Новий рівень: хакери вже дзвонять і пишуть жертвам з офіційного телефону і домену Google
Новий рівень скаму: кібершахраї зателефонували жертві з офіційного номера підтримки Google, а потім надіслали листа з офіційного домену компанії. Поки незрозуміло, як зловмисники це зробити.
Про новий спосіб кібератаки на GitHub розповів інженер-програміст Зак Латта, засновник Hack Club, пише CyberNews.
Як програміст ледь не втратив акаунт Google: нова шахрайська схема
Латті подзвонила така собі Хлоя – з номера 650-203-0000, який був підписаний як Google і вказаний на сторінці підтримки Google. В США Google Assistant, наприклад, може дзвонити з цього номеру для призначення бронювань або перевірки часу очікування в ресторані.
Хлоя назвалась службою підтримки Google Workspace і попередила, що заблокувала обліковий запис Латти, мовляв, хтось увійшов в акаунт із Франкфурта.
Той одразу запідозрив, що це спроба шахрайства, і попросив підтвердження електронною поштою. Хакери одразу надіслали email зі справжнього субдомену g.co, який дійсно належить Google.
Підписуйтеся на наші соцмережі
Різні протоколи автентифікації електронної пошти, які перевіряють на спуфінг і фішингові атаки, не виявили в листі жодних ознак спуфінгу.
Google також гарантує, що g.co – це офіційне скорочення для URL-адрес, призначене «тільки для веб-сайтів Google».
Телефонна розмова і лист не допомогли шахрайці переконати Латту. Тоді до схеми підключився її “шеф” “Соломон”, який продовжив телефоном розповідати інженеру, що його акаунт, ймовірно, був зламаний через розширення Chrome для блокування реклами, – і запропонував ресетнути всі сесії в Google Workspace. Для цього, звісно, треба було назвати число на телефоні, як завжди при двофакторній автентифікації.
Тут шахрай фатально помилився, бо наступним кроком надіслав в смс максимально підозрілий лінк на сайт для “відновлення акаунта”. Спроба угону не пройшла, але Латті дійсно залишалось одне натискання кнопки до втрати втрати.
Як шахраям вдалось надіслати лист з офіційного домену Google
Google поки не коментував цей випадок. Як шахраї могли отримати доступ до важливих функцій і субдоменів Google, наразі незрозуміло.
На GitHub висловили версію, що це помилка в Google Workspace. Вона дозволяє створити новий робочий простір із будь-яким субдоменом g.co і якийсь час надсилати з нього електронні листи, не підтверджуючи, що ви є власником домену.
Щоправда, інші коментатори жартома нагадують: підтримка Google ніколи не має часу дзвонити користувачам, тому першою ознакою скама був сам факт дзвінка.