Google Authenticatorの同期機能がフィッシング詐欺の被害を拡大したという話
ビジネスソフトウェア構築プラットフォームを提供する Retool がスピア型のフィッシング攻撃を受けたのだが、Google Authenticator によりその被害が大きくなったそうだ
(Retool のブログ記事、
Ars Technica の記事、
Bleeping Computer の記事)。複数の Retool 従業員は 8 月 27 日、ユーザーアカウントの問題で健康保険関連の登録が妨げられているといった内容のフィッシング SMS を受信する。社内ログインシステムの Okta への変更が告知された直後であり、社内ポータルに似せた偽の URL が添付されていたそうだ。一人だけ騙された従業員が多要素認証 (MFA) フォームを含む偽ポータルにログインすると、ディープフェイクボイスで社員になりすました偽の IT スタッフから電話がかかってくる。話をする間に従業員は疑いを深めていったものの、結局ワンタイムパスワード (OTP) を教えてしまったという。
OTP を入手したことで攻撃者は自分のデバイスを従業員の Okta アカウントに追加することが可能となり、Google アカウントにもアクセス可能となる。Google は Google Authenticator を複数デバイスで利用可能にする OTP 同期機能を 4 月に追加しており、普通にセットアップすると同期が有効になるよう誘導される。同期を有効にした状態で Google アカウントが侵害されれば、OTP コードもすべて侵害されることになる。
Retool ではさまざまな場面で OTP を使用しており、攻撃者は内部の管理システムにもアクセス可能になったという。これにより、27 の顧客アカウントも乗っ取りの被害にあったとのことだ。
すべて読む
| ITセクション
| Google
| セキュリティ
|
関連ストーリー:
「Google認証システム」がアカウント同期対応に
2023年04月26日
Twitter、無料ユーザー向けのSMS経由の2要素認証を19日に終了
2023年02月20日
Microsoft Authenticatorの偽拡張機能、Chromeウェブストアで見つかる
2021年05月21日
Microsoft、SMSや音声通話による多要素認証をやめてアプリベースの多要素認証への移行を推奨
2020年11月13日
Google のトークン認証システム、オープンソースで公開中
2011年03月07日
AC0x01 曰く、
米国のジョー・バイデン大統領は
9 月 18 日の敬老の日にちなみ、総務省統計局が統計からみた我が国の高齢者 (65 歳以上) の人口や就業についてまとめている
(
Microsoft は 14 日、「フォト」アプリや「Snipping Tool」アプリの新機能を発表した。主な新機能はフォトアプリの背景のぼかし機能や、Snipping Tool アプリのスクリーンショットからテキストを抽出する機能など、
AC0x01 曰く、
Annals of Improbable Research は 14 日、2023 年イグノーベル賞を 10 組の研究者に授与した
(
HP は 14 日、12.3 インチノート PC または 17 インチタブレット PC / デスクトップ PC として利用可能な折り畳み型 PC、「HP Spectre Foldable」を発表した
(
16 人の専門家で構成される米連邦食品医薬品局 (FDA) の非処方医薬品諮問委員会 (NDAC) は 12 日、フェニレフリンの鼻づまり緩和について、経口投与では効果がないことを確認する決議を全員一致で採択した
(
米カリフォルニア州下院は 12 日、修理する権利法案 (SB-244) を可決した
(
国際電気通信連合 (ITU) によると、現在も世界人口の 3 分の 1 近くがオフラインなのだという
(
とある婚活女子がSNSのX上で優秀なITエンジニアを見分ける方法について有名IT企業勤務のエンジニアに聞いてみたところ、その回答として「「リーダブルコードという本を読んだことがあるか」と聞いてみたらという回答があったそうだ。曰く、読んでいない場合は(婚活対象にするのは)やめておけとのこと(
株式会社カキヤが製造した「冷凍いかオクラ」製品において、賞味期限の誤表示が発見されたそうだ。間違っていたのは日付の部分で、裏面の賞味期限印字部分に「24.08.02」と本来印字されるところ「24.0B.02」と印字してしまったとしている(