俄罗斯黑客针对谷歌用户的最新钓鱼手段——利用OAuth协议(第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权),并冒充谷歌应用诱骗用户落入陷阱。
也就是说,虽然谷歌为用户设置了双重认证方式,钓鱼攻击仍然能够顺利进行。 他们通过诱使受害者主动泄露密码、甚至窃取访问令牌的方式黑入重要的电子邮件账户。 攻击的第一步就是假冒谷歌公司的身份发送虚假邮件,邮件主题是“你的账户存在安全风险”。声称谷歌检测到他们的帐户出现了几次异常登录,建议用户安装一个叫作“Google Defender”的安全应用程序。 但实际上,这个程序就是个一个陷阱,帮助该黑客组织窃取受害者谷歌帐户的特殊访问令牌。受害者将被重定向至一个真实的Google页面,在不知情的情况下把查看和管理其电子邮件的权限交给了冒牌的“Google Defener”。也就是说点击了“允许”的用户把他们的OAuth令牌移交给了背后的黑客。 OAuth协议设计的本意是为用户带来便利,但安全专家早已发出警告,该协议容易被不法分子所利用。在Fancy Bear的案例中,黑客就利用了该协议来创建虚假应用,骗取用户账户的访问权限。 保护用户免受这种网络钓鱼攻击需采取多种措施。谷歌公司已经着手检测和评估潜在的OAuth滥用行为,并对上千违反谷歌用户数据政策的应用(如冒牌的谷歌应用)采取强制关停措施。另外,他们还强调,用户应直接从谷歌官方网站、Google Play或苹果的App store下载安装谷歌应用程序。
且不说谷歌这件事,大家下载软件一般都是从官方渠道下载,有没有在一些乱七八糟的小网站下载一些罕见的应用程序啊??? |