#kaksivaiheinen tunnistautuminen
6 artikkelia
Pääsyavain kestää kalastelun mutta ei haittaohjelmaa
Unit 42 kuvaa kolme tapaa, joilla Windows-koneella jo pyörivä haittaohjelma pääsee käsiksi Google Password Managerin synkronoimiin pääsyavaimiin Chromessa. Kaikki kolme edellyttävät tartuntaa, eivät kalastelua eivätkä fyysistä pääsyä. Suomenkielinen uutisointi kertoi ehdon väärin ja väitti hyökkäyksen vaativan järjestelmänvalvojan oikeuksia.
Huijaus ei pyydä rahaa vaan ääntä – WhatsApp-tili vaihtaa omistajaa kaverin pyynnöstä
WhatsAppissa kiertää tilikaappaus, jossa jo kaapatulta kontaktilta tulee pyyntö äänestää ystävän lapsen suoritusta. Linkki johtaa WhatsAppin vahvistussivua jäljittelevälle sivulle, joka ohjaa käyttäjän linkittämään hyökkääjän laitteen omaan tiliinsä. Yksikään suomalainen viranomainen ei ole kommentoinut juuri tätä houkutinta, ja tuorein kotimainen kuvaus tekniikasta on maaliskuulta.
Ilmaisia pelipisteitä lupaava sivu kysyy myös kertakäyttökoodin – ja välittää tunnukset eteenpäin sekunneissa
Malwarebytes Labs dokumentoi heinäkuussa kalastelusivun, joka lupaa Call of Duty Mobilen pelaajille 10 800 ilmaista pistettä ja kysyy salasanan lisäksi kertakäyttökoodin. Sivu välittää tunnukset reaaliajassa Activisionin omaan kirjautumiseen, jolloin uhri saa aidon koodin ja luovuttaa sen hyökkääjälle. Pelitilin mukana menevät siihen liitetyt konsoliprofiilit ja tallennetut maksutavat.
Miksi rikolliset himoitsevat juuri sähköpostitiliäsi – ja miten suojaat sen
Sähköpostitili on rikolliselle pääavain: sen kautta voi nollata salasanat pankissa, somessa ja pilvipalveluissa, lukea vanhat viestit ja esiintyä uhrina tämän tutuille. Tietoturvayhtiö ESET ja Kyberturvallisuuskeskus kuvaavat ilmiön, ja juttu selittää, miten salasanaton pääsyavain katkaisee ketjun.
Puola pidätti SIM-kaappausryhmän – näin numerosi kaappaus murtaa tekstiviestivarmennuksen
Puolan kyberrikollisuusyksikkö CBZC pidätti neljä SIM-kaappauksesta epäiltyä, jotka tyhjensivät kryptopörssitilejä miljoonien arvosta. Juttu selittää, miten numeron kaappaus murtaa tekstiviestivarmennuksen ja miten suomalainen suojaa liittymänsä operaattorin PIN-koodilla ja autentikaattorisovelluksella.
Kalastelusta tuli palvelubisnes — Bluekit-alusta myy tekoälyavusteisia huijauksia
Uusi Bluekit-kalastelualusta myy valmiita huijauskampanjoita kuukausimaksulla, tekoälyavustaja ja yli 40 kohdepohjaa mukaan lukien. Varonis Threat Labs paljasti alustan, joka ohittaa kaksivaiheisen tunnistautumisen varastamalla istuntoevästeitä. Suomessa vastaava tekniikka uhkaa pankkitunnuksilla kirjautumista.
