Fereastra de autentificare nu era o fereastră. O desenase pagina.

Uitați-vă la bara de adrese. Este sfatul pe care îl dă toată lumea împotriva phishingului, iar în campania publicată de Proofpoint pe 1 octombrie nu ar fi ajutat deloc, pentru că fereastra care cerea parola nu era nicio fereastră. Era o imagine de fereastră, desenată pe pagină ca orice altă căsuță.

Gruparea se numește TA419, considerată apropiată de China, iar țintele au fost cercetători în politici privind inteligența artificială din institute de analiză, universități și case de avocatură americane. Abordarea a început pe 8 iulie cu un e-mail fără link și fără atașament, doar un mesaj politicos de la cineva care părea a fi Lynne Parker, până de curând o figură importantă a Biroului pentru Politică Științifică și Tehnologică al Casei Albe, invitând destinatarul într-un comitet consultativ. Abia după un răspuns sosea un link scurtat. Trecea de o verificare Cloudflare, ajungea pe o pagină deghizată în folder OneDrive cu documente convingătoare în el și deschidea ceea ce părea o fereastră de autentificare Microsoft plutind deasupra. Unealta care pictează acea fereastră este cu sursă deschisă și se cheamă Frameless BitB, prescurtare de la browser-in-the-browser.

În spatele ferestrei false stătea un releu. Tot ce se tasta mergea mai departe către serverele adevărate Microsoft, deci parola era acceptată, cererea de autentificare în mai mulți pași era acceptată, iar autentificarea chiar reușea. Ce păstra atacatorul era cookie-ul de sesiune, adică exact partea care vă ține conectat după aceea, fără parolă. Un script propriu din kit bifa în locul victimei "Rămâi conectat" și trimitea codul de unică folosință în clipa în care acesta era validat.

Un singur obicei bate tot: nu vă autentificați niciodată dintr-un link pe care vi l-a trimis cineva. Deschideți o filă nouă, scrieți adresa voi înșivă, iar fereastra pe care o primiți aparține browserului, nu paginii. Și cheile passkey ajută, pentru că pur și simplu refuză să funcționeze pe domeniul greșit. Pentru restul lucrurilor de bază, criptare, Windows Update, ce este chiar pornit, scorul de sănătate din Tendvane le adună pe un singur ecran.