リアルタイムに中継してしまえば多要素認証突破できてしまうわけですか…ううむ

@websecstudy

3 жыл бұрын

はい。昔から知られている手口ですが、今回のリリースはそれが明らかなケースなのでまとめてみました

めちゃくちゃわかりやすい解説ありがとうございました！

私のとこにも届いた。怪しいと思って開かなくて良かったと思う。

宅配業者からのメッセージのリンクを踏んだのに銀行の警告ページが出たら変だと思わんのかな。 思わないような人だからこうして騙されるんだろうけど。。。w

こんなことを攻撃者は考えているんですね。このハッキングソフトウェアは１人で開発したのではないですね。組織的な犯罪集団が暗躍しているということなのでしょうね。最初の誘導が宅配の不在通知だったかどうかわかりませんが、これがじぶん銀行のハッキング確認のためと言われれば騙されてしまう人も いるかもしれません。私も気を付けます。

ライブにフィッシングとはアナログな感じもありますが効果テキメンですね 被害者の入力情報を公式サイトに転写する処理ももうすでに自動化がなされているかも… ネットで完結するサービスも良し悪しありますね

こんだけセキュリティガチガチなのになぜ・・・？ と思ったらこういう手法があるんですね。 この動画を見ずに、酒飲んで思考がガバガバなときならば騙される気がする。 Gmailならば迷惑メールフォルダに入るから怪しいと思ってみるけど、 SMSだとそれがない分かなり危ないですよね。

私はauのスマホでしたがマイauにも簡単に入られてハッキングされました。auはセキュリティーが甘いです。ですのでau関係も危険だと思いました。

こんなので騙されるなんて間抜けやんけ 俺なら電話確認するぞい 間抜けすぎる

@user-wt9yb9or5i

9 ай бұрын

その電話番号は正しいのかい。偽物の電話番号(詐欺師の用意した連絡先)だったら、コロリと騙される。 電話をかけて確認するというのはたしかに有効なのだが、確認先が正しいか否かというのを適切に確認できているかが重要。 この適切に確認できていて、その電話番号が間違いなく銀行の正規の窓口の電話番号であるという『真正性』が担保できていなければ、 ”電話確認すれば騙されない” という論理は破綻しまう。 真正性の担保をどうするのかを考えることは重要だね。