Анализираме идеалния случай на фишинг при наемане на апартамент

Наскоро станах жертва на (за щастие неуспешна) фишинг атака. Преди няколко седмици разглеждах Craigslist и Zillow: Търсех да наема място в района на залива на Сан Франциско.
Хубави снимки на място привлякоха вниманието ми и исках да се свържа с наемодателите и да разбера повече за него. Въпреки моя опит като професионалист по сигурността, не разбрах, че с мен се свързват измамници до третия имейл! По-долу ще ви разкажа подробно и ще анализирам случая заедно със снимки на екрани и алармени звънци.

Пиша това, за да илюстрирам, че добре изработените фишинг атаки могат да бъдат много убедителни. Специалистите по сигурността често препоръчват да се обърне внимание на граматиката и дизайна, за да се предпазите от фишинг: измамниците имат лоши познания по езика и небрежно отношение към визуалния дизайн. В някои случаи това наистина работи, но в моя случай не работи. Най-изтънчените измамници пишат на добър език и създават илюзията за спазване на всички писани и неписани правила, опитвайки се да отговорят на очакванията на жертвата.

Първи букви: като цяло няма повод за притеснение

Рекламата в craiglist казваше на всеки, който се интересува, да се обади. Самият телефонен номер обаче го нямаше. Мислех, че е пропуск, тъй като много реклами правят едно и също нещо. Тогава реших да пиша на хазяина и да го помоля за неговия номер, както и да ми каже моя.

В отговор той написа, че мога да се свържа с него по имейл: [имейл защитен]. Може би си мислите, че само това би трябвало да ми изглежда странно. Въпреки това, търсенето на жилище на такива ресурси често е свързано с някои проблеми с телефонни номера, пощенски кутии и странни решения. Така че току-що написах имейл на този имейл и получих този отговор:

Хазяинът задава съвсем типични въпроси: „Кога планирате да се нанесете?“, „Колко души ще живеят с вас?“, „Какъв е годишният ви доход?“

И тогава не разбрах, че общувам с измамници

Хазяинът каза, че често отсъства от дома за дълги периоди от време, а сега ще отсъства цели две години. Мислех, че е малко странно, но всеки има свои собствени обстоятелства, никога не се знае. Освен това много хазяи, с които говорих, казаха същото. И въпросите, зададени ми в писмото, ми се сториха съвсем подходящи. Затова продължих разговора и им отговорих.

Тогава получих това писмо:

„Тук нямам мобилна връзка, имам достъп само до работния си компютър. Ще продължим да комуникираме по имейл, ако това е добре за вас."
„3 души искат да видят имота. Нямам време да се срещам с всеки от вас. Ще ви дам линк... там можете да запазите вашето място (наем за 1 месец предварително плюс възвръщаем депозит). Ако не сте използвали Airbnb преди, това е доста лесно...”

Тук започнаха да звънят алармените звънци. След като получих това писмо, вече бях 80-90 процента сигурен, че това са измамници

Първият алармен звънец: „Тук нямам мобилна връзка, имам достъп само до работния си компютър. Ще продължим да комуникираме по имейл, ако това е добре за вас." Второто е странното появяване на Airbnb в нашия разговор.

Защо искаха да плащам през Airbnb?

Третият предупредителен знак са твърде много снимки, потвърждаващи, че това е истински човек. Но ако самоличността не е фалшива, тогава защо се опитвате толкова много да ме убедите в това?
Airbnb обаче наистина ме обърка. В този момент започнах силно да подозирам, че комуникирам с измамници, но все пак не бях сигурен. Знаех, че измамата им няма да проработи, ако резервирам през Airbnb. Airbnb има добре установена процедура за разрешаване на спорове и мога бързо да докажа, че съм прав, и да получа парите си обратно.

Показах рекламата на приятел и той каза, че не е измама. Трябваше да се обзаложим, защото в крайна сметка се оказах прав. Но тогава реших да проверя дали е измама или не и затова все пак поисках връзка към Airbnb.

Помолиха ме да изчакам. Да чакам за какво? И по някаква причина ме посъветваха сам да намеря тяхната обява в Airbnb. Това също беше доста странно и не виждах смисъл в това. Ако се опитваха да ме измамят, тогава искането да резервирам мястото им в Airbnb беше безсмислено.
Но чакайте... Не можах да го намеря в Airbnb. И тогава пак поисках линк...

Изпратиха го. Изглеждаше истинско и имаше домейн airbnb.com. Но тъй като това не беше първият ми лов на фишинг измамници, проверих истинския адрес на връзката в текстовата версия на писмото (URL Destination). Както се казва, намерете две разлики:

Q.E.D!

Това е вярно. Това е фишинг връзка. Нека да погледнем.

Тази екранна снимка беше направена няколко дни след първото ми разследване, когато Chrome нямаше време да маркира този URL като опасен. Фишинг сайтът е направен просто перфектно! Той е интерактивен и изглежда убедително. Следователно мога лесно да призная, че тези, които не се съмняват в произхода на URL адреса, лесно могат да попаднат на измамници.

Страхотни фалшиви отзиви: 5/5. Продължавайте да фиширате, справяте се страхотно!
Не съм тествал бутона Заявка за резервация, но съм сигурен, че щеше да ме отведе до фишинг страница, където данните за картата ми биха били успешно откраднати. Благодаря, може би друг път.

Защо бях толкова впечатлен?

Екипът на измамниците - а аз съм сигурен, че беше екип - свърши страхотна работа с високо ниво на детайлност. Английският им е перфектен, имейлите им изглеждат професионални, фишинг сайтът им прилича на Airbnb. Пренасочване към hibernia.ca е конфигурирано от адреса engineers-hibernia-chevron.ca. Това ще изгради доверие в тези, които искат да проверят своя домейн.

Още повече ме впечатляват тънките им психологически трикове. На всеки етап от взаимодействието с мен те оставяха по една неясна точка, която трябваше да изясня с тях, за да продължа напред към целта си. Много по-лесно е да усетите, че нещо не е наред, ако въпросите са зададени на вас. И ако вие сте този, който задава въпросите, става много по-трудно да продължите да ги питате за неща, които ви се струват странни. Защото вече сте питали достатъчно и изглежда губите време от заети хора.

Първо в обявата им нямаше телефонен номер и се принудих да поискам. След това ме насочиха към уебсайта на Airbnb и поисках връзка. Но първия път не го дадоха, така че бях принуден да попитам отново. Всичко това беше планирано предварително.

По време на разговора те също така споменаха, че други хора също се интересуват от тяхното жилище, поддържайки правдоподобното усещане за ограничено време, когато трябва да взема решение. И накрая, използването на Airbnb като сайт за фишинг беше умно, защото създаваше вид на доверен посредник. Първоначално бях наистина объркан, защото не можех да разбера как планират да откраднат данните ми. Ако просто бяха поискали информация за банкова или кредитна карта в началния етап на комуникацията, измамата им щеше да бъде лесна за откриване и разкриване.

Как да се предпазите от това? Някои съвети

Когато общувате с непознати онлайн, винаги проверявайте произхода на техните връзки! Обикновено простото щракване върху връзка не вреди, но в някои случаи това е достатъчно. Не бях 100% сигурен, че е фишинг измама, докато не открих фалшивия URL адрес на Airbnb.

Моля, имайте предвид, че имейл адресите на изпращачите може да са подправени и имената на домейни може да не съвпадат с това, което изглеждат. От който сте получили имейл [имейл защитен], не означава, че ФБР ви е изпратило имейла.

Търсете признаци, че някой ви води за носа. Опитват ли се да ви убедят, че са истински хора, които говорят с вас? Опитват ли се да ви накарат да действате по-бързо?

Използвайте няколко метода, за да потвърдите самоличността си. Първата тревожна камбана беше, че измамникът можеше да комуникира само по имейл. Ако някой предложи да общувате от разстояние, организирайте видео разговор, потърсете и сравнете техните акаунти в LinkedIn, Facebook и др.

Надявам се подготовката да ви е харесала.

Следвайте нашия разработчик в Instagram

Източник: www.habr.com