„Nie byłem wystarczająco czujny”. Twórca HaveIBeenPwned padł ofiarą phishingu

Być może nazwisko Troy Hunt nic wam nie mówi, ale możliwe, że zdarzyło się wam korzystać ze stworzonej przez niego strony HaveIBeenPwned. Otóż twórca tej popularnej witryny, za pomocą której internauci mogą sprawdzić, czy ich dane nie zostały ujawnione w wyciekach i innych naruszeniach prywatności, sam padł ofiarą phishingu.

Ekspert ds. cyberbezpieczeństwa ofiarą phishingu

W wyniku ataku doprowadzono do przejęcia konta Mailchimp oraz wykradzenia listy mailingowej zawierającej około 16 000 rekordów. Atak nie dotyczył samej strony HaveIBeenPwned, lecz osobistego bloga Hunta i jego subskrybentów.

Jak dokładnie wyglądał atak?

Hunt otrzymał e-mail podszywający się pod Mailchimp, który informował o rzekomych ograniczeniach w wysyłaniu wiadomości z powodu skargi na spam. Wiadomość zawierała link do strony phishingowej przypominającej prawdziwy serwis Mailchimp (z domeną „mailchimp-sso.com”).

Hunt, zmęczony po długim locie, wprowadził swoje dane logowania oraz jednorazowe hasło (OTP), co umożliwiło atakującym przejęcie kontroli nad jego kontem.

W ciągu kilku minut od ataku Hunt zauważył podejrzane działania na swoim koncie, w tym eksport listy mailingowej z adresu IP w Nowym Jorku. Natychmiast zmienił hasło, ale dane subskrybentów zostały już wykradzione. Wśród nich znalazły się także adresy e-mail osób, które wcześniej wypisały się z listy, co Hunt przypisał brakowi automatycznego usuwania takich danych przez Mailchimp.

Jestem ogromnie sfrustrowany sobą, że dałem się na to nabrać i przepraszam każdego z tej listy. Troy Hunt, autorski blog, fragment wpisu A Sneaky Phish Just Grabbed my Mailchimp Mailing List

Hunt publicznie przyznał się do błędu, opisując swoje doświadczenie na blogu. Podkreślił, że wiadomość phishingowa była wyjątkowo dobrze przygotowana i trafiła na moment jego osłabionej czujności.

Phishing staje się coraz bardziej wyrafinowany i może dotknąć każdego, niezależnie od wieku, wykształcenia czy doświadczenia. Opisany przypadek pokazuje, że nawet wytrawni specjaliści, którzy na co dzień zajmują się tego typu oszustwami, mogą paść ofiarą ataków phishingowych – są tak samo podatni na błędy wynikające z czynników ludzkich, takich jak zmęczenie, jak każdy z nas.

Źródło: Troy Hunt, PC Mag, Zdjęcie otwierające: Jarretera / Shutterstock

Część odnośników to linki afiliacyjne lub linki do ofert naszych partnerów. Po kliknięciu możesz zapoznać się z ceną i dostępnością wybranego przez nas produktu – nie ponosisz żadnych kosztów, a jednocześnie wspierasz niezależność zespołu redakcyjnego.

Artykuł „Nie byłem wystarczająco czujny”. Twórca HaveIBeenPwned padł ofiarą phishingu pochodzi z serwisu ANDROID.COM.PL - społeczność entuzjastów technologii.