Täällä groovyPost, ajamme jatkuvasti kaksivaiheista todennusta tapana suojata online-tilisi. Olen käyttänyt kaksifaktorista Gmail-todennusta jo jonkin aikaa ja minun on sanottava, että se saa minut tuntemaan oloni erittäin turvalliseksi. Niille, jotka eivät käytä sitä, kaksivaiheinen todennus tarkoittaa, että sinun on kirjauduttava sisään salasanalla ja yhdellä muulla yksilöllisellä koodilla (yleensä lähetetään tekstiviestinä, puhelimitse tai sovelluksen, kuten Google Authenticator). Totta, se on hiukan tuskallinen, mutta tuntuu sen arvoiselta minulle. Olen itse nähnyt tapauksia, joissa se on tyypillistä hakkerointiyritystä (ts. Sain puhelimeen 2-tekijäisiä tekstejä, kun en yrittänyt kirjautua sisään, mikä tarkoittaa, että joku on kirjoittanut salasanani oikein).

Joten, toisella viikolla, se järkytti minua, kun kuulin Vastaa kaikille -lähetyksessä, että hakkeri oli onnistuneesti huijannut henkilöä kaksivaiheisella Gmail-vahvistuksella. Tämä oli jaksossa Millainen idiootti huijasi? Se on loistava jakso, joten en pilaa sitä sinulle kertomalla kuka “idiootti” oli, mutta kerron sinulle joitain temppuja, joita he käyttivät.

1. Katso samanlaisia ​​verkkotunnuksia

Hakkerit saivat ohjelman tuottajien luvan yrittää hakkeroida henkilökuntaa. Mutta heillä ei ollut sisäpiiriin pääsyä palvelimilleen. Mutta ensimmäinen askel niiden tavoitteiden pistämisessä oli työtoverin sähköpostiosoitteen väärentäminen. Katso, henkilö, jonka sähköpostia he huijasivat, oli:

[email protected]

Tietojenkalastelijan käyttämä sähköpostiosoite oli seuraava:

[email protected]

Voitko kertoa eron? Kirjasimesta riippuen, et ehkä ole huomannut, että sana “media” verkkotunnuksessa on tosiasiallisesti kirjoitettu rnedia. R ja n sumennetut näyttävät m: ltä. Verkkotunnus oli laillinen, joten roskapostisuodatin ei olisi saanut sitä vastaan.

2. Vakuuttavat liitteet ja tekstit

Tietokalasteluviestin vaikein osa oli se, että se kuulosti erittäin lailliselta. Suurimman osan ajasta voit havaita varjoisan sähköpostin mailin päässä sen omituista merkkeistä ja murtuneesta englannista. Mutta tämä kalastelija teeskenteli olevansa tuottaja, joka lähetti äänen joukkueelle editointia ja hyväksymistä varten. Yhdessä vakuuttavan verkkotunnuksen kanssa, se vaikutti erittäin uskottavalta.

3. Väärä kaksivaiheinen Gmail-kirjautumissivu

Tämä oli hankala. Joten yksi lähetetyistä liitteistä oli PDF Google Docsissa. Tai niin se näytti. Kun uhri napsautti liitetiedostoa, se kehotti häntä kirjautumaan Google-dokumenteihin, kuten sinun on joskus tehtävä, vaikka olet jo kirjautunut Gmailiin (tai niin näyttää).

Ja tässä on fiksu osa.

Tietokalastelija loi väärennetyn kirjautumissivun, joka lähetti todellisen 2-tekijän todennuspyynnön Googlen todelliselle palvelimelle, vaikka kirjautumissivu oli täysin väärennös. Joten uhri sai tekstiviestin aivan kuten normaalisti, ja sitten pyydettäessä laita se väärennettyyn kirjautumissivulle. Tietokalastelija käytti sitten näitä tietoja päästäkseen heidän Gmail-tililleen.

Phished.

Joten tarkoittaako tämä, että kaksikerroinen todennus on rikki?

En sano, että kaksivaiheinen todennus ei tee tehtäväänsä. Tunnen silti turvallisempaa ja varmempaa, kun 2-tekijä on käytössä, ja aion pitää sen sellaisena. Mutta tämän jakson kuuleminen sai minut ymmärtämään, että olen edelleen haavoittuvainen. Joten pidä tätä varovaisena tarinaa. Älä ota yli itseluottamusta ja kerro turvatoimenpiteille suojautuaksesi kuvittelemattomalta.

Voi, muuten, tarinan neroinen hakkeri on: @DanielBoteanu

Käytätkö kaksivaiheista todennusta? Mitä muita turvatoimenpiteitä käytät?