tiếp theo

Cập nhật về vụ trộm #hack và các bài học bổ sung về opsec:

Bây giờ tôi đã xác nhận thêm vectơ tấn công bỏ qua #2FA là một người đàn ông ở giữa cuộc tấn công. Tôi đã nhận được email từ nền tảng tìm kiếm việc làm Indeed thông báo rằng họ đã nhận được yêu cầu xóa tài khoản của tôi trong vòng 14 ngày. Lúc đó tôi đang đi ngủ và đang làm việc đó từ điện thoại thông qua ứng dụng Gmail dành cho thiết bị di động.

Tôi đã không sử dụng Indeed từ lâu và không quan tâm đến nó nhưng rõ ràng tôi nghĩ điều đó thật bất thường vì tôi không đưa ra yêu cầu như vậy. Để phòng ngừa an ninh, tôi muốn biết ai đã đưa ra yêu cầu như vậy và muốn kiểm tra xem Indeed có nhật ký truy cập hay không nên tôi nhấn vào điện thoại của mình.

Vì lâu rồi không sử dụng Indeed nên tôi không nhớ mật khẩu nên đương nhiên tôi chọn Đăng nhập bằng Google. Nó đã đưa tôi đến Indeed và tôi không thể tìm thấy nhật ký yêu cầu. Vì tôi biết thông tin đăng nhập cũ của mình đã có trên darkweb nên tôi đoán chắc chắn ai đó đã truy cập vào Indeed của tôi và vì vậy tôi đã tiến hành kích hoạt 2FA.

Thành thật mà nói, tôi không quan tâm nhiều đến Indeed ngay cả khi nó đã bị xóa và nghĩ rằng đó chỉ là một hacker có sở thích nhỏ nào đó đang loay hoay với thông tin đăng nhập cũ từ một vụ rò rỉ cơ sở dữ liệu cũ nào đó.

Hóa ra email Indeed là một cuộc tấn công lừa đảo #spoofed . Liên kết Indeed mà tôi đã nhấn vào trong ứng dụng Gmail là một liên kết web có kịch bản của Hàn Quốc, từ đó chuyển hướng tôi đến một số trang Indeed giả mạo, trang này đã bắt tôi Đăng nhập bằng Google, sau đó chuyển hướng tôi đến trang Indeed thật. Họ đã chiếm quyền điều khiển cookie phiên để vượt qua 2FA, sau đó truy cập vào tài khoản Google của tôi và lạm dụng đồng bộ hóa trình duyệt.

Các bài học opsec chung khác đã học được:

1. Theo mặc định, ứng dụng Gmail dành cho thiết bị di động sẽ không hiển thị email thực hoặc URL liên kết của người gửi, đây là một lỗ hổng lớn. Không chạm vào các liên kết di động trong ứng dụng email di động của bạn.
2. Không sử dụng Đăng nhập bằng Google hoặc các tính năng khác của #oAuth . Sự tiện lợi không đáng có do dễ dàng bị tấn công lừa đảo để vượt qua 2FA. Ngay cả khi không phải do nhấp vào liên kết lừa đảo, một trang web thông thường vẫn có thể bị xâm phạm mà không phải do lỗi của bạn. Những kỳ vọng về bảo mật 2FA đã khiến tôi mất cảnh giác.