Μια νέα απάτη, που χρησιμοποιεί το Windows Live ID ως δόλωμα, για να αποσπάσει προσωπικές πληροφορίες, που είναι αποθηκευμένες στα προφίλ χρηστών, εντόπισαν οι ειδικοί. Οι πληροφορίες, στις οποίες αποκτούν πρόσβαση οι κυβερνο-εγκληματίες είναι αποθηκευμένες σε υπηρεσίες, όπως το Xbox LIVE, το Zune, το Hotmail, το Outlook, το MSN, το Messenger και το OneDrive.

Νέα απάτη χρησιμοποιεί το Windows Live ID ως δόλωμα, για να αποσπάσει προσωπικές πληροφορίες, που είναι αποθηκευμένες στα προφίλ χρηστώνΣύμφωνα με τους ειδικούς της Kaspersky Lab, με το νέο κόλπο των κυβερνο-εγκληματιών, οι χρήστες λαμβάνουν προειδοποιήσεις μέσω email ότι οι Windows Live ID λογαριασμοί τους χρησιμοποιούνται για τη διανομή ανεπιθύμητων email κι ότι θα πρέπει να αποκλειστούν. Για να εμποδίσουν την αναστολή της λειτουργίας των λογαριασμών τους, οι χρήστες καλούνται να ακολουθήσουν ένα link και να ενημερώσουν τα στοιχεία τους, ώστε να συμμορφωθούν με τις υποτιθέμενες νέες απαιτήσεις ασφαλείας της υπηρεσίας. Αυτό μοιάζει πολύ με ένα τυπικό phishing email, όπου όσοι ακολουθούν τα link, μεταφέρονται σε πλαστές ιστοσελίδες, που μοιάζουν με επίσημες και τα δεδομένα, που εισάγουν εκεί, στέλνονται στους απατεώνες.

Ωστόσο, οι ειδικοί της Kaspersky Lab διαπίστωσαν ότι το link του phishing email οδηγούσε στη σελίδα του Windows Live και δεν υπήρχε καμία εμφανής προσπάθεια υποκλοπής των στοιχείων σύνδεσης των θυμάτων. Έχοντας ακολουθήσει το link στο email και αφού μπήκαν στο λογαριασμό τους στο live.com, οι χρήστες έλαβαν μια περίεργη προτροπή από την υπηρεσία. Μια εφαρμογή ζητούσε άδεια για να συνδεθεί αυτόματα στο λογαριασμό, να δει τις πληροφορίες του προφίλ και τη λίστα των επαφών και να αποκτήσει πρόσβαση σε λίστες χρηστών με προσωπικά και επαγγελματικά email. Οι απατεώνες απέκτησαν πρόσβαση στην τεχνική αυτή μέσα από κενά ασφαλείας στο OAuth, το ανοιχτό πρωτόκολλο για χορήγηση άδειας.

Η απάτη
Οι χρήστες που κλικάρουν “Ναι” δεν παραδίδουν τα στοιχεία σύνδεσης τους, αλλά παρέχουν προσωπικές τους πληροφορίες, διευθύνσεις email των επαφών τους, καθώς και τα ψευδώνυμα και τα πραγματικά ονόματα φίλων τους. Επίσης, οι ψηφιακοί απατεώνες μπορούσαν να έχουν πρόσβαση και σε άλλες παραμέτρους, όπως λίστες με ραντεβού και σημαντικά γεγονότα. Αυτές οι πληροφορίες είναι πιο πιθανό να χρησιμοποιηθούν για δόλιους σκοπούς, όπως η αποστολή spam σε όλες τις επαφές στο βιβλίο διευθύνσεων του θύματος ή η εκκίνηση spearphishing επιθέσεων.

Οι ειδικοί προειδοποιούν ότι ένας απατεώνας μπορεί να χρησιμοποιήσει τις πληροφορίες που υποκλέπτονται, για να δημιουργήσει μια λεπτομερή εικόνα των χρηστών, λαμβάνοντας υπόψη πληροφορίες σχετικά με το τι κάνουν, με ποιους θα συναντηθούν, ποιοι είναι οι φίλοι τους. Αυτό το προφίλ μπορεί στη συνέχεια να χρησιμοποιηθεί για εγκληματικούς σκοπούς.

Στους χρήστες συνιστάται να μην ακολουθούν link που λαμβάνουν μέσω email ή μέσω προσωπικών μηνυμάτων σε μέσα κοινωνικής δικτύωσης, να μη δίνουν σε άγνωστες εφαρμογές το δικαίωμα πρόσβασης σε προσωπικά δεδομένα και να βεβαιωθούν ότι έχουν κατανοήσει πλήρως τα δικαιώματα πρόσβασης, που παραχωρούν σε κάθε εφαρμογή.