Atak na nasz komputer może rozpocząć się od tak prostej rzeczy, jak zignorowanie adresu URL strony, którą odwiedzamy. Jeśli ten adres to w rzeczywistości link w pliku PDF lub wiadomości e-mail, może nas zaprowadzić na portale specjalnie przygotowane do kradzieży danych logowania w ramach phishingu. W ostatnich tygodniach wykryto kampanię skierowaną do użytkowników Gmaila. Drobny niuans w pasku adresu i umiejętne wykorzystanie elementów, takich jak nagłówki czy załączniki, sprawiły, że kampania osiąga skuteczność, która zaskakuje zarówno nowicjuszy, jak i ekspertów.
Utrata naszych danych logowania na rzecz złośliwego oprogramowania to jedna z najgorszych rzeczy, jakie mogą nas spotkać. Ryzyko jest znacznie większe, niż się wydaje, bo nie chodzi tylko o jedno konto. Weźmy przykład Google. Standardowe konto daje dostęp do praktycznie wszystkich usług oferowanych przez Mountain View, w tym Gmail, Google Drive, Google Docs, Blogger, YouTube, AdWords, AdSense, Android Play Store... myślę, że rozumiecie. Najnowsza kampania atakuje użytkowników Gmaila, a jej historia zaczyna się od wiadomości e-mail rzekomo wysłanej przez jednego z naszych kontaktów.
Mechanizm ataku
Fałszywy e-mail ma cechy, które pozwalają go szybko zidentyfikować, zaczynając od różnic w języku czy błędów ortograficznych. Jednak według raportów ten atak może wysyłać wiadomości z prawdziwymi nagłówkami i załącznikami, które zostały użyte we wcześniejszej komunikacji między obiema stronami. Jeśli klikniemy podgląd załącznika, zostaniemy przeniesieni na stronę wyglądającą jak ekran logowania do Gmaila. Problem w tym, że czai się tu ukryta pułapka – dokładnie w pasku adresu. Łańcuch nie zaczyna się od oczekiwanego „https://accounts.google.com", lecz od „data:text/html,". W rzeczywistości to początek długiej struktury tekstu, która przekazuje nasze dane logowania atakującemu, a gdy już je zdobędzie, powtarza cały proces z resztą naszych kontaktów.
Jak się chronić?
- Uważnie obserwuj adres URL. Jeśli nie widzisz „https://" na początku w Gmailu (lub na dowolnym portalu logowania Google) z odpowiednią kłódką lub zieloną etykietą oraz danymi certyfikatu, coś jest nie tak.
- Uwierzytelnianie dwuskładnikowe to kolejny przydatny środek, choć istnieje niewielkie prawdopodobieństwo, że strona phishingowa zostanie zmodyfikowana tak, aby również prosić o kod weryfikacyjny (atak musiałby działać niemal w czasie rzeczywistym).
- Najbezpieczniejszą opcją (na razie) jest użycie fizycznych kluczy, co Google zaleca od dłuższego czasu.
- Na koniec warto sprawdzić logi aktywności w Gmailu. Jeśli pojawi się w nich coś podejrzanego, natychmiast zmień hasło.
Przyp. red.: Google potwierdziło, że zdaje sobie sprawę z potencjału tego ataku i pracuje nad dodatkowymi zabezpieczeniami, które będą dostępne w przeglądarce Chrome 56. Przypuszczamy, że Mozilla pójdzie podobną drogą.
