Noua metodă prin care hackerii fură parolele și codurile MFA. Peste 390.000 de atacuri într-un an

Platformele de cloud folosite zilnic de milioane de utilizatori au devenit un instrument preferat al infractorilor cibernetici. O nouă cercetare realizată de Kaspersky arată că, în ultimele 12 luni, au fost identificate peste 390.000 de atacuri de tip phishing care au exploatat servicii legitime precum Cloudflare Workers, Vercel, Netlify, GitHub Pages și IPFS pentru a fura date de autentificare și chiar pentru a ocoli sistemele de autentificare multifactor (MFA).

Potrivit specialiștilor, atacatorii profită de faptul că aceste platforme sunt considerate de încredere atât de utilizatori, cât și de unele soluții de securitate, ceea ce face ca tentativele de fraudă să fie mai greu de identificat.

Cum funcționează atacul

Raportul Kaspersky arată că atacul începe, de regulă, printr-un e-mail trimis de un atacator care pretinde că este un contact de încredere. Victima este convinsă să acceseze un link care pare legitim și să se autentifice în contul Microsoft.

După accesarea linkului, utilizatorul este direcționat către o presupusă pagină „anti-bot”, unde apare un prim CAPTCHA fals.

În loc să verifice dacă utilizatorul este o persoană reală, această pagină solicită introducerea adresei de e-mail de serviciu. Datele sunt colectate și transmise automat către o pagină găzduită pe platforma Cloudflare Workers, fără ca victima să își dea seama că informațiile sale au fost deja compromise.

Un CAPTCHA real ascunde frauda

Pe pagina următoare, victima întâlnește un al doilea CAPTCHA, de această dată unul autentic.

Specialiștii explică faptul că acesta este încărcat dinamic și nu este integrat direct în codul HTML al paginii, ceea ce îl face mai dificil de detectat de soluțiile de securitate. Astfel, utilizatorul capătă și mai multă încredere că se află pe un site legitim.

Falsa fereastră Microsoft care fură toate datele

Ultima etapă a atacului este cea mai periculoasă.

Victima vede ceea ce pare a fi o fereastră standard de autentificare Office 365 sau Microsoft. În realitate, aceasta este creată folosind tehnica Browser-in-the-Browser (BiTB), care imită perfect aspectul unei ferestre autentice de conectare.

În momentul în care utilizatorul introduce:

• numele de utilizator;
• parola;
• codul de autentificare multifactor (MFA),

toate aceste informații sunt capturate de atacatori.

Ulterior, victima este redirecționată către o pagină generică de eroare, tocmai pentru a nu realiza că datele sale au fost compromise.

De ce sunt atât de eficiente aceste atacuri

Potrivit cercetării, hackerii folosesc platforme cunoscute și de încredere precum:

• Cloudflare Workers;
• Vercel;
• Netlify;
• GitHub Pages;
• IPFS.

Acest lucru le permite să ascundă infrastructura folosită pentru phishing și să evite blocarea rapidă a paginilor frauduloase. Totodată, utilizarea unor domenii legitime reduce suspiciunile utilizatorilor și poate păcăli inclusiv unele filtre automate de securitate.

Recomandările Kaspersky

Pentru a evita astfel de atacuri, specialiștii Kaspersky recomandă utilizatorilor să fie atenți la câteva semnale de avertizare.

„CAPTCHA-urile, în mod normal, nu solicită informații personale — precum adresa de e-mail. Dacă o etapă de verificare necesită introducerea datelor personale pentru a demonstra că nu sunteți un robot, acesta este un semnal puternic de avertizare privind un posibil atac de phishing sau o fraudă.”

De asemenea, compania recomandă:

• verificarea cu atenție a solicitărilor neașteptate de autentificare, chiar dacă provin de la domenii cunoscute;
• verificarea URL-ului real din bara principală a browserului, deoarece atacurile Browser-in-the-Browser pot imita ferestrele de autentificare, dar nu pot modifica adresa reală afișată de browser;
• actualizarea permanentă a browserelor și a extensiilor de securitate;
• utilizarea unor soluții de securitate capabile să analizeze scripturile și elementele dinamice ale paginilor web, nu doar reputația domeniului.

Raportul arată că metodele de phishing devin din ce în ce mai sofisticate și că simpla existență a autentificării în doi pași nu mai garantează protecția conturilor atunci când utilizatorii sunt convinși să își introducă singuri datele pe pagini false care imită aproape perfect serviciile legitime.