Siber suçlular, farkında olmayan kullanıcıların şifrelerini çalmak için tasarlanmış kimlik avı e-postaları göndererek Twitter’ın süregelen doğrulama kaosundan halihazırda yararlanıyorlar.
Kimlik avı e-posta kampanyası, TechCrunch tarafından görüldüTwitter kullanıcılarını, bir Twitter yardım formu kılığında bir saldırganın web sitesinde kullanıcı adlarını ve parolalarını yayınlamaya ikna etmeye çalışır.
E-posta, bir Gmail hesabından, bir Google Dokümanına bağlantılardan ve kullanıcıların web içeriğini barındırmasına izin veren bir Google Sitesine başka bir bağlantıdan gönderilir. Bunun, Google’ın otomatik tarama araçlarını kullanarak kötüye kullanımı tespit etmesini zorlaştırmak için birkaç gizleme katmanı oluşturması muhtemeldir. Ancak sayfanın kendisi, daha güçlü iki faktörlü kimlik doğrulama kullanmayan hesapları tehlikeye atmaya yetecek kadar, kullanıcının Twitter kullanıcı adını, şifresini ve telefon numarasını isteyen bir Rus web sunucusu Beget’te barındırılan başka bir siteden gömülü bir çerçeve içeriyor.
Google, TechCrunch’ın şirketi uyarmasından kısa bir süre sonra kimlik avı sitesini kapattı. Bir Google sözcüsü TechCrunch’a şunları söyledi: “Program politikalarımızı ihlal ettikleri için söz konusu bağlantıları ve hesapları kaldırdığımızı onaylıyoruz.”
Twitter kullanıcılarının kimlik bilgilerini çalmak için tasarlanmış kimlik avı e-postasının ekran görüntüsü. Resim Kredisi: TechCrunch.
Kampanya, doğası gereği kaba görünüyor, çünkü Twitter’ın yakında doğrulama da dahil olmak üzere premium özellikler için kullanıcılardan aylık olarak ücret alacağına dair son haberlerden yararlanmak için hızlı bir şekilde bir araya getirildi. ödemeyin.
Bu yazının yazıldığı tarih itibarıyla Twitter, tanınmış kişiler, ünlüler ve hükümetler gibi belirli Twitter hesaplarının gerçekliğini doğrulamak için 2009 yılında başlatılan doğrulama programının geleceği hakkında henüz kamuya açık bir karar vermiş değil. Ancak, Elon Musk’ın 44 milyar dolarlık devralmasının ardından bu hafta özel hale geldiğinden beri, siber suçluların – düşük vasıflı uçta bile – Twitter’dan net bilgi eksikliğinden yararlanmalarını engellemedi.
TechCrunch ayrıca Beget’i kimlik avı sayfalarına karşı uyardı ve bu sayfalar daha sonra rahatsız edici etki alanını operasyondan çekti. Bir Twitter sözcüsü yorum yapmaktan kaçındı..