasta: tikrasis nukreipimo puslapio turinys nėra iš karto matomas nei el. pašto apsaugai, nei nuorodas automatiškai tikrinančioms sistemoms.

Saugumo bendrovės „ANY.RUN“ analizėje nurodoma, kad kenkėjiškas turinys užšifruojamas ir iššifruojamas tik naršyklėje. Kol nuorodą tikrina automatinė sistema, puslapis gali atrodyti tuščias, neutralus arba neturėti jokių aiškių sukčiavimo požymių. Tačiau kai nuorodą atidaro tikras žmogus, naršyklė įvykdo puslapyje esantį kodą ir parodo jau visai kitą turinį.

Tai nereiškia, kad visi apsaugos sprendimai tampa bejėgiai. Pažangesnės sistemos gali vertinti laiško kontekstą, siuntėją, nukreipimų grandinę ir naudotojo elgesį. Vis dėlto vien tik adreso patikrinimo gali nebepakakti, nes pavojinga dalis sąmoningai paliekama užšifruota iki pat paspaudimo.

Žmogui tai sukuria klaidingą saugumo jausmą. Laiškas neatsidūrė šlamšto aplanke, naršyklė neparodė raudono įspėjimo, o galutinis prisijungimo puslapis netgi priklauso „Microsoft“. Būtent todėl ši schema gali būti įtikinamesnė už įprastą netikrą banko ar el. pašto prisijungimo langą.

Sukčiai prašo ne slaptažodžio, o tikro prisijungimo kodo

Didžiausia šios atakos gudrybė – piktnaudžiavimas teisėta „Microsoft“ įrenginio kodo funkcija. Ji sukurta televizoriams, spausdintuvams ir kitiems įrenginiams, kuriuose nepatogu arba neįmanoma įvesti ilgo slaptažodžio. Tokiu atveju įrenginys parodo trumpą kodą, o žmogus jį įveda kitame telefone ar kompiuteryje atidaręs oficialų prisijungimo puslapį.

Sukčiai šį procesą apverčia savo naudai. Paspaudus laiške esančią nuorodą aukai pateikiamas kodas ir nurodoma jį įvesti oficialiame „Microsoft“ puslapyje. Žmogus mato tikrą adresą, suveda duomenis ir patvirtina prisijungimą telefonu ar autentifikavimo programėle. Iš pirmo žvilgsnio viskas atrodo saugu, nes slaptažodis įvedamas ne neaiškioje svetainėje, o pačios „Microsoft“ sistemoje.

Tačiau patvirtinamas ne žmogaus pradėtas prisijungimas. Įvestas kodas susieja paskyrą su sukčiaus valdoma programa ar įrenginiu, todėl prieigos raktas atitenka užpuolikui. Jis gali patekti į el. paštą, „OneDrive“ failus ir kitas su „Microsoft 365“ paskyra susietas paslaugas.

Šiuo atveju įprastas dviejų veiksnių patvirtinimas nesuveikia kaip apsauginė siena, nes pats naudotojas patvirtina tikrą užklausą. Tai nereiškia, kad dviejų veiksnių apsauga nereikalinga – ji vis dar sustabdo daugybę kitų atakų. Tačiau ši schema parodo, kad jokio prisijungimo negalima tvirtinti vien todėl, kad telefone pasirodė oficialus langas. Pirmiausia reikia savęs paklausti, ar pats ką tik pradėjote tokį veiksmą.

Vien slaptažodžio pakeitimo gali nepakakti

„EvilTokens“ atvejai rodo, kaip greitai pažangūs sukčiavimo įrankiai tampa prieinami platesniam nusikaltėlių ratui. Anksčiau įrenginio kodo srautu dažniau piktnaudžiaudavo gerai organizuotos grupuotės, taikydavusios į valstybines įstaigas, universitetus ar dideles organizacijas. Dabar panašūs įrankiai nuomojami už mėnesinį mokestį ir siūlomi kaip beveik paruošta paslauga.

Saugumo bendrovės skelbė, kad per kelias savaites su šiuo rinkiniu siejamos atakos palietė šimtus „Microsoft 365“ organizacijų įvairiose šalyse. Po sėkmingo prisijungimo sistema gali automatiškai peržiūrėti pašto dėžutę, ieškoti sąskaitų, banko rekvizitų, IBAN numerių ir mokėjimo terminų. Tokia informacija vėliau panaudojama kuriant daug tikslesnius laiškus buhalterijai, klientams ar verslo partneriams.

Pavyzdžiui, nusikaltėlis gali rasti tikrą susirašinėjimą apie laukiamą mokėjimą ir tinkamu momentu išsiųsti laišką su pakeistu sąskaitos numeriu. Gavėjas mato pažįstamą siuntėjo vardą, ankstesnio pokalbio istoriją ir tikrą sąskaitos sumą, todėl apgaulę pastebėti tampa gerokai sunkiau.

Svarbu žinoti, kad slaptažodžio pakeitimas ne visada iš karto nutraukia jau išduotų prieigos raktų veikimą. Jeigu paskyra galėjo būti perimta, įmonės administratorius turi ne tik pakeisti slaptažodį, bet ir atšaukti aktyvias sesijas bei prieigos žetonus. Paprastam naudotojui verta atsijungti nuo visų įrenginių, peržiūrėti paskyros prisijungimų istoriją ir nedelsiant kreiptis į įmonės IT specialistus, jeigu tai darbo paskyra.

Vienas prašymas turėtų iš karto sukelti įtarimą

Pagrindinis požymis – netikėtas prašymas įvesti trumpą kodą puslapyje, skirtame įrenginiams prijungti. Tokį veiksmą reikėtų atlikti tik tada, kai patys jungiate televizorių, spausdintuvą, žaidimų konsolę ar kitą įrenginį ir kodą matote jo ekrane. Jeigu kodą atsiuntė el. laiškas, bendrinamo dokumento puslapis ar nežinomas asmuo, jo įvesti negalima.

Įtarimą taip pat turėtų kelti skubūs pranešimai apie sąskaitas, kainų pasiūlymus, bendrinamus failus ir dokumentus, kurių nelaukėte. Net jeigu laiške nurodomas pažįstamas įmonės pavadinimas, saugiau dokumentą atidaryti per įprastą „Microsoft 365“ arba „OneDrive“ programėlę, o ne per laiške pateiktą nuorodą.

Apsaugą sustiprina prisijungimo raktai, dar vadinami „passkeys“, ir fiziniai FIDO2 saugos raktai. Jie susiejami su tikruoju interneto adresu, todėl juos sunkiau panaudoti svetimoje prisijungimo schemoje. Slaptažodžių tvarkyklė taip pat gali padėti, nes automatiškai nepasiūlys prisijungimo duomenų netinkamame domene, nors šiuo konkrečiu atveju sukčiai gali nukreipti ir į oficialų puslapį.

Svarbiausia taisyklė lieka paprasta: nepatvirtinti to, ko pats nepradėjote. Jeigu telefone netikėtai atsirado prisijungimo užklausa, įrenginio kodas arba prašymas suteikti programai prieigą prie paskyros, saugiausias veiksmas – uždaryti langą ir prie paskyros prisijungti savarankiškai, įprastu adresu. Būtent kelios sekundės abejonės šioje schemoje gali būti veiksmingesnės už filtrą, kuris pavojingos nuorodos tiesiog nespėjo pamatyti.