נחשפה הונאה חדשה המשתמשת ב-Windows Live ID כפיתיון לגנבת נתונים

נחשפה הונאה חדשה המשתמשת ב-Windows Live ID כפיתיון לגנבת נתונים
מאת: מערכת Telecom News, 25.5.15, 21:58

המדובר בגנבת נתונים אישיים המאוחסנים בפרופיל המשתמש בשירותים כגון Xbox  Live, Zune, Hotmail, Outlook, MSN Messenger ו-OneDrive. יש המלצות למפתחים המשתמשים בפרוטוקול OAuth ולכלל הגולשים.
 
מומחי אבטחה ממעבדת קספרסקי מתריעים על הונאה חדשה המשתמשת ב-Windows Live ID כפיתיון לגנבת נתונים אישיים המאוחסנים בפרופיל המשתמש בשירותים כגון Xbox  Live, Zune, Hotmail, Outlook, MSN Messenger ו-OneDrive.

קורבנות ההונאה קיבלו הודעות מייל, שהתריעו, שנעשה שימוש בחשבונות ה-Windows Live ID שלהם כדי לשלוח דואר זבל אלקטרוני, מה שהוביל לחסימת החשבון. כדי לעצור את השהיית החשבון, הם התבקשו לעקוב אחר קישור בהודעה כדי לעדכן את פרטיהם, כדי לעמוד בדרישות האבטחה החדשות של השירות.

כל הסיפור נשמע כמו הונאת פישינג טיפוסית, שבמסגרתה לוחץ הקורבן על הקישור, שנשלח אליו, ובדרך זו נכנס לאתר מזויף המתחזה לעמוד Windows Live הרשמי, שאוגר את הנתונים, שמזינים הקורבנות, ושולח אותם לגורמים, שמאחורי מעשה ההונאה.

אולם, המומחים הופתעו לגלות, שהקישור מההודעה שהתקבלה, באמת מקשר לאתר Windows Live, וכי לא התגלה ניסיון להשיג את פרטי הגישה של הקורבנות.

אז מה הטריק?

עם הלחיצה על הקישור בהודעת הדואר ואימות החשבון באתר live.com הרשמי, מופיעה למשתמשים הודעה מהשירות: אפליקציה מבקשת אישור להתחבר באופן אוטומטי לחשבון, לצפות בנתוני הפרופיל וברשימת אנשי הקשר ולגשת לרשימת כתובות הדואר האלקטרוני של המשתמש. גישה מסוג זה מתאפשרת לפושעי הסייבר בגלל פרצה בפרוטוקול האימות הפתוח OAuth.

משתמשים, שלוחצים "yes" על הודעת ההרשאות, אינם מוסרים את הסיסמא ופרטי הגישה שלהם, אבל הם כן מוסרים מידע אישי, כתובות דואר אלקטרוני של אנשי הקשר שלהם ואת הכינויים והשמות האמיתיים של חברים. ניתן גם לקבל אישור גישה לפרטים נוספים, כגון רשימת פגישות ואירועים חשובים. מידע זה יכול לשמש למטרות הונאה, כגון שליחת דואר זבל לרשימת כתובות הדוא"ל של הקורבן או ביצוע מתקפות פישינג ממוקד.

אנדריי קוסטין, אנליסט תוכן רשת בכיר במעבדת קספרסקי: "אנו יודעים על פרצות אבטחה בפרוטוקול OAuth כבר זמן מה. בתחילת 2014, סטודנט מסינגפור תיאר דרכים אפשריות לגניבת נתוני משתמשים לאחר אימות. עם זאת, זו הפעם הראשונה בה אנו נתקלים בהונאה המשתמשת בפישינג בדוא"ל כדי להפעיל טכניקות אלו. מבצע ההונאה יכול להשתמש במידע שאסף כדי ליצור פרופיל מדויק של משתמשים, כולל מידע על עבודתם, עם מי הם נפגשים, מי החברים שלהם ועוד. פרופיל זה יכול לשמש למטרות עברייניות".

עבור מפתחים של אפליקציות רשת עבור רשתות חברתיות, שמשתמשים בפרוטוקול OAuth, מומלץ:

1. להימנע משימוש ב-Redirect פתוח מהאתרים שלך.
2. ליצור רשימה לבנה של כתובות אמינות עבור redirects המבוצע באמצעות OAuth, מכיוון שיוזמי הונאה יכולים לבצע הפניה נסתרת אל אתר זדוני באמצעות מציאת אפליקציה, שניתן לתקוף בהצלחה ולשנות את פרמטר ה-redirect_uri שלה.

המלצות למשתמשים:
 
1. אל תעקבו אחר קישורים המתקבלים בדוא"ל או בהודעה פרטית ברשתות חברתיות.
2. אל תאשרו לאפליקציה, שאינה מוכרת, לגשת לנתונים האישיים שלכם.
3. ודאו, שאתם מבינים באמת את זכויות הגישה שכל אפליקציה מקבלת.
4. אם אתם מגלים, שאפליקציה כבר מפיצה ספאם או קישורים זדוניים בשמכם, אתם יכולים לשלוח תלונה להנהלת אתר הרשתות החברתיות או לשירות הרשת והאפליקציה תיחסם.
5. שמרו על בסיס הנתונים של האנטי וירוס שלכם מעודכן והפעילו הגנה נגד פישינג.