Фишинг паролей в GMail

    Сегодня с утра обнаружил у себя в почте вот такое письмо:



    На самом деле никаких файлов к письму не прилагается, а все шесть ссылок (View, Download...) ведут по одному и тому же адресу:
    http://95.211.83.65/~ru1/account.googlemail.com/viewer/13083e7f5f2c0890&mt/0AgIDhQrUEZCMdGc0ejVXZGZpb1FrbWo5cmc2ZVZOalE/?email=tutjaubralsvojmeil@gmail.com
    


    Сначала я попал на аккуратно сделанный муляж Google Docs с сообщением «невозможно отобразить документ» и потом редиректом — на не менее качественный муляж входа в Google Account, где меня попросили ввести пароль. Для моей же безопасности, понятно :) Введя iditevzhopu, я попал на третью поддельную страницу якобы доков со списком неких комплектующих.

    Выводы:


    1. Бывает такой фишинг, что с первого раза и не разберёшься, особенно на мобильном устройстве, где нет статусной строки с отображением реальной ссылки.
    2. Менее опытные пользователи, действующие обычно на автомате, запросто могут купиться. Даже те, кто уже умеет не скачивать moigoliefotki.exe.
    3. Расскажите коллегам. Небольшое напоминание о бдительности не помешает в понедельник.
    Поделиться публикацией
    Комментарии 92
      +52
      Странно, что гугл не предупредил о фишинговых ссылках. Или просто не успели еще.
      ПС. Хороший у вас пароль. Запоминается легко.
        +6
        Сто пудов кто-нибудь начнет им пользоваться )))
          +1
          Удобно же. Будут смотреть базу полученных паролей, подумают, что ненастоящий. :)
            0
            это если хакеры из России, а если китайцы, то прикола не поймут… Кстати вспомнился Лукьянеко с его паролем в книге «Кривые зеркала», тот еще веселее)
              0
              Вы, наверное, имели в виду «Фальшивые зеркала» [wiki про пароль]
                0
                да, действительно ошибся, только вот на вики нет того пароля))) про обезьян и банан который)))
                  0
                  Точно! Я припоминал что что-то было смешное и ответ меня не удовлетворил, поэтому полез в гугл :) недонашёл.
        +13
        Когда сайт где я уже залогинился требует пароль, всегда настораживаюсь и начинаю внимательно смотреть в адресную строку :)
          +17
          Google достаточно часто просит ввести пароль лишний раз:
          To maintain your safety and privacy we may sometimes ask you to verify your password even if you are already signed in. This may happen more frequently for services involving your personal information.
            +8
            Тут важный момент — это всегда HTTPS, глаза все же цепляются, не зря в браузерах его подсвечивают.
              +2
              Не в броузере android 2.2
                +3
                Ну в android 2.2 и клиент есть нормальный.
              +3
              тут все просто, гугл занимается фишингом и пытается украсть ваш пароль
              +16
              Мне приходится использовать сразу 3 гугл-аккаунта (личный, рабочий и текущий клиентский) — и с этой особенностью гугл постоянно вылетает по разным причинам то из одного то из другого аккаунта (я использую по 2-3 гугло-сервиса кроме почты на каждом, в итоге около 6 разных). Таким образом по несколько раз в день ввожу эти пароли и руки уже делают это на автомате, не советуясь с мозгом. Надо себя контролировать (
                +1
                для этого вполне можно использовать приватный режим — вкладки никак не будут пересекаться между собой и можно спокойно работать с несколькими аккаунтами.
                  0
                  Я пробовал приватный режим, но так не смог справиться даже с 3 аккаунтами. Всё время вылетает из головы что где
                    +3
                    я для этого поставил разные темы оформления у Gmail аккаунтов. Картинки в background помогают отличать один акк от другого даже в превью окон.
                      0
                      Я использую разные профайлы, правда, в Firefox.
                      firefox -no-remote -ProfilleManager
                      +2
                      В инкогнито не работают запоминалки паролей и т.п.
                      Проще три разных браузера :)
                        +1
                        да, это от браузера зависит, в опере — прекрасно работает (если пароли до этого были сохранены в обычном режиме).
                          0
                          В Хроме тоже. Но наоборот — не работает, что я и имел ввиду.
                          0
                          в Chrome можно пойти в настройки и разрешить плагину загружаться в Incognito.
                          Но тогда уже нет гарантий, что это инкогнито :)
                            0
                            Я говорил о встроенных функциях. Но, кстати, да, с плагинами тоже непросто всё.
                            +2
                            В Хроме есть переключатель пользователей.
                            Достаточно поставить разные темы оформления, чтобы не путаться.
                            0
                            А я вот как раз для этого поставил разные браузеры. в IE — работа, в Chrome — личное. В Opere у меня изба-читальня, потому что удобно оставлять закладки после закрытия, чтобы потом к ним вернуться.
                            +2
                            Запоминалка паролей вам поможет. На другом домене она просто не предложит сохранённый пароль
                              0
                              Да, но это если например, ещё не подменён hosts
                              +12
                              В хроме давно есть профили
                              +1
                              С РЖД этот номер не пройдет — всматривайтесь-не всматривайтесь. А в некоторых местах сайт самопроизвольно разлогинивается и просит залогиниться снова. :-)))
                                0
                                Ну так всматриваться нужно именно в тот момент, когда вас просят вводить данные
                              +5
                              Странно что изображения показаны? Где-то можно включить галочку «Доверять всем отправителям и показывать изображения»?
                                +10
                                Я их специально заранее включил, чтобы сделать этот скриншот :) Изображения залинкованы прямо с Гугла:
                                src="https://mail.google.com/mail/u/1/images/xls.gif"
                                
