Un Phisher piraté l'authentification à deux facteurs de Gmail - Voici comment il l'a fait

Chez groovyPost, nous préconisons en permanence l’authentification en 2 étapes pour sécuriser vos comptes en ligne. J'utilise l'authentification Gmail à deux facteurs depuis un certain temps et je dois dire que cela me permet de me sentir très en sécurité. Pour ceux qui ne l'utilisent pas, l'authentification en 2 étapes signifie que vous devez utiliser votre mot de passe pour vous connecter et un autre code unique (généralement envoyé par SMS, appel téléphonique ou une application telle que Google Authenticator). C'est vrai que c'est un peu pénible, mais cela me semble en valoir la peine. J'ai en fait vu des cas de tentative de piratage (c'est-à-dire que j'ai reçu des SMS à deux facteurs sur mon téléphone alors que je n'essayais pas de me connecter, ce qui signifie que quelqu'un a correctement saisi mon mot de passe).

Ainsi, l’autre semaine, j’ai été choquée lorsque j’ai entendu sur le podcast Reply All qu’un pirate informatique avait réussi à phishing avec une personne utilisant la vérification Gmail en deux étapes. C'était dans l'épisode intitulé Quel genre d'idiot se fait piéger? C'est un bon épisode, je ne vais donc pas vous le gâter en disant qui était cet idiot, mais je vais vous raconter quelques-uns des trucs qu'ils ont utilisés.

1. se ressemblent noms de domaine

Le pirate informatique a obtenu l'autorisation des producteurs de l'émission pour tenter de pirater le personnel. Mais ils n'avaient aucun accès privilégié à leurs serveurs. Mais la première étape pour atteindre leurs cibles était d'usurper l'adresse électronique d'un collègue. Vous voyez, la personne dont ils ont usurpé le courrier électronique était:

[email protected]

L'adresse email utilisée par le phisher était la suivante:

[email protected]

Pouvez-vous faire la différence? Selon la police, vous n'avez peut-être pas remarqué que le mot «média» dans le nom de domaine est en fait orthographié r-n-e-d-i-a. Le r et n smelt ensemble ressemblent à un m. Le domaine était légitime, il n'aurait donc pas été détecté par un filtre anti-spam.

2. Pièces jointes convaincantes et corps du texte

La partie la plus délicate du courriel de phishing était qu’elle semblait extrêmement légitime. La plupart du temps, vous pouvez repérer un email louche d'un kilomètre et demi par ses caractères étranges et son anglais cassé. Mais ce phisher prétendait être un producteur envoyant un morceau audio à une équipe pour édition et approbation. Couplé avec le nom de domaine convaincant, cela semblait très crédible.

3. Fausse page de connexion Gmail en 2 étapes

C'était le plus délicat. L'une des pièces jointes envoyées était donc un fichier PDF dans Google Docs. Ou alors semblait-il. Lorsque la victime a cliqué sur la pièce jointe, elle lui a demandé de se connecter à Google Documents, comme vous devez parfois le faire même lorsque vous êtes déjà connecté à Gmail (ou semble-t-il)..

Et voici la partie intelligente.

Le phisher a créé une fausse page de connexion qui a envoyé un message réal Demande d'authentification à 2 facteurs auprès du serveur réel de Google, même si la page de connexion était complètement fausse. La victime a donc reçu un message texte comme d'habitude, puis, lorsque vous y êtes invité, insérez-le dans la fausse page de connexion. Le phisher a ensuite utilisé ces informations pour accéder à son compte Gmail..

Phishing.

Alors, est-ce que cela signifie que l'authentification à 2 facteurs est brisée?

Je ne dis pas que l'authentification en deux étapes ne fait pas son travail. Je me sens toujours plus en sécurité avec le facteur 2 activé, et je vais continuer comme ça. Mais entendre cet épisode m'a fait comprendre que je suis toujours vulnérable. Alors, considérez ceci comme un récit édifiant. Ne soyez pas trop confiant, et superposez les mesures de sécurité pour vous protéger de l'inimaginable.

Oh, au fait, le pirate informatique de l'histoire est: @DanielBoteanu

Utilisez-vous une authentification en deux étapes? Quelles autres mesures de sécurité utilisez-vous?