25.06.2024 Новости, БезопасностьПопулярность метода двухфакторной аутентификации привела к появлению многочисленных способов взломать или обойти его. Чаще всего в качестве второго фактора используется верификация с помощью одноразовых кодов, или OTP (One Time Password). Их можно получить различными способами — в виде СМС, голосового сообщения по телефону, письма на почту, сообщения в мессенджере от официального бота сервиса или пуш-уведомления от приложения. За этими кодами и охотится большинство онлайн-мошенников. Например, для перехвата кодов они используют OTP-боты — автоматизированное ПО, способное выманивать у пользователей одноразовые пароли в схемах с использованием социальной инженерии. Где получают первый фактор. Поскольку OTP-бот предназначен для кражи второго фактора аутентификации, подключать его имеет смысл, если у злоумышленника уже есть данные жертвы — как минимум логин и пароль от личного кабинета, а также номер телефона. Эту информацию злоумышленники либо находят в открытом доступе, в опубликованных утекших базах данных, либо покупают её в даркнете, либо выманивают на фишинговых сайтах. Как выманивают второй фактор. Затем мошенник заходит в чужой аккаунт и получает запрос на ввод OTP-кода. Жертве на телефон приходит сообщение с одноразовым паролем. OTP-бот звонит пользователю и с помощью заранее заготовленного скрипта (такие скрипты есть и на русском языке) уговаривает ввести полученный код. Жертва набирает код на клавиатуре телефона прямо во время звонка. Код поступает в Telegram-бот ...
читать далее.
