Популярность метода двухфакторной аутентификации привела к появлению многочисленных способов взломать или обойти его. Чаще всего в качестве второго фактора используется верификация с помощью одноразовых кодов, или OTP (One Time Password). Их можно получить различными способами — в виде СМС, голосового сообщения по телефону, письма на почту, сообщения в мессенджере от официального бота сервиса или пуш-уведомления от приложения. За этими кодами и охотится большинство онлайн-мошенников, отмечают в «Лаборатории Касперского». Например, для перехвата кодов они используют OTP-боты — автоматизированное ПО, способное выманивать у пользователей одноразовые пароли в схемах с использованием социальной инженерии. Поскольку OTP-бот предназначен для кражи второго фактора аутентификации, подключать его имеет смысл, если у злоумышленника уже есть данные жертвы — как минимум логин и пароль от личного кабинета, а также номер телефона. Эту информацию злоумышленники либо находят в открытом доступе, в опубликованных утекших базах данных, либо покупают её в даркнете, либо выманивают на фишинговых сайтах.
Затем мошенник заходит в чужой аккаунт и получает запрос на ввод OTP-кода. Жертве на телефон приходит сообщение с одноразовым паролем. OTP-бот звонит пользователю и с помощью заранее заготовленного скрипта (такие скрипты есть и на русском языке) уговаривает ввести полученный код. Жертва набирает код на клавиатуре телефона прямо во время звонка. Код поступает в Telegram-бот злоумышленника, который таким образом получает доступ к аккаунту жертвы. Ключевая функция OTP-бота — звонок жертве. Успех мошенников зависит от того, насколько убедителен будет бот: время действия одноразовых кодов сильно ограничено, и шанс получить действующий код во время телефонного разговора гораздо выше. Злоумышленники предпринимают все усилия, чтобы жертва поверила в легитимность звонка, поэтому некоторые OTP-боты перед набором номера отправляют жертвам СМС-сообщения с предупреждением о предстоящем звонке. Это тонкий психологический приём. Он нацелен на то, чтобы вызвать доверие у пользователя — сначала пообещать что-то и затем сдержать обещание.
Источник: mobile-review.com
Похожие новости:
Обзор изменений в законодательстве за март 2024 года
СМИ: в Tele2 считают нелегитимной схему Telegram «Premium в обмен на отправку СМС-сообщений с кодами авторизации»
Система MULTIFACTOR совместима с Рутокен ОТР и Рутокен MFA
Эксперты предупредили об опасности участия в схеме Telegram «Premium в обмен на отправку СМС с кодами авторизации»