                                  0
                                  А еще картинки отображаются если они в base64. Если я ничего не путаю.
                                    0
                                    Только если они очень маленькие. Точнее, если base64 код не превышает определенной небольшой длины. Хотя, это может быть browser-specific.
                                  +38
                                  Хороший фишинг, качественный)
                                    +17
                                    Вы знаете, я всю жизнь вот так же думал про всякие разводы. Если продумано сделано и хорошо выполнено, то говорил «Красиво. Качественно»… До того момента, как меня самого развели с помощью «красивого, качественного» развода на рюкзак с документами, дорогой камерой, читалкой и ключами от квартиры. Единственными.

                                    Это меня немного отрезвило.
                                    Мне кажется, не нужно забывать, что за всем этим стоят банальные паразиты. Пускай и умные, красивые и качетсвенные.
                                      +1
                                      Сочувствую. Рекомендую посмотреть британскую телепередачу The Real Hustle — возможно, знание некоторых разводов защитит вас в будущем, отрезвит в целом, да и развлечет, передача просто отличная.
                                        +1
                                        Спасибо, я обязательно посмотрю.
                                        +5
                                        Они не банальных паразиты. Они умные, красивые, качетсвенные обманщики, которые прилагают такие же немалые усилия, чтобы нажится на чужой беде, как и мы, чтобы нажится «честным трудом». Просто они по другую сторону от нас. На враждебной для большинства. И теперь они против нас, а мы против них.
                                        Но я все равно предпочел бы видеть умных, красивых и качественных против себя, чем банальных паразитов за себя. Которые росчерком ручки, или узаконненым словом, забирают твое, даже не потрудившись расшевелить свой, заросший паутиной, мозг. Потому что человечество в целом не может расчитывать на паразитов. Это паразиты на него расчитывают.
                                          +4
                                          Рискну предположить, что вы сами никогда не сталкивались лицом к лицу с этими людьми. Описанный вами образ больше напоминает Пирса Броснана из моего любимого фильма — «Афера Томаса Крауна».

                                          Но они не такие. Их научили отвлекать внимание и красть. Они как фокусники, только их зароботок из ваших карманов.

                                          Знаете почему они все же паразиты? Потому что в мир они не приносят ничего нового, они не двигают науку, культуру или вообще хоть что нибудь. Они паразитируют на тех, кто зарабатывает деньги тем, что пытается придумать что-то новое или улучшить старое. Поэтому они паразиты.

                                          Это не отнимает того, что они не единственные паразиты в этом мире… но точно одни из.
                                            0
                                            Фокусы разные бывают. Вы, кстати, возможно не поняли, но фишинг я тоже отношу к «паразитированию». Но попробуйте на досуге провести кого-нибудь. Это ведь не только во вред можно применять. Обманите, скажем, свою девушку или жену. Пусть думает, без единого сомнения, что идет на какую-то скучную встречу по работе, а в итоге устройте ей вечеринку. Попробуйте, это совсем не просто, но если у вас получится (а когда-нибудь получится ) вы узрите безду возможность куда можно пристроить ваши новые навыки и знания. Наука и культура тоже в этой бездне обнаружится.
                                              +1
                                              Послушайте, вы правда считаете, что я никогда не обманывал? И вечеринки друзьям, о которых никто не догадывался я устраивал. И в не столь благородных ситуациях тоже лгал.
                                              Ложь продумывать бывает даже интересно и над этим действительно приходится ломать голову. Но я так не хочу.

                                              Если вам не лень, то под спойлер я положу схему развода конкретно меня. И объясню, почему на этом примере я с вами не согласен.
                                              Схема развода
                                              Это произошло со мной в Риме. Город заполнен выходцами из восточной Европы, которые на вид больше ничем не занимаются кроме как крадут вещи, да навязывают вам всякое…
                                              Так вот. Я сел на местную электричку и сдуру закинул рюкзак на верхнюю полку (там, правда, много вещей уже лежало). Положил его так, чтобы его видеть.
                                              Что происходило далее. По вагонам постоянно кто-то шастал — попрошайки и тд. В один прекрасный момент, парень, который явно куда-то торопился, спотыкается возле меня и роняет мелочь на пол. Все добрые люди, в том числе и я, кинулись помогать парню. Пока мы все лазали по полу, видимо, кто-то другой свистнул рюкзак. С таймингом тоже все ок — все это произошло прямо перед остановкой, на которой они и сошли, скорее всего. Я заметил пропажу минут через 5, но уже было поздно даже стоп-кран дергать.

                                              А теперь почему я не считаю их хоть немного не паразитами.
                                              Хотя бы потому, что вряд ли они просиживали часами за планированием, как в 11 друзей Оушена. Их научили такие же как и они, только опытнее. Те, кто этим уже долго зарабатывает. Это просто бизнес. Как, когда вы приходите первый раз на работу, вас часто еще учат ваши более опытные коллеги.
                                              Они умеют выполнять инструкции и использовать доброту людей против них же. Это мало того, что обижает этих самых людей — это еще и разрушает социум. После этого люди перестают помогать другим в беде, потому что боятся развода.

                                              Кого вы защищаете?
                                                +1
                                                Я таких и не защищаю. Даже если бы они заменили один рюкзак на другой, с целью спереть у вас какую-то конфедециальную информацию, так чтобы вы не сразу догадались, я бы все равно не защищал. Как я сказал уже мы с ними по разные стороны. Так что, я бы все равно нашел и покарал. Разница между первым и вторым случаем в интелекте.
                                                  +1
                                                  Вы знаете. Если бы у них не было интеллекта — это еще куда ни шло. Но использовать интеллект для кражи — это погано. Вместо того, чтобы хоть что нибудь улучшить. Раз уж есть возможность.

                                                  Мне странно, что у мошенника вообще есть романтический образ.

                                                  Я могу восхититься, прочитав, или посмотрел красивую схему кражи или обмана. Но только в книге или кино. Как только замешаны реальные люди — мне противно.
                                                    +1
                                                    Когда изобрели печатный станок, куча людей не то что работу, смысл жизни потеряли. Видите, как легко можно любое полезное дело представить как плохое, и наоборот. Я это сделал с помощю какой-то фигни у меня в черепной коробке. А вопрос что-то улучшить или сделать добро, это, вообще, не вопрос интелекта — это социум. У некоторых племен сожрать врага, великая честь оказанная врагу. Просто будет очень неловко, если вдруг все будет способтвовать тому чтобы мы все желали что-то улучшить, и сотворить добро, а содержимое наших черепных коробок, подскажет нам максимум сожрать врага.
                                                      0
                                                      Пусть так. Я верю, что придумывать новое — всегда хорошо. Проблема в другом — использовать это новое тоже надо уметь. И часто придумывают и используют разные люди. Но это все слишком толсто. Я говорил, что воровать, пусть и красиво — плохо. На том и стою.
                                                0
                                                Ах и еще одно. Приведите мне пожалуйста пример, когда хитрость сделала что нибудь полезное для науки. Заранее спасибо.
                                                  0
                                                  С помощью микроскопа можно сделать открытие или проломить череп. Это вопрос интелекта и его проявления.
                                                  Помните «вымышленную» историю про то как американцы и русские силу взрыва расчитывали? Американцы использовали суперкомпьютер за стотышьмильонов, а русские просто посчитали как далеко кирпичи улетели.
                                                    0
                                                    Но ведь это не обман. Никто же здесь никого не обманул. Это умение мыслить. Во благо. Для развития.
                                                      0
                                                      Да, но не только. Это еще умение получать результат.

                                                      Например, лабаратории давно нужны новые гравицапы с наногайками. И вот старший научный сотрудник, блестяще выступившый на конференции, заводит разговор с представителями иностранной делегации и рассказывает им как прекрасно они освоились с новыми гравицапами. После чего пишет анонимное письмо крупному начальнику в департимент, что, мол, мы иностранная коллегия хотим вложить сумму для лучшего использования гравицап по всему миру. После чего уже настоящая делигация обращается с запросом к этому начальнику, и тот избегая щекотливой темы про деньги, дает добро на визит. Звонит начальству старшего научного сотрудника, и уведомляет его, что приедут спонсоры смотреть гравицапы. Начальство, левой стороной лица улыбается и машет, а правой корчит рожи, чтобы срочно закупили новые гравицапы.

                                                      В итоге в лабаратории есть гравицапы с наногайками, деликация составила хорошее мнение о русской науке, высокий начальник в серьез задумался о международных инвестицих. Конец.
                                                    0
                                                    «Теория большого взрыва», например… Столько людей верит, а это всего лишь «теория»…
                                                      0
                                                      А обман-то где? :)
                                                        0
                                                        Я про тоже. Обман, это когда то, что является обманом, можно доказать.
                                                        Иначе, это просто «теория». А ведь когда то, людей табаком лечили, при чем уважаемые доктора и т.д. ) И все во благо и для развития…
                                                      0
                                                      Промышленный шпионаж, после которого устройства и/или технологии дорабатываются не в ту, сторону что дорабатывал изобретатель.

                                                      Или СССР и ИТ — было хитростью много чего выманено из тех же США, после чего реверс-инженеринг и клонирование ВТ прежде всего на благо науки.
                                                        +1
                                                        Во многих случаях хитрости с плацебо помогали установить неэффективные медицинские вмешательства. Например, артроскопия суставов — после эксперимента с «двойным слепым» методом, удалось доказать, что хирургическое вмешательство для лечения остеоартроза суставов, в большинстве случаев — неэффективно.
                                                        И это не единственный пример положительно-направленной хитрости в медицине.
                                                          –2
                                                          Мы далеко ушли от первоначальной темы. Я считаю плацебо — смекалкой.

                                                          Я начал с того, что красть — плохо. И те, кто крадет — паразиты. Вот и все. Плацебо тоже в своем роде изобретение.
                                                0
                                                все эти фишеры, охотники до чужой личной информации — нездоровые люди, навроде тех что любят подглядывать в дырочку в раздевалке на пляже
                                                  +5
                                                  Нет. Это воры, их мотивация — деньги. Чемоданы так же воруют не для того, чтобы в вашем белье копаться.
                                                +1
                                                Автовход на сервисы гугла из под андроида — и не будет проблемы на мобильных устройствах.
                                                Хотя первая мысль была «да заходи, может что умного про проект скажешь!»)
                                                  +7
                                                  SMS с одноразовым паролем в дополнение к основному и никаких проблем.
                                                    +6
                                                    Да, двухфакторная идентификация мало уязвима к фишингу.
                                                      +1
                                                      Если только не изобретут фишинг для похищения телефона или симки. :)
                                                        +7
                                                        Изобрели — гопстопинг.
                                                          –2
                                                          Хаха! Точно! :D
                                                    0
                                                    Вот не лень же людям таким заниматься.
                                                      +9
                                                      Нажимать по ссылке «И что там?», чтобы увидеть подкат, тоже было страшно :)
                                                        +1
                                                        А это идея! :)))
                                                          0
                                                          аналогично. причём я сначала кликнул, и только через долю секунды стал с опасением смотреть в левый нижний угол браузера, куда же ведёт эта ссылка))
                                                          +1
                                                          перед тем как войти в пост хорошенько посмотрел в исходники кнопки что там :)
                                                            +8
                                                            Так, проверил пароль iditevzhopu на почту tutjaubralsvojmeil@gmail.com — не подходит! (дальше грозным тоном) Как Вы это объясните?
                                                              +8
                                                              всё просто же: мошенники уже успели сменить пароль и захватить контроль над ящиком
                                                                +7
                                                                … и опубликовали пост на хабре!
                                                                  +5
                                                                  отводят от себя подозрения!
                                                                    +2
                                                                    Какая вероломность!
                                                              +2
                                                              Firefox предупреждает, что страница мошенническая. Правда после отправки формы с паролем)
                                                                0
                                                                У меня и гугл хром и сафари сразу же честно предупредили, что это поддельный сайт. И ДО отправки формы с паролем. Експлорера нету — насчет него сказать ничего не могу.
                                                                0
                                                                Спасибо, бдим )
                                                                  +5
                                                                  Спасибо, подходит!
                                                                  tutjaubralsvojmeil@gmail.com:iditevzhopu
                                                                    +18
                                                                      0
                                                                      И как ей с такой фамилией живётся?
                                                                        0
                                                                        Весело поётся.
                                                                          0
                                                                          Она явно пользуется спросом.
                                                                      +3
                                                                      Как хорошо пользоваться почтовыми клиентами, а не веб-интерфейсом…
                                                                        0
                                                                        Я как раз-таки открыл это письмо в клиенте на телефоне, но спросонок даже не задумался, почему я вижу ссылки download, а не большие кнопки download, ведь ссылки такие родные, привычные, видишь из по 60 раз на дню.
                                                                        +7
                                                                        Жаль уже не работает, хотел вместо пароля вбить `rm -rf /var /home /usr /etc`
                                                                          0
                                                                          Не зря же предлагают усиленную авторизацию, хоть она и более хлопотная, зато не страдаешь паранойей при каждом случае ввода пароля, все равно им воспользоваться не сумеют, основная почта это вам не какой-нибудь мелкий форум, терять ее нельзя.
                                                                            0
                                                                            LastPass, к счастью, формы на «левых» сайтах не заполняет.
                                                                              +1
                                                                              двухфакторная авторизация. без не сейчас никак
                                                                                0
                                                                                m.vk.com/
                                                                                идеально для фишинга — в самом верху имя и аватарка
                                                                                  0
                                                                                  особенно на мобильном устройстве, где нет статусной строки с отображением реальной ссылки.

                                                                                  Доктор, а это лечится?
                                                                                    0
                                                                                    Хром уже предупреждает, что страница фишинговая. Да она и не работает (эффект или они убрали с перепугу?)

                                                                                    Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                                                    Самое читаемое