Bezpečnostní výzkumníci odhalili rozsáhlou phishingovou kampaň, při které útočníci zneužili platformu Google AppSheet k tomu, aby kompromitovali přibližně 30 000 uživatelských účtů na sociální síti Facebook.
Kampaň využívá legitimní infrastrukturu společnosti Google, což útočníkům umožňuje obejít tradiční bezpečnostní mechanismy a filtry zaměřené na detekci phishingu. Díky tomu se škodlivé e-maily dostanou přímo do hlavních složek doručené pošty, kde je oběti považují za důvěryhodné zprávy.
Jak útok probíhá
Útočníci rozesílají e-maily, které se tváří jako oficiální oznámení od společnosti Meta. Tyto zprávy nejčastěji informují příjemce o údajném porušení autorských práv nebo pravidel platformy a vyzývají je k okamžité reakci, jinak hrozí trvalé zablokování účtu.
E-maily obsahují odkaz vedoucí na podvodnou stránku hostovanou na doméně AppSheet, která je součástí platformy Google. Protože jde o legitimní službu Google, mnoho bezpečnostních systémů takový odkaz nepovažuje za podezřelý.
Sběr přihlašovacích údajů a obcházení 2FA
Po kliknutí na odkaz je oběť přesměrována na falešnou přihlašovací stránku, která věrně napodobuje rozhraní Facebooku. Zde je vyzvána k zadání svého uživatelského jména a hesla. Po jejich odeslání se objeví další obrazovka požadující jednorázový kód z dvoufaktorového ověřování (2FA).
Tímto způsobem útočníci v reálném čase získávají nejen přihlašovací údaje, ale i kódy 2FA, které jim umožňují obejít vícefaktorovou ochranu a převzít kontrolu nad cílovým účtem dříve, než si oběť uvědomí, co se stalo.
Podle dostupných údajů bylo touto cestou kompromitováno přes 30 000 facebookových účtů po celém světě. Mezi oběťmi jsou jak běžní uživatelé, tak správci firemních stránek a inzertních účtů, které jsou pro útočníky zvláště cenné, umožňují jim totiž spouštět škodlivé reklamní kampaně nebo dále šířit podvodný obsah.
Kompromitované účty bývají následně využívány k:
- šíření dalších phishingových odkazů mezi přáteli a kontakty oběti,
- spouštění podvodných reklam financovaných z účtů obětí,
- prodeji na černém trhu,
- vydírání původních majitelů účtů.
Případ znovu ukazuje, že útočníci stále častěji zneužívají důvěryhodné cloudové služby k hostování svých phishingových stránek, což výrazně komplikuje jejich detekci a vyžaduje od uživatelů zvýšenou ostražitost.
Zdroj: thehackernews.com
