У Telegram зьявіўся новы спосаб скрасьці ўліковы запіс. Цяпер пад выглядам «афіцыйнага SMS»

Беларуская асацыяцыя журналістаў (БАЖ) расказала пра чарговы выпадак такога крадзяжу і дала парады, як абараніцца ад атакі.

Асноўная небясьпека новага мэтаду ў тым, што шкодная спасылка прыходзіць не з ананімнага нумару, не ад бота з дрэннай аватаркай, а ад адпраўніка з імем Telegram у той жа самы SMS-дыялёг з праграмай. Гэта прымушае нават пільных карыстальнікаў аслабіць увагу і перайсьці на спасылку, якая вядзе да страты ўліковага запісу.

Пад спасылкай чакае прыгожы фірмовы дызайн «Тэлеграму» і нават анімаваная клясычная качка. Але далей сайт патрабуе ўвесьці поўныя зьвесткі: нумар тэлефону, код пацьверджаньня, двухфактарны пароль (2FA) і нават пацьвердзіць на сваім запісе «Так, гэта я».

Мэханізм атакі грунтуецца на тэхналёгіі SMS Sender ID spoofing (падмена ідэнтыфікатару адпраўніка). Смартфоны групуюць паведамленьні не паводле лічбавага нумару, а паводле тэкставага імя адпраўніка. Ашуканцы выкарыстоўваюць адмысловыя SMS-шлюзы, каб даслаць паведамленьне з імем Telegram. І тэлефон, які распазнае імя як нібыта знаёмае, аўтаматычна зьмяшчае паведамленьне ў тую ж размову, дзе карыстальнік звычайна атрымлівае коды для ўваходу.

Усё гэта стварае для ашуканцаў выдатную ілюзію сапраўднасьці: патэнцыйная ахвяра бачыць заклік «праверыць бясьпеку» адразу пад сапраўднымі паведамленьнямі ад службы.

Як засьцерагчыся і ня стаць ахвярай?

Каб абараніць свой уліковы запіс (акаўнт), экспэрты ў бясьпецы заклікаюць выконваць тры «залатыя» правілы:

Прынцып Zero Trust (Нулявы давер) «Нікому не давярай, заўсёды правярай»;

Галоўнае — ня ўводзіць логін і пароль на вонкавых сэрвісах. Нават сама служба Telegram папярэджвае: «Логін-код выкарыстоўваецца толькі для ўваходу ў акаўнт. Нікому не перадавайце свой двухфактарны 2FA пароль і логін-код».

Уключыце двухэтапную праверку (2FA). Нават калі ашуканцы даведаюцца ваш SMS-код, яны ня змогуць увайсьці ва ўліковы запіс бяз вашага асабістага паролю.

Аналізуйце спасылкі: Telegram заўсёды выкарыстоўвае толькі дамэны telegram.org або t.me. Усялякія варыяцыі накшталт telegram-support.com ці verify-tele.net — гэта 100% махлярства. Праверыць спасылку можна праз сэрвісы virustotal.com, URLScan.io, browserling.com. Калі сайту пару дзён або тыдняў ад нараджэньня, то гэта стопрацэнтная нагода яму не давяраць.

Ігнаруйце пагрозы: афіцыйны Telegram ніколі не патрабуе «тэрміновай вэрыфікацыі» праз SMS пад пагрозай выдаленьня ўліковага запісу. Усе сыстэмныя паведамленьні ад адміністрацыі прыходзяць у самой аплікацыі, у чаце з адмысловым значком вэрыфікацыі.

Памятайце: ваша бясьпека заканчваецца там, дзе пачынаецца пасьпешлівасьць. Калі SMS выглядае тэрміновым — гэта першая прыкмета таго, што вас спрабуюць падмануць.