Et Calendly-phishingangrep lurte Segment-medgründer Peter Reinhardt til å gi en ondsinnet app tilgang til X-kontoen sin. Angriperne utga seg for å være en journalist fra WIRED og plasserte en autorisasjonsforespørsel mellom ekte bestillingssider for å gjøre fremgangsmåten overbevisende.
Falsk intervjuforespørsel førte til en ekte bestillingsside
Angrepet begynte med en intervjuforespørsel om karbonfjerning fra en X-konto som utga seg for å tilhøre WIRED-journalisten Simon Hill.
Avsenderen virket troverdig, og meldingen inneholdt en ekte Calendly-bestillingslenke. Reinhardt fulgte den og kom til en legitim bestillingsside.
Bestillingsprosessen førte ham imidlertid videre til en side kontrollert av angriperne som brukte WIREDs merkevare. Siden hevdet at han måtte koble til X-kontoen sin før han kunne planlegge intervjuet.
Ondsinnet app ba om tilgang til direktemeldinger
I stedet for å vise et falskt passordskjema brukte angriperne Xs legitime system for appautorisasjon.
En app kalt CalendarBookings ba om tillatelse til å lese og skrive innlegg og få tilgang til direktemeldinger. Etter at Reinhardt godkjente disse tillatelsene, fikk appen kortvarig tilgang til kontoen hans.
Ifølge rapporten varte den påfølgende kontoovertakelsen bare i noen få minutter.
Angrepet baserte seg derfor på samtykke i stedet for passordtyveri. Reinhardts godkjenning ga den ondsinnede applikasjonen tilgangen den ba om gjennom en ekte tillatelsesskjerm.
Forsker knyttet fem phishing-nettsteder til samme backend
Casco-sikkerhetsingeniør Anthony Gibbs undersøkte saken etter at Reinhardt delte detaljer om hendelsen.
Mellom 9. og 11. september sporet Gibbs fem phishing-nettsteder med ulike publikasjoners merkevare til en felles backend kalt Asteria. Funnene hans viste at kampanjen strakte seg utover ett enkelt mål.
I tillegg brukte den angriperkontrollerte bestillingssiden et Calendly-lignende domene med en subtil tegnendring. En stor «I» erstattet en liten «l», noe som gjorde adressen lett å feiltolke.
Under testing fant Gibbs også ut at fullføring av autorisasjonstrinnet førte til et ekte Calendly-arrangement.
Som et resultat dukket legitime Calendly-sider opp i begge ender av prosessen. Angriperne plasserte den ondsinnede forespørselen mellom disse kjente bestillingstrinnene.
Kampanjen gikk offline, men operatørene er fortsatt ukjente
Gibbs sendte rapporter om misbruk til domeneregistratorer, Calendly, X og Google 17. september. Ifølge ham har kampanjen siden gått offline.
Undersøkelsen identifiserte imidlertid ikke operatørene eller fastslo hvor mange personer som ble ofre.
Calendly-phishingangrepet illustrerer hvordan kriminelle kan kombinere legitime tjenester med en villedende forespørsel om kontotillatelser. En ekte bestillingsside eller autorisasjonsskjerm betyr ikke at applikasjonen som ber om tilgang, er pålitelig.
0 responses to “Calendly-phishingangrep bruker falsk journalist for å kapre grunnleggerens X-konto”