Фальшивої сторінки входу ніколи не було в інтернеті. Її збудував ваш браузер.

Майже всі поради проти фішингу виходять із того, що десь на сервері лежить погана вебсторінка. Заблокуйте адресу, і шахрайство перестає працювати. Дослідження, яке Barracuda оприлюднила 9 вересня, тихо прибирає це припущення.

Лист оформлений під Docusign, із запрошенням у календар у вкладенні. Запрошення не робить взагалі нічого: воно там для того, щоб повідомлення виглядало як звичайна ділова пошта. Ви натискаєте й опиняєтеся в Microsoft Teams, справжньому сервісі Microsoft за справжньою адресою Microsoft, який далі підтягує вміст із зовнішнього вузла cdn.bloom[.]io. Ваш браузер бере цей вміст і перетворює його на blob URL, тобто сторінку, зібрану з даних, що вже є в пам'яті, і яка існує лише всередині вашої копії Chrome або Edge. Підроблена форма входу створюється на вашій власній машині. Немає сторінки, яку міг би завантажити сканер, немає домену для чорного списку, і нічого не лишається після закриття вкладки. Під сподом service worker'и та приховані фрейми звітують назад, щоб оператори керували кожною жертвою з одного місця.

Техніка не зовсім нова. Barracuda описала фішинг на основі blob ще у 2024 році проти клієнтів Capital One і Chase, а також проти клієнтів Air Canada. Новим є маршрут через Teams, завдяки якому перші етапи шляху справді належать Microsoft.

Одна прикмета переживає все це. Коли з'являється сторінка входу, прочитайте адресний рядок. Справжній вхід Microsoft живе на login.microsoftonline.com. Blob URL починається з blob:, а далі йде довгий безглуздий рядок. Якщо ви бачите це над чимось, що просить пароль, закрийте вкладку. А ще краще: ніколи не входьте за посиланням, відкрийте нову вкладку і наберіть адресу самі. Перевірка приватності та облікових записів у Tendvane показує, до яких акаунтів ваш ПК увійшов і як кожен із них захищений, і це саме той список, який хочеться мати перед очима тієї миті, коли ви запідозрили, що пароль пішов не туди.