Fałszywej strony logowania nigdy nie było w internecie. Zbudowała ją wasza przeglądarka.

Niemal każda rada przeciw phishingowi zakłada, że gdzieś na serwerze leży zła strona. Zablokuj adres, a oszustwo przestaje działać. Badanie opublikowane przez Barracudę 9 września po cichu usuwa to założenie.

Wiadomość udaje Docusign i ma w załączniku zaproszenie do kalendarza. Zaproszenie nie robi zupełnie nic: jest po to, żeby list wyglądał na zwykłą korespondencję służbową. Klikacie i lądujecie w Microsoft Teams, prawdziwej usłudze Microsoftu pod prawdziwym adresem Microsoftu, która następnie pobiera treść z zewnętrznego hosta o nazwie cdn.bloom[.]io. Wasza przeglądarka bierze tę treść i zamienia ją w blob URL, czyli stronę złożoną z danych już obecnych w pamięci, istniejącą wyłącznie wewnątrz waszej kopii Chrome albo Edge. Fałszywy formularz logowania powstaje na waszej własnej maszynie. Nie ma strony, którą skaner mógłby pobrać, nie ma domeny do wpisania na czarną listę i nic nie zostaje po zamknięciu karty. Pod spodem service workery i ukryte ramki raportują dalej, żeby operatorzy mogli sterować każdą ofiarą z jednego miejsca.

Technika nie jest zupełnie nowa. Barracuda opisała phishing oparty na blobach już w 2024 roku, wymierzony w klientów Capital One i Chase oraz w klientów Air Canada. Nowością jest przejście przez Teams, dzięki któremu pierwsze etapy podróży są autentycznie microsoftowe.

Jeden znak rozpoznawczy przetrwał to wszystko. Kiedy pojawia się strona logowania, przeczytajcie pasek adresu. Prawdziwe logowanie Microsoftu mieszka pod login.microsoftonline.com. Blob URL zaczyna się od blob:, po którym idzie długi bezsensowny ciąg. Jeśli widzicie to nad czymkolwiek, co prosi o hasło, zamknijcie kartę. Jeszcze lepiej: nigdy nie logujcie się z linku, otwórzcie nową kartę i wpiszcie adres sami. Kontrola prywatności i kont w Tendvane pokazuje, do jakich kont komputer jest zalogowany i jak każde z nich jest chronione, a to dokładnie ta lista, którą chcecie mieć przed sobą w chwili, gdy podejrzewacie, że hasło trafiło nie tam, gdzie trzeba.