Novi metod fišera za krađu lozinki Facebook, Google, Twitter, Yahoo naloga

Vesti, 09.05.2012, 10:48 AM

Fišeri i spameri neprestano tragaju za novim načinima kako da ubede korisnike da otkucaju lozinku i kliknu na “Log in”. BarracudaLabs upozorila je na novu taktiku fišera koji koriste specijalno dizajnirane stranice za prijavljivanje slične onima koje imaju veb sajtovi koji koriste sve popularniji OpenID standard.

OpenID je način na koji veb sajtovi omogućavaju korisnicima prijavljivanje bez registrovanja korisničkog naloga. Umesto toga, oni koriste servise za autorizaciju poznatijih OpenID provajdera. Primera radi, na neke sajtove možete se prijaviti koristeći za to svoj Facebook, Google ili Yahoo nalog. Pri tom unosite korisničko ime i lozinku na stranicu koju hostuje Facebook, Google ili Yahoo. Veb sajt na koji se prijavljujete uz pomoć nekog od ovih naloga dobija potvrdu da ste uneli ispravne podatke koji potvrđuju vaš identitet i vlasništvo nad nalogom. Tako funkcioniše OpenID.

Spam emailove koje su otkrili u BarracudaLabs “potpisuju” dve kompanije - Re/Max i UPS. I naravno reč je o lažnim emailovima u kojima se nalazi link koji korisnike vodi na lažnu stranicu za prijavljivanje koja se nalazi na kompromitovanom veb sajtu.

Na stranici se ne spominje OpenID, ali logo popularnih sajtova koji koriste i pružaju uslugu OpenID autorizacije kao što su Google, Yahoo, AOL i drugi imaju za cilj da prevare korisnike i ubede ih da je stranica legitimna.

Prevareni korisniki koji odabere nekog od OpenID provajdera će videti iskačući prozor sa zahtevom za unos korisničkog imena i lozinke.

“Tako ne funkcioniše OpenID”, upozoravaju istraživači BarracudaLabs. “Originalna OpenID autorizacija bi usmerila (korisnika) ka Yahoo veb stranici gde bi bili zatraženi podaci za potvrdu identiteta.”

U ovom slučaju, korisničko ime i lozinka se u formi običnog (“plain”) teksta šalju ka serveru koji je pod kontrolom fišera, a korisnik se preusmerava na legitimne sajtove kompanija od kojih je navodno dobio spam emailove sa početka priče.

Za korišćenje OpenID ima mnogo razloga. Administratori veb sajtova ne moraju da čuvaju i brinu o lozinkama korisničkih naloga, a korisnik smanjuje broj naloga i lozinki kojima rukovodi. Ali ukoliko izabere da koristi svoj primarni email nalog za prijavljivanje na veb sajtove, onda je neophodno da bude veoma oprezan prilikom odgovora na zahtev za korisničkim imenom i lozinkom email naloga.