Zmiana hasła już nie wystarczy. Tak cyberprzestępcy mogą przejąć dostęp do konta Google

Badacze bezpieczeństwa z Abnormal Security odkryli nowe narzędzie phishingowe iAuthFlow v2, które może znacząco utrudnić odzyskanie kontroli nad przejętym kontem. Mechanizm pozwala atakującym utworzyć własny passkey podczas logowania, dzięki czemu sama zmiana hasła i zakończenie aktywnych sesji mogą nie wystarczyć do odcięcia cyberprzestępcy od poczty.

Według badaczy iAuthFlow v2 jest oferowany w dark necie za ponad 10 000 dolarów. Abnormal Security zdobyło kopię zestawu i przeanalizowało jego działanie. Narzędzie jest przede wszystkim rozbudowanym zestawem phishingowym, którego celem mogą być konta Google, Microsoft, iCloud oraz LinkedIn.

Jak działa nowe narzędzie phishingowe

Atak rozpoczyna się w dość klasyczny sposób. Ofiara trafia na fałszywą stronę logowania i podaje swoje dane. Informacje są natychmiast przekazywane przestępcom, którzy równolegle logują się na prawdziwe konto.

Badacze bezpieczeństwa z Abnormal Security odkryli nowe narzędzie phishingowe iAuthFlow v2, które może znacząco utrudnić odzyskanie kontroli nad przejętym kontem. Mechanizm pozwala atakującym utworzyć własny passkey podczas logowania, dzięki czemu sama zmiana hasła i zakończenie aktywnych sesji mogą nie wystarczyć do odcięcia cyberprzestępcy od poczty.

Użytkownik widzi w tym czasie stronę sugerującą przetwarzanie operacji, natomiast w tle napastnik próbuje zarejestrować na koncie nowy passkey. W demonstracji przygotowanej przez twórców iAuthFlow v2 cały proces utworzenia klucza po uwierzytelnieniu zajmował około sześciu sekund.

Passkey miał być jednym ze sposobów ograniczenia phishingu. Zamiast hasła wykorzystuje parę kluczy kryptograficznych oraz uwierzytelnienie użytkownika, na przykład odciskiem palca, skanem twarzy lub kodem PIN urządzenia. Klucz nie jest udostępniany podczas logowania, dzięki czemu przechwycenie go jest znacznie trudniejsze.

iAuthFlow v2 pokazuje jednak, że można to zrobić. Przestępca nie próbuje wykraść istniejącego passkeya, lecz po przejęciu uwierzytelnionej sesji chce dodać do konta własny klucz znajdujący się na kontrolowanym przez siebie urządzeniu. Abnormal zwraca uwagę, że przykładowo Google może zażądać dodatkowej weryfikacji tożsamości przed dodaniem nowej metody uwierzytelniania.

Jak się chronić

Jak widać sama zmiana hasła i wylogowanie wszystkich urządzeń już nie wystarczą. Należy również sprawdzić zapisane passkeye i klucze bezpieczeństwa, reguły przekazywania poczty i filtry Gmaila, metody odzyskiwania konta, jakie urządzenia mają dostęp do konta oraz podłączone aplikacje. Abnormal zaleca także unieważnienie podejrzanych tokenów i uprawnień OAuth oraz sprawdzenie dostępnych dzienników aktywności.