Ein Calendly-Phishing-Angriff brachte Segment-Mitgründer Peter Reinhardt dazu, einer bösartigen App Zugriff auf sein X-Konto zu gewähren. Die Angreifer gaben sich als WIRED-Journalist aus und platzierten eine Autorisierungsanfrage zwischen echten Terminbuchungsseiten, um den Angriff überzeugend wirken zu lassen.
Gefälschte Interviewanfrage führte zu einer echten Buchungsseite
Der Angriff begann mit einer Interviewanfrage zum Thema CO₂-Entfernung von einem X-Konto, das sich als Konto des WIRED-Journalisten Simon Hill ausgab.
Der Absender wirkte glaubwürdig, und die Nachricht enthielt einen echten Calendly-Buchungslink. Reinhardt folgte ihm und gelangte zu einer legitimen Terminbuchungsseite.
Der Buchungsprozess leitete ihn jedoch anschließend auf eine von den Angreifern kontrollierte Seite mit WIRED-Branding weiter. Die Seite behauptete, er müsse sein X-Konto verbinden, bevor er das Interview planen könne.
Bösartige App forderte Zugriff auf Direktnachrichten
Anstatt ein gefälschtes Passwortformular anzuzeigen, nutzten die Angreifer das legitime System von X zur App-Autorisierung.
Eine App namens CalendarBookings forderte die Berechtigung an, Beiträge zu lesen und zu schreiben sowie auf Direktnachrichten zuzugreifen. Nachdem Reinhardt diese Berechtigungen genehmigt hatte, erhielt die App kurzzeitig Zugriff auf sein Konto.
Laut dem Bericht dauerte die anschließende Kontoübernahme nur wenige Minuten.
Der Angriff setzte daher auf Zustimmung statt auf den Diebstahl von Passwörtern. Reinhardts Genehmigung gewährte der bösartigen Anwendung über einen echten Berechtigungsbildschirm den angeforderten Zugriff.
Forscher brachte fünf Phishing-Seiten mit demselben Backend in Verbindung
Casco-Sicherheitsingenieur Anthony Gibbs untersuchte den Vorfall, nachdem Reinhardt Details dazu veröffentlicht hatte.
Zwischen dem 9. und 11. September führte Gibbs fünf mit dem Branding verschiedener Publikationen versehene Phishing-Seiten auf ein gemeinsames Backend namens Asteria zurück. Seine Erkenntnisse deuteten darauf hin, dass sich die Kampagne nicht auf ein einzelnes Ziel beschränkte.
Darüber hinaus verwendete die von den Angreifern kontrollierte Buchungsseite eine Calendly-ähnliche Domain mit einem subtilen Zeichenaustausch. Ein großes „I“ ersetzte ein kleines „l“, wodurch die Adresse leicht falsch gelesen werden konnte.
Bei seinen Tests stellte Gibbs außerdem fest, dass der Abschluss des Autorisierungsschritts zu einem echten Calendly-Termin führte.
Dadurch erschienen sowohl am Anfang als auch am Ende des Prozesses legitime Calendly-Seiten. Die Angreifer platzierten ihre bösartige Anfrage zwischen diesen vertrauten Buchungsschritten.
Kampagne ging offline, Betreiber bleiben jedoch unbekannt
Gibbs reichte am 17. September Missbrauchsmeldungen bei Domain-Registraren, Calendly, X und Google ein. Seinen Angaben zufolge ist die Kampagne inzwischen offline.
Die Untersuchung konnte jedoch weder die Betreiber identifizieren noch feststellen, wie viele Menschen Opfer wurden.
Der Calendly-Phishing-Angriff zeigt, wie Kriminelle legitime Dienste mit einer irreführenden Anfrage nach Kontoberechtigungen kombinieren können. Eine echte Buchungsseite oder ein legitimer Autorisierungsbildschirm bedeutet nicht, dass die Anwendung, die Zugriff anfordert, vertrauenswürdig ist.
0 Kommentare zu „Calendly-Phishing-Angriff nutzt falschen Journalisten, um X-Konto des Gründers zu übernehmen“