มันเป็นรูปแบบฟิชชิงที่แม้กระทั่งการรับรองความถูกต้องหลายประการและการเปลี่ยนรหัสผ่านของคุณจะไม่สามารถแก้ไขได้
เมื่อวันพุธที่ผ่านมาการโจมตีแบบฟิชชิ่งของ Google เอกสารขนาดใหญ่แพร่กระจายไปทั่ว Gmail การขโมยบัญชีของผู้คนและส่งสแปมไปยังรายชื่อผู้ติดต่อของเหยื่อ Google ปิดการโจมตีอย่างรวดเร็วซึ่งส่งผลต่อผู้ใช้ Gmail ราว 0.1 เปอร์เซ็นต์
แม้จะมีจำนวนน้อยด้วยจำนวนผู้ใช้ Gmail ราว 1 พันล้านคน แต่ก็ยังมีผู้คนอย่างน้อย 1 ล้านคนที่ถูกโจมตี และการตรวจจับฟิชชิ่งทั่วไปที่ Gmail เสนอไม่สามารถบล็อกได้เนื่องจากการโจมตีนั้นไม่ต้องการแม้แต่ผู้ที่ตกเป็นเหยื่อในการพิมพ์รหัสผ่าน
การหลอกลวงแบบฟิชชิ่งอาศัยการแสวงหาผลประโยชน์ของ OAuth ซึ่งเป็นโครงการหายากที่เปิดเผยต่อโลกในวันพุธ OAuth ซึ่งย่อมาจาก Open Authorization ช่วยให้แอปและบริการ "พูดคุย" ซึ่งกันและกันโดยไม่ต้องลงชื่อเข้าใช้บัญชีของคุณ ลองนึกดูว่า Amazon Alexa ของคุณสามารถอ่านเหตุการณ์ Google ปฏิทินของคุณได้อย่างไรหรือวิธีที่เพื่อน Facebook ของคุณสามารถดูเพลงที่คุณกำลังฟังบน Spotify ในช่วงสามปีที่ผ่านมาแอปที่ใช้ OAuth เพิ่มขึ้นจาก 5, 500 เป็น 276, 000 รายตาม Cisco Cloudlock
“ ขณะนี้เทคนิคนี้เป็นที่รู้จักกันอย่างแพร่หลายมีแนวโน้มที่จะก่อให้เกิดปัญหาที่สำคัญ - มีบริการออนไลน์มากมายที่ใช้ OAuth และเป็นเรื่องยากสำหรับพวกเขาในการตรวจสอบแอปพลิเคชันของบุคคลที่สามทั้งหมดอย่างเต็มที่” Greg Martin กล่าว ซีอีโอของ บริษัท ไซเบอร์ซีเคียวริตี้ซีสเต็มในอีเมล
Google เอกสารใช้ประโยชน์จากการโจมตีแบบฟิชชิ่งทั่วไปอย่างไร
การโจมตีแบบฟิชชิ่งทั่วไปจะสร้างเว็บไซต์เพื่อหลอกให้คุณพิมพ์รหัสผ่านส่งข้อมูลที่ละเอียดอ่อนไปยังขโมยหรือบันทึกไว้ในฐานข้อมูล
ด้วยการใช้ประโยชน์จาก OAuth เช่นเดียวกับในกรณีของการหลอกลวง Google เอกสารบัญชีสามารถถูกแย่งชิงโดยที่ผู้ใช้ไม่พิมพ์อะไรก็ได้ ในรูปแบบ Google เอกสารผู้โจมตีสร้าง Google เอกสารเวอร์ชันปลอมขึ้นมาและขออนุญาตอ่านเขียนและเข้าถึงอีเมลของเหยื่อ
ด้วยการให้สิทธิ์การใช้ประโยชน์จาก OAuth ทำให้คุณได้รับอนุญาตให้คนร้ายเข้าถึงบัญชีของคุณได้อย่างมีประสิทธิภาพโดยไม่ต้องใช้รหัสผ่าน
ทำไมฉันเปลี่ยนรหัสผ่านไม่ได้
OAuth ไม่ทำงานผ่านรหัสผ่านทำงานผ่านโทเค็นการอนุญาต หากรหัสผ่านเป็นกุญแจล็อคประตูบัญชีของคุณ OAuth เป็นคนเฝ้าประตูที่มีกุญแจและผู้ที่ถูกหลอกให้ปล่อยให้ผู้อื่นเข้ามา
คุณจะต้องเพิกถอนสิทธิ์ในการกำจัดผู้บุกรุก
ทำไมการรับรองความถูกต้องหลายประการไม่ได้หยุดการโจมตีของ OAuth
การรับรองความถูกต้องของ Multifactor ทำงานโดยให้คุณป้อนรหัสความปลอดภัยเมื่อคุณลองเข้าสู่ระบบด้วยรหัสผ่าน
อีกครั้งในช่องโหว่นี้รหัสผ่านไม่ใช่จุดเริ่มต้น ดังนั้นเมื่อแฮกเกอร์ใช้การโจมตีแบบ OAuth พวกเขาไม่จำเป็นต้องป้อนรหัสผ่าน - ผู้ที่ตกเป็นเหยื่อติดกับการให้อนุญาตแล้ว
"แอปพลิเคชันไม่จำเป็นต้องมีปัจจัยที่สองเมื่อผู้ใช้ได้รับอนุญาต" ตามการวิจัยของซิสโก้
ดังนั้นฉันควรทำอย่างไรถ้าฉันทำสิ่งที่ชอบหลอกลวงอีเมลหลอกลวง
โชคดีที่การแก้ไขนั้นง่ายต่อการจัดการมากกว่าถ้าคุณล้มเหลวในการหาประโยชน์จากฟิชชิ่งมาตรฐาน ในกรณีของ Google คุณสามารถเพิกถอนการอนุญาตได้โดยไปที่ //myaccount.google.com/permissions หากแอปปลอมปิดตัวลงเช่นเดียวกับ Google ที่ทำกับ Google เอกสารหลอกลวงการอนุญาตจะถูกเพิกถอนโดยอัตโนมัติเช่นกัน
สำหรับบริการอื่น ๆ ที่ใช้ OAuth อาจไม่ง่ายนัก บริการส่วนใหญ่ที่ใช้ OAuth จะมีหน้าซึ่งคุณสามารถจัดการการอนุญาตของคุณเช่นหน้าแอปพลิเคชันของ Twitter บนอุปกรณ์ Android 6.0 คุณสามารถเพิกถอนการอนุญาตบน Application Manager ในการตั้งค่าของคุณ
น่าเสียดายที่มีแอพนับแสนที่ใช้ OAuth และมีเวลาไม่พอที่คนส่วนใหญ่จะพบหน้าการอนุญาตทั้งหมดสำหรับพวกเขา
นิตยสาร CNET: ดูตัวอย่างของเรื่องราวที่คุณจะพบใน CNET ฉบับแผงหนังสือ
It's Complicated: นี่คือการเดทในยุคของแอพ มีความสนุกสนานหรือยัง เรื่องราวเหล่านี้เป็นหัวใจของเรื่อง
แสดงความคิดเห็นของคุณ