Roskachestvo praneša apie naują schemą, kaip apgauti VKontakte archyvus

„Roskatchestvo” Skaitmeninės ekspertizės centro ekspertai aptiko „VKontakte” vartotojų paskyrų kibernetinę sukčiavimo ataką. Atakos tikslas – pavogti naudotojo slaptažodį ir toliau įsilaužti į jo socialinio tinklo profilį bei naudoti jį sukčiavimui ir nepageidaujamoms žinutėms siųsti. Bendradarbiaujame su „VKontakte”, kad išaiškintume šią schemą ir parodytume, kaip išvengti spąstų ir toliau saugiai naudotis mėgstamu socialiniu tinklu.

Socialinis tinklas „VKontakte” leidžia vartotojams įkelti visus duomenis, kuriuos jis surinko per visą vartotojo paskyros gyvavimo laikotarpį. „VKontakte” pateikiamas archyvas, kuriame yra daug informacijos, įskaitant visus naudotojo dialogus. Prašyti išleisti archyvą gali tik prie savo paskyros prisijungęs naudotojas, o ne iš paskyros. Nepaisant to, būtent tokią ataką imituoja užpuolikas, norėdamas gauti prieigą prie naudotojo puslapio ir pasinaudodamas aukos baime, kad jos korespondencija pateks į netinkamas rankas, jei užpuolikas nesiims veiksmų.

Vartotojas, turintis „Vkontakte” paskyrą, gauna el. laišką arba stumiamą pranešimą, arba asmeninę žinutę , kuriame rašoma, kad „per 24 valandas bus sukurtas visų jūsų susirašinėjimų archyvas ir išsiųstas adresu XXX”. Akivaizdu, kad naudojamas el. pašto adresas yra ne naudotojo, panašiai kaip artem*****@mail. Toliau pateikiama tipiška sukčiavimo schema: naudotojas raginamas prisijungti prie savo paskyros, kad būtų atšauktas archyvo sukūrimas ir perkėlimas, taip pat pakeisti slaptažodį naudojant nuorodą. Išskyrus tai, kad ši nuoroda kuri kiekvieną kartą veda į kitą svetainę, kurios pavadinime yra vk yra sukčiavimo ataka, nors jos forma labai panaši į originalo – sukčiavimo svetainės dizainas kuo labiau primena socialinio tinklo svetainę.

Pavyzdžiui, pastebėjome svetainę vkarchives.com, kuri rašant šią medžiagą buvo pašalinta, o paspaudus šią nuorodą „VKontakte” saugumo agentai užblokavo, kad apsaugotų savo vartotojus. Jei naudotojas įves savo slaptažodį suklastotoje svetainėje, jis atiduos savo paskyrą tiesiai į programišiaus rankas, kaip sakoma, šiltai. Slaptažodžio keitimas tikrai naudingas, bet ne nesąžiningoje svetainėje ir tik originalioje socialinio tinklo svetainėje!

Ilja Loevskis, „Roskačevo” vadovo pavaduotojas.

„Užpuolikas, pavogęs jūsų socialinės žiniasklaidos profilį, iš tikrųjų gali užsakyti archyvo įkėlimą, o tai gali būti pavojinga. Archyve yra ne tik vieša profilio informacija, bet ir, pavyzdžiui, naudotojo įkelti dokumentai, telefono numerio nuorodos, mokėjimų istorija ir naudojamų banko kortelių sąrašas. Visa tai įsilaužėlis gali panaudoti savo naudai ir, žinoma, gali brangiai kainuoti naudotojui. Būkite atsargūs naudodamiesi socialinių tinklų svetainėmis, kad atpažintumėte bandymus įsilaužti

Kad netaptumėte sukčių aukomis, pasinaudoję šia schema, reikėtų laikytis šių taisyklių

• Nespauskite nuorodų iš žinučių, ypač tų, kuriose žaidžiama emocijomis tiek neigiamomis „į jus įsilaužė”, tiek teigiamomis „jūs laimėjote” .

• Socialinio tinklo adresą įveskite tik naršyklėje, o dar geriau – naudokite mūsų socialinio tinklo programėlę. Niekada neįveskite savo naudotojo vardų ir slaptažodžių neautorizuotose svetainėse. Net jei svetainė atrodo kaip

• Mėgstamiausiose socialinių tinklų svetainėse visada patikrinkite adreso juostoje, kur esate.

• Jei turite problemų su savo socialinio tinklo paskyros saugumu, pakeiskite slaptažodį, perskaitykite oficialius DUK ir kreipkitės į techninę pagalbą – nedarykite nieko neapgalvoto, jei nesate dėl to tikri.

• Naudokite dviejų veiksnių autentifikavimą 2FA .

• Jei sekate tokias nuorodas, pakeiskite slaptažodį, kad jūsų profilis būtų saugesnis. Dar geriau tai padaryti dabar, kaip prevencinę priemonę, nelaukiant įsilaužimų, nes kai kuriuos abejotinus šuolius galite būti pamiršę. Tai rekomendacija iš „VKontakte” palaikymo agento.

„VKontakte” naudotojų privatumo apsaugos direktorius Aleksandras Švecas pakomentavo tokio tipo sukčiavimą ir kovos su juo būdus: „Užpuolikai gali sukurti sukčiavimo svetaines ir siųsti nepageidaujamus el. laiškus, užmaskuotus kaip populiarūs ištekliai. Žinoma, niekas neįsilaužia į mūsų serverius ir neprieina prie mūsų duomenų bazių. Žmonės savo profilius sukčiams pateikia netyčia, naiviai spausdami nepatikrintas nuorodas. Vidutiniškai per dieną išsiunčiame apie 10 000 pranešimų apie slaptažodžio pakeitimą. Nedelsiant blokuojame paspaudimus iš „VKontakte” į kenkėjiškas svetaines. Be to, venkite naudotis kenkėjiškomis programomis, kurios prašo pateikti asmeninius duomenis, kad gautumėte „VKontakte” neprieinamas funkcijas, pavyzdžiui, peržiūrėti paslėptas nuotraukas arba „svečius”, neribotas dovanas arba nemokamus balsus.

„Vkontakte” konkrečiai nurodo, kad be patvirtinimo iš įrenginio, susieto su jūsų paskyra, negalėsite atsisiųsti asmeninio paskyros duomenų archyvo ir negalėsite atidaryti unikalios atsisiuntimo nuorodos iš kitos paskyros. Be to, galite užšifruoti patį archyvą naudodami asmeninį OpenPGP raktą.

Rūpinkitės savo socialinės žiniasklaidos puslapiais, nes jie yra jūsų tapatybė internete. Jo praradimas gali būti didžiulė problema daugeliui žmonių!