Et Calendly-phishingangreb narrede Segment-medstifter Peter Reinhardt til at give en ondsindet app adgang til sin X-konto. Angriberne udgav sig for at være en journalist fra WIRED og placerede en autorisationsanmodning mellem ægte bookingsider for at gøre fremgangsmåden overbevisende.
Falsk interviewanmodning førte til en ægte bookingside
Angrebet begyndte med en interviewanmodning om CO2-fjernelse fra en X-konto, der udgav sig for at tilhøre WIRED-journalisten Simon Hill.
Afsenderen virkede troværdig, og beskeden indeholdt et ægte Calendly-bookinglink. Reinhardt fulgte det og nåede frem til en legitim bookingside.
Bookingprocessen førte ham dog derefter til en side kontrolleret af angriberne, som brugte WIREDs branding. Siden hævdede, at han skulle forbinde sin X-konto, før han kunne planlægge interviewet.
Ondsindet app anmodede om adgang til direkte beskeder
I stedet for at vise en falsk adgangskodeformular brugte angriberne X’s legitime system til appautorisation.
En app kaldet CalendarBookings anmodede om tilladelse til at læse og skrive opslag samt få adgang til direkte beskeder. Efter at Reinhardt godkendte disse tilladelser, fik appen kortvarigt adgang til hans konto.
Ifølge rapporten varede den efterfølgende kontoovertagelse kun få minutter.
Angrebet var derfor baseret på samtykke frem for tyveri af adgangskoder. Reinhardts godkendelse gav den ondsindede applikation den adgang, den anmodede om via en ægte tilladelsesskærm.
Forsker kædede fem phishing-sider sammen med samme backend
Casco-sikkerhedsingeniør Anthony Gibbs undersøgte sagen, efter at Reinhardt delte detaljer om hændelsen.
Mellem den 9. og 11. september sporede Gibbs fem phishing-sider med forskellige publikationers branding til en fælles backend kaldet Asteria. Hans resultater viste, at kampagnen strakte sig ud over et enkelt mål.
Derudover brugte den angriberkontrollerede bookingside et Calendly-lignende domæne med en subtil tegnudskiftning. Et stort “I” erstattede et lille “l”, hvilket gjorde adressen nem at læse forkert.
Under test fandt Gibbs også ud af, at gennemførelse af autorisationstrinnet førte til en ægte Calendly-begivenhed.
Som følge heraf optrådte legitime Calendly-sider i begge ender af processen. Angriberne placerede deres ondsindede anmodning mellem disse velkendte bookingtrin.
Kampagnen gik offline, men operatørerne er fortsat ukendte
Gibbs indsendte rapporter om misbrug til domæneregistratorer, Calendly, X og Google den 17. september. Ifølge hans redegørelse er kampagnen siden gået offline.
Undersøgelsen identificerede dog ikke operatørerne eller fastslog, hvor mange personer der blev ofre.
Calendly-phishingangrebet illustrerer, hvordan kriminelle kan kombinere legitime tjenester med en vildledende anmodning om kontotilladelser. En ægte bookingside eller autorisationsskærm betyder ikke, at den applikation, der anmoder om adgang, er troværdig.
0 svar til “Calendly-phishingangreb bruger falsk journalist til at kapre grundlæggerens X-konto”