Ein Phisher hat die Zwei-Faktor-Authentifizierung von Google Mail gehackt

Durch die Bestätigung in zwei Schritten wird Ihr Google-Konto exponentiell sicherer. Aber für Hacker sind Sie immer noch nicht unbesiegbar.

Hier bei groovyPost arbeiten wir ständig daran2-stufige Authentifizierung zur Sicherung Ihrer Online-Konten. Ich verwende seit einiger Zeit die 2-Faktor-Google Mail-Authentifizierung und fühle mich dadurch sehr sicher. Für diejenigen, die es nicht verwenden, bedeutet die zweistufige Authentifizierung, dass Sie sich mit Ihrem Passwort und einem anderen eindeutigen Code anmelden müssen (normalerweise per SMS, Telefonanruf oder einer App wie Google Authenticator). Es ist zwar ein bisschen schmerzhaft, aber es fühlt sich für mich wert an. Ich habe tatsächlich Fälle gesehen, in denen ein Hacking-Versuch gebremst wurde (das heißt, ich habe 2-Faktor-Texte auf meinem Telefon, als ich mich nicht anmelden wollte, was bedeutet, dass jemand mein Passwort korrekt eingegeben hat).

Die andere Woche war ich schockiert, als ich weiter hörteDer "Allen antworten" -Podcast, den ein Hacker mithilfe der zweistufigen Google Mail-Bestätigung erfolgreich an jemanden gesendet hat. Dies war in der Episode mit dem Titel Welche Art von Idiot wird gefischt? Es ist eine großartige Folge, also werde ich es dir nicht verderben, indem ich sage, wer der "Idiot" war, aber ich werde dir einige der Tricks erzählen, die sie verwendet haben.

1. Suchen Sie nach ähnlichen Domainnamen

Der Hacker hatte die Erlaubnis von der ShowProduzenten, um zu versuchen, das Personal zu hacken. Sie hatten jedoch keinen Insiderzugriff auf ihre Server. Der erste Schritt, um die Ziele zu erreichen, bestand darin, die E-Mail-Adresse eines Mitarbeiters zu fälschen. Sehen Sie, die Person, deren E-Mail sie gefälscht haben, war:

phia@gimletmedia.com

Die vom Phisher verwendete E-Mail-Adresse lautete wie folgt:

phia@gimletrnedia.com

Kannst du den Unterschied erkennen? Je nach Schriftart haben Sie möglicherweise nicht bemerkt, dass das Wort „media“ im Domainnamen tatsächlich r-n-e-d-i-a geschrieben ist. Das r und das n, die zusammen verschmiert sind, sehen aus wie ein m. Die Domain war legitim und wurde daher nicht von einem Spamfilter erfasst.

2. Überzeugende Anhänge und Körpertext

Der schwierigste Teil der Phishing-E-Mail war dases klang äußerst legitim. Die meiste Zeit können Sie eine schattige E-Mail aus einer Entfernung von einer Meile anhand ihrer seltsamen Zeichen und ihres gebrochenen Englisch erkennen. Aber dieser Phisher gab vor, ein Produzent zu sein, der ein Stück Audio an ein Team zur Bearbeitung und Genehmigung schickte. In Verbindung mit dem überzeugenden Domainnamen schien es sehr glaubwürdig.

3. Gefälschte Google Mail-Anmeldeseite in zwei Schritten

Das war der Knifflige. Einer der gesendeten Anhänge war also ein PDF in Google Text & Tabellen. Zumindest schien es so. Wenn das Opfer auf den Anhang klickt, wird es aufgefordert, sich bei Google Text & Tabellen anzumelden, wie dies manchmal auch dann der Fall ist, wenn Sie bereits bei Google Mail angemeldet sind (oder so scheint es).

Und hier ist der clevere Teil.

Der Phisher hat eine gefälschte Anmeldeseite erstellt, die eine echt 2-Faktor-Authentifizierungsanfrage an Google realServer, obwohl die Anmeldeseite komplett gefälscht war. Das Opfer hat also wie gewohnt eine SMS erhalten und diese auf Aufforderung in die gefälschte Anmeldeseite eingefügt. Der Phisher hat diese Informationen dann verwendet, um Zugriff auf sein Google Mail-Konto zu erhalten.

Phished.

Bedeutet dies, dass die 2-Faktor-Authentifizierung nicht funktioniert?

Ich sage nicht, dass die zweistufige Authentifizierung nicht funktioniertmach seinen Job. Ich fühle mich mit aktiviertem 2-Faktor-Modus immer noch sicherer und sicherer und werde es auch so lassen. Aber als ich diese Episode hörte, wurde mir klar, dass ich immer noch verwundbar bin. Betrachten Sie dies als eine warnende Geschichte. Werden Sie nicht zu selbstsicher und setzen Sie auf die Sicherheitsmaßnahmen, um sich vor dem Unvorstellbaren zu schützen.

Oh, der geniale Hacker aus der Geschichte ist übrigens: @DanielBoteanu

Verwenden Sie die zweistufige Authentifizierung? Welche anderen Sicherheitsmaßnahmen setzen Sie ein?