“?szinte” adathalászat
A felhasználók figyelmeztetést kapnak e-mailben arról, hogy a Windows Live ID fiókjukat kéretlen üzenetek továbbítására használják fel, ezért leállítják a fiókjuk m?ködését. Ahhoz, hogy a felfüggesztést feloldják, a felhasználókat egy weboldalra csalják, ahol frissíthetik az adataikat annak érdekében, hogy a szolgáltatás új biztonsági előírásainak megfeleljenek. Valahogy így zajlik egy átlagos adathalász támadás e-mailben. Az áldozatokat valamilyen hamis oldalra vezetik, amely úgy néz ki, mintha valódi Windows Live oldal lenne és minden az oldalon beírt adat csalók kezére jut. Azonban a vállalat szakértői meglepve tapasztalták, hogy a csalók üzenete ténylegesen a Windows Live oldalára vezetett, és nem kísérelték meg a felhasználó adatait vagy jelszavát ellopni.
Akkor mi a trükk?
A linkre kattintva, miután sikeresen engedélyezzük a fiókot a hivatalos live.com oldalon, a felhasználó egy azonnali parancs üzenettel szembesül a szolgáltatótól: egy alkalmazás kér engedélyt ahhoz, hogy automatikusan beléphessen a fiókunkba, megnézhesse a profiladatainkat és hozzáférjen a címlistánkhoz, valamint a magán- és munkahelyi e-mail címeinkhez. A csalók a nyílt szabvány engedélyezési folyamat (OAuth) hibáin keresztül tudtak hozzáférni ehhez a technikához.
Azon felhasználók, akik a “Yes” gombra kattintanak, nem a saját felhasználónevüket és jelszavukat adják ki, de személyes adatokat szolgáltatnak, például a címlistájukon szereplő e-mail címeket, a barátaik valós- és beceneveit. Az is előfordul, hogy más adatokhoz is sikerül engedélyt kapniuk, például találkozók, események időpontjaihoz. Ezeket az információkat nagy eséllyel tisztességtelen célokra használhatják fel, például az áldozat címjegyzékében található címekre üzeneteket küldhetnek, vagy adathalász támadásokat indíthatnak.
“Már egy ideje tudunk az OAuth biztonsági hibáiról: 2014-ben, egy szingapúri diák írta le, hogy milyen módon lehetséges hitelesítés után felhasználói adatokat lopni. Azonban ez az első példa, amikor azzal találkozunk, hogy a csalók a gyakorlatban használják ezt a technikát az adathalászathoz. A csalók a megszerzett információk segítségével részletes képet kaphatnak a felhasználóról, arról, hogy miket csinál, kivel találkozik, kik a barátai, stb. Ezeket a felhasználói profilokat akár b?nügyi célokra is felhasználhatják.” – mondta Andrey Kostin, a Kaspersky Lab szakértője.
Biztonsági tanácsok a felhasználók számára:

1. Ne kattintsunk az e-mailben, privát üzenetben, vagy közösségi oldalakon kapott linkekre.
2. Ismeretlen alkalmazásoknak ne engedélyezzük a személyes adatainkhoz való hozzáférést.
3. Győzödjünk meg róla, hogy teljesen megértettük, hogy az adott alkalmazás milyen hozzáférési jogokkal rendelkezik a fiókjainkhoz.
4. Ha észrevesszük, hogy az alkalmazás már üzeneteket vagy rosszindulatú linkeket küldözget a mi nevünkben, akkor jelezzük a panaszunkat a közösségi oldal adminisztrátorainak, vagy az alkalmazás webes szolgáltatójának, akik letilthatják az alkalmazást.
5. Mindig frissítsük a vírusirtó szoftverünk adatbázisát.