13

Próby wyłudzenia hasła i utrata konta na YouTube

Kradzież haseł, próby wyłudzenia danych to oczywiście problem dla wielu użytkowników sieci. Obserwując vlogosferę, może on być szczególnie dotkliwy, ponieważ wielu młodych twórców YouTube opiera całą swoją działalność tylko na tym serwisie, dodatkowo wspierając się komunikacyjnie Facebookiem, rzadziej Twitterem. Wielu z nich nie ma swojej własnej domeny, własnej strony, bloga czy jakiegokolwiek własnego miejsca w sieci sygnowanego własną marką. Ani Facebook ani YouTube takie gwarancji nie daje, ponieważ tożsamość na tych serwisach, budowana przez lata marka, kontent nie należy nigdy do nas – możemy łatwo stracić konto albo przez nieumyślne złamanie regulaminu, jakiś „foch” serwisu czy też przejęcie hasła.

Przypadki przejęcia konta na YouTube kończą się najczęściej skasowaniem wszystkich filmów ofiary, i ta zostaje wtedy z niczym. W dodatku nasze, przejęte konto może posłużyć szkodnikowi do rozsyłania spamu lub przejmowania kolejnych kont. Jest to szczególnie niebezpieczne, ponieważ YouTube komunikuje się ze swoimi użytkownikami m.in za pomocą maili. Typowe powiadomienie z YouTube zawiera link do filmu i nie wzbudza u nikogo podejrzeń – zupełnie inaczej niż w korespondencji z bankami – tam nigdy nie powinno być żadnego linku, który prowadzi do strony logowania.

Maila według takiego schematu dostałem dzisiaj, adres nadawcy (YouTube) nie wzbudza podejrzeń, typowe powiadomienie, że ktoś przesłał mi wiadomość w wewnętrznej poczcie YouTube.

Problemem jest link, który prowadzi do fałszywej strony logowania do Google – wystarczy spróbować się zalogować (co jakiś czas google prosi o logowanie, więc też nic dziwnego) i już tracimy kontrolę nad tym kto zna nasze hasło, nie tylko do YouTube ale do innych usług Google.

Zgłosiłem natychmiast to konto jako podejrzane, ale tutaj pojawił się jeszcze jeden problem. System zgłaszania podejrzanych użytkowników nie jest doskonały. Mogę zgłosić przemoc, spam, obrazę uczuć i inne rzeczy, ale konta które wysyła maile z próbą wyłudzenia danych mogę zaznaczyć jedynie w kategorii problemów „inne”. To trochę mało. W dodatku mój system (Windows 7, Chrome, Norton 360) nie zająknął się nawet przez moment, że otwieram podejrzaną stronę – w nazwy super, hiper narzędzi do analizy, rozpoznawania, ochrony użytkownika nawet nie będę się zagłębiał – po prostu nie zadziałały.

Przy okazji, może zrobimy eksperyment, bo przyznam szczerze, nie do końca wiem jak działają i na ile skuteczne są programy do ochrony przed stronami wyłudzającymi dane. Poniżej jest adres tej strony – specjalnie nie podaję klikalnego linku, żeby ktoś się nie pomylił, trzeba go przepisać ręcznie z obrazka. Strona nie instaluje żadnego złośliwego oprogramowania, nie próbuje nic mieszać (chyba), czeka tylko na podanie naszego loginu lub hasła. Czy jakikolwiek system, program antywirusowy, przeglądarka ostrzega przed niebezpieczeństwem?

Uwaga, adres strony, która wyłudza login i hasło do konta Google. Wpisujesz na własną odpowiedzialność.

  • Ewa

    Dostałam już 2 podobne maile w ciągu ostatnich kilku dni.
    Na szczęście zawsze "czytam" link zanim w niego kliknę.
    Oczywiście świetnie, że o tym piszesz.

  • Kuki

    No nieźle, u mnie też zero reakcji ze strony antyvira (Win7, Chrome, ESET Smart Security)

  • Jan

    Zgłoś do spamcop.net

  • Większość mechanizmów ostrzegających o tego typu zagrożeniach opiera się o listy złych adresów. Listy te tworzone są głównie 1) przez zgłoszenia użytkowników 2) automatyczne wykrywanie (np. dużej ilości podobnych treści/odnośników u danego operatora mailowego).

    By przyśpieszyć taki proces warto zawsze taką stronę zgłosić jako niebezpieczną, nie tylko do właściciela strony ale także do firm, które zajmują się utrzymywaniem takich list ze złymi adresami.

    Przykładowo przeglądarka Firefox korzysta z mechanizmu Google i po wyborze z menu przeglądarki: Help/Report Web Forgery możemy zgłosić taką stronę jako niebezpieczną. Podobnie będzie w przeglądarce Opera: Tools/Advanced/Page Security Info.

    Możemy także zgłosić taką stronę w bodajże największym serwisie agregującym odnośniki phishingowe: http://www.phishtank.com/ – tam jednak trzeba przejść przez krótką rejestrację.

    Zgłosiłem z obydwu przeglądarek, jeśli macie możliwość, zróbcie to samo. Im szybciej – tym lepiej dla nas wszystkich :]

    • PS: Warto także spróbować poinformować właściciela domeny, w tym przypadku: ho6.com – na głównej mają ładny formularz: Abuse. To znów może przyśpieszyć proces wyłączenia tej strony, a tym samym uchronić wiele potencjalnych ofiar.

      Ciekawe zestawienie choć nie z tego roku: http://bothunters.pl/2011/02/07/realna-skutecznosc-phishingu-i-liczba-ofiar/

      pokazujące jak wysoka może być skuteczność tego typu stron. Minęły 2 lata ale niewiele się w tej materii zmieniło.

  • 2 godziny od zgłoszeń strona jest już oznakowana jako niebezpieczna. Jak widać warto zgłaszać tego typu przypadki

    Opera:

    Warning

    This site has been reported as fraudulent. Exchanging sensitive or confidential information with this site could put you at risk for identity theft and/or financial fraud.

    Firefox:

    Reported Web Forgery!

    This web page has been reported as a web forgery and has been blocked based on your security preferences.

    • mediafun

      czyli działa, super 🙂

  • Maciej Czechowski

    Może warto uruchomić podwójne uwierzytelnianie?
    Wtedy nawet posiadanie hasła,nie pozwoli na zalogowanie się.

  • marika

    wystarczy "wbić" sobie do głowy, że poważna firma nigdy nie prosi o reset hasła, nie podsyła swojego klona, itp. itd.

  • Dostaliśmy już z 5 podobnych listów w ciągu ostatnich kilku dni.
    Jeden z pracowników dał się nabrać, teraz informatyk poblokował nam wszystkie takie strony i problem z głowy. Może ludzie zaczną myśleć zanim coś zrobią. Bo jak widzę jak pracownicy bez namysłu kilikają OK OK OK to aż prosi się o kłopoty.

  • Śmieszne video

    Ja nigdy nie zostalem okradziony z passow. Nigdy, a dlaczego? Bo mam glowe i cos w niej mam 🙂

  • mati_wie

    Ja średnio zmieniam hasła co 2 miesiące, I poki co nikt jeszcze sie do mnie nie włamał. Zawsze to jakis sposób. I warto wkladac w hasło literki typu: #*^$ 😉

  • Ciągle czytam o różnego typu próbach wyłudzenia hasła, a mnie się nigdy nic takiego nie przytrafiło – ani jednej próby, ani jednego maila z fałszywym linkiem, nic. Jedyne co, to ciągle dostaję info, że umierający bogaty Nigeryjczyk chce mi przekazać swoją fortunę, ale poza tym to żadni oszuści się mną nie interesują ;( Ale fajnie sobie poczytać takie tematy jak ten, zawsze w końcu kiedyś (odpukać!) może się przydać 🙂