Fałszywa strona sponsoringu zna już liczbę waszych subskrybentów

Wita was waszymi własnymi miniaturami. Liczba subskrybentów, suma wyświetleń, liczba filmów, wszystko się zgadza. To nie wyciek, to publiczne API YouTube, które każdy może odpytać, ale efekt na twórcy czytającym ofertę sponsoringu "tylko na zaproszenie" jest dokładnie taki, o jaki chodziło ludziom stojącym za amazonyt.com.

Stefan Dasic z Malwarebytes opisał tę kampanię w tym tygodniu. Witryna nazywa się Amazon Artists Music Creator Portal i opiera się na czymś prawdziwym: Amazon i YouTube rzeczywiście ogłosiły w sierpniu partnerstwo Shopping Affiliate. Jest kalkulator zarobków z pakietami i dodatkami, a całość przetłumaczono na dziewięć języków, w tym hiszpański, portugalski, indonezyjski, arabski, hindi i urdu. Żeby zobaczyć spersonalizowaną ofertę, trzeba zweryfikować kanał przez Google.

Przycisk weryfikacji to pułapka, i to starannie zrobiona. Nigdzie was nie przenosi. Nakłada przezroczystą ramkę z drugiej domeny, youtubechannelverification.com, na stronę, na której już jesteście, więc pasek adresu wciąż pokazuje amazonyt.com, kiedy piszecie. Formularz bierze hasło, a potem kod dwuskładnikowy. Następnie pojawia się albo "Verification failed", albo uspokajające "Request received", zależnie od tego, jak operatorzy ustawili to danego dnia.

Dwie rzeczy warto sobie wbić do głowy. Logowanie do Google odbywa się pod adresem Google i nigdzie indziej, a YouTube nigdy nie każe weryfikować kanału na cudzej stronie. Pasek adresu to jedyna część strony, której napastnik nie przemaluje, więc czytajcie go przed pisaniem, a nie po. Jeśli sądzicie, że oddaliście hasło, zmieńcie je i przejrzyjcie aplikacje połączone z kontem Google. Kontrola prywatności i kont w Tendvane obejmuje konta zalogowane na komputerze oraz ustawienia wokół nich, czyli rozsądny kolejny krok.