Cyberkriminelle misbruger en legitim Google-tjeneste for at omgå e-mailbeskyttelse og levere phishing-e-mails direkte til modtagerens indbakke.
It-sikkerhedsfirmaet KnowBe4, som først opdagede angrebene, advarer om, at svindlerne bruger Google AppSheet til dette formål. Ved hjælp af AppSheets automatiseringsværktøjer har de været i stand til at sende e-mails via adressen '[email protected]'.
Deres e-mails efterligner e-mails fra Facebook og er designet til at narre folk til at afgive deres loginoplysninger og 2FA-koder til det sociale medie.
Disse e-mails, der blev sendt i stort omfang, kom fra en legitim kilde og formåede derfor at komme forbi Microsