אזהרה מפני התקפות פישינג לעקיפת אימות דו-שלבי

מתקפות פישינג שמטרתן לעקוף אימות דו-שלבי הופכות מתוחכמות יותר ויותר. צילום: קספרסקי

צורות חדשות של מתקפות פישינג במגמת עלייה

אימות דו-שלבי הפך לתכונת אבטחה סטנדרטית באבטחת סייבר. הוא דורש ממשתמשים לאמת את זהותם באמצעות שלב אימות שני, בדרך כלל סיסמה חד-פעמית (OTP) הנשלחת באמצעות הודעת טקסט, דוא"ל או אפליקציית אימות.

שכבת אבטחה נוספת זו נועדה להגן על חשבונות המשתמשים גם אם הסיסמאות שלהם נגנבות. עם זאת, נוכלים השתמשו בשיטות מתוחכמות כדי להערים על משתמשים ולגרום להם לחשוף את קוד ה-OTP הללו, מה שמאפשר להם לעקוף הגנות 2FA, באמצעות בוטים של OTP.

OTP Bot הוא כלי מתוחכם המשמש נוכלים ליירט קודי OTP באמצעות התקפות הנדסה חברתית. תוקפים מנסים לעתים קרובות לגנוב את פרטי הכניסה של הקורבנות באמצעות שיטות כמו פישינג או ניצול פגיעויות נתונים כדי לגנוב מידע.

לאחר מכן הם מתחברים לחשבון הקורבן, מה שמפעיל את קוד ה-OTP שנשלח לטלפון שלו. לאחר מכן, בוט ה-OTP מתקשר אוטומטית לקורבן, מתחזה לעובד של ארגון מהימן, באמצעות סקריפט שיחה מתוכנת מראש כדי לשכנע את הקורבן לחשוף את קוד ה-OTP. לבסוף, התוקף מקבל את קוד ה-OTP דרך הבוט ומשתמש בו כדי לגשת לחשבון הקורבן באופן בלתי חוקי.

נוכלים מעדיפים שיחות קוליות על פני הודעות טקסט מכיוון שקורבנות נוטים להגיב מהר יותר לשיטה זו. בוטים של OTP מחקים את הטון והדחיפות של שיחה אנושית כדי ליצור תחושת אמון ושכנוע.

כדי להשתמש בבוט OTP, הנוכל צריך לגנוב תחילה את פרטי הכניסה של הקורבן. לעתים קרובות הם משתמשים באתרי פישינג שנועדו להיראות בדיוק כמו דפי הכניסה הלגיטימיים של בנקים, שירותי דוא"ל או חשבונות מקוונים אחרים. כאשר הקורבן מזין את שם המשתמש והסיסמה שלו, הנוכל אוסף מידע זה באופן אוטומטי באופן מיידי (בזמן אמת).

למרות ש-2FA אומץ באופן נרחב על ידי אתרים רבים ונדרש על ידי ארגונים, תוקפי סייבר עברו לצורות מתוחכמות יותר של מתקפות סייבר. צילום: קספרסקי

על פי נתוני קספרסקי, בין ה-1 במרץ ל-31 במאי 2024, פתרונות האבטחה שלהם מנעו 653,088 ביקורים באתרים שנוצרו על ידי ערכות כלים של פישינג שכוונו נגד בנקים.

נתונים שנגנבים מאתרים אלה משמשים לעתים קרובות במתקפות בוט של OTP. במהלך אותה תקופה, חברת אבטחת הסייבר זיהתה גם 4,721 אתרי פישינג שנוצרו על ידי ערכות כלים שנועדו לעקוף אימות דו-שלבי בזמן אמת.

פִּתָרוֹן

בעוד ש-2FA הוא אמצעי אבטחה חשוב, הוא אינו תרופת פלא. כדי להגן על משתמשים מפני הונאות מתוחכמות אלה, מומחי אבטחת סייבר ממליצים:

- הימנעו מלחיצה על קישורים בהודעות דוא"ל חשודות. אם עליכם להתחבר לחשבונכם בארגון כלשהו, ​​הקלדו את כתובת האתר המדויקת או השתמשו בסימניות.

- ודא שכתובת האתר נכונה ואין בה שגיאות הקלדה. ניתן להשתמש בכלי Whois כדי לבדוק את פרטי רישום האתר. אם האתר נרשם לאחרונה, סביר להניח שמדובר באתר הונאה.

- לעולם אל תמסור קודי OTP בטלפון, לא משנה כמה משכנע המתקשר נראה. בנקים וארגונים בעלי מוניטין אחרים לעולם לא יבקשו ממשתמשים לקרוא או להזין קודי OTP בטלפון כדי לאמת את זהותם.

מקור: https://laodong.vn/cong-nghe/canh-bao-ve-cac-hinh-thuc-tan-cong-gia-mao-de-vuot-xac-thuc-2-yeu-to-1351735.ldo