Apgaulė, kurios nesustabdė net „Google“: jūsų paskyra gali būti pavogta vos per kelias sekundes

Saugoti savo paskyras ir asmens duomenis tampa vis sudėtingiau, nepaisant nuolatinių saugumo specialistų pastangų. „Microsoft“ neseniai paskelbė apie griežtesnius el. pašto autentifikacijos reikalavimus, o FTB perspėjo apie sukčius, apsimetančius jų agentais, „Google“ patvirtino, kad „Gmail“ vartotojai tapo naujos sudėtingos kibernetinės atakos taikiniu. 

Sukčiai sugebėjo apeiti net pačias „Google“ taikomas apsaugas, pasinaudodami vartotojų pasitikėjimu oficialia „Google“ infrastruktūra. Problemos esmė ta, kad apgaulingos saugumo žinutės, kurios iš pirmo žvilgsnio atrodo visiškai autentiškos. 

Balandžio 16 dieną programinės įrangos kūrėjas Nickas Johnsonas socialiniame tinkle „X“ pasidalijo įrašu apie tai, kaip gavo neva oficialų „Google“ saugumo perspėjimą apie jo paskyrai iškeltą bylą teisme. Laiškas buvo pasirašytas „Google“ domeno raktu, siųstas iš „no-reply@google.com“ adreso, o dar blogiau – jis pateko į tą pačią el. pašto giją kaip tikrieji saugumo perspėjimai.

Spustelėjus pateiktą nuorodą, vartotojai patenka į itin tikrovišką „Google Support“ puslapio kloną, patalpintą „sites.google.com“ platformoje. Net prisijungimo langas atrodė identiškas tikram „Google“ paskyros puslapiui. Jei kas nors suveda savo prisijungimo duomenis – jie patekdavo tiesiai į sukčių rankas.

Kaip veikia „DomainKeys Identified Mail“ (DKIM) ir kokią reikšmę tai turi?

Norint kovoti su tokiais incidentais, „Google“ nuo 2024 metų balandžio 1 dienos privalomai taiko griežtesnį masinio siuntimo autentifikavimą, naudodama DMARC, DKIM ir SPF sistemas. Panašias priemones netrukus įves ir „Microsoft“ vartotojams „Outlook.com“ platformoje.

Šios apsaugos priemonės turėtų užtikrinti, kad vartotojai gautų tik autentiškus laiškus, siųstus iš patikrintų domenų. DKIM užtikrina, kad el. laiškas būtų pasirašytas skaitmeniniu parašu, SPF patikrina siuntėjo teisėtumą, o DMARC vertina, kaip gerai šie duomenys sutampa ir nusprendžia, ką daryti su neatitinkančiu laišku, nukreipti į šlamšto katalogą arba atmesti visai.

Tačiau ši nauja ataka parodė, kad net griežtos apsaugos turi spragų, kurias išradingi sukčiai sugeba išnaudoti. Tai nereiškia, kad autentifikacijos sistemų nereikia naudoti – jos vis dar labai svarbios. Tačiau vartotojai turi išlikti budrūs net ir tada, kai laiškas atrodo „tobulai“ patikimas.

Sukčių arsenalas: pigių „phishing“ rinkinių grėsmė

Nors ši „Gmail“ ataka yra itin sudėtinga, dauguma kibernetinių nusikaltėlių renkasi paprastesnius kelius. Pasak „NordVPN“ kibernetinio saugumo eksperto Adrianuso Warmenhoveno, sukčiavimo rinkiniai (angl. phishing kits) tamsiajame internete ar „Telegram“ grupėse parduodami vos už 25 JAV dolerius.

Šie rinkiniai dažnai siūlo „drag-and-drop“ svetainių kūrimo įrankius, suklastotų svetainių kodą, kenkėjiškus duomenų išgavimo skriptus ir netgi jau paruoštas elektroninio pašto šablonų kolekcijas. Daugeliui sukčių nereikia turėti nė minimalių programavimo įgūdžių, viskas pateikiama paruošta naudojimui.

„NordVPN“ tyrimas parodė, kad dažniausiai imituojami prekių ženklai yra „Google“, „Facebook“ ir „Microsoft“. Vien 2024 metais buvo užfiksuota 85 000 suklastotų „Google“ URL. A. Warmenhovenas perspėja, kad tokie sukčiavimo rinkiniai mažina barjerą patekti į kibernetinių nusikaltimų pasaulį, todėl atakų mastas ir įvairovė sparčiai auga.

Ką daro „Google“ ir kaip apsisaugoti?

Gera žinia ta, kad „Google“ jau ėmėsi visų įmanomų priemonių, kad užkirstų kelią šiai konkrečiai atakos formai. JAV bendrovė paskelbė, kad nauji apsaugos atnaujinimai netrukus bus pilnai įdiegti ir turėtų užkirsti kelią tokiam piktnaudžiavimui.

Tuo tarpu vartotojams patariama nedelsti ir įjungti dviejų veiksnių autentifikaciją (2FA) bei pereiti prie naudojimosi „passkeys“ sistemomis, kurios užtikrina tvirtesnę apsaugą nuo panašių atakų.

Kaip paaiškino saugumo ekspertė Melissa Bischoping, ši ataka naudojo naujovišką „OAuth“ aplikacijos kombinaciją ir kūrybingą DKIM spragų išnaudojimą. Nors „Google“ šias spragas jau uždarė, M. Bischoping perspėjo, kad sukčiavimas pasitelkiant patikimų paslaugų vardus nėra nei naujas, nei išnykstantis reiškinys.

Todėl, nepaisant naujų apsaugos mechanizmų, vartotojai privalo išlikti budrūs ir mokytis atpažinti net ir pačius tikroviškiausius sukčiavimo bandymus. Tvirtos apsaugos pagrindas išlieka tas pats: sąmoningas saugumo žinių atnaujinimas ir kelių lygių autentifikacijos naudojimas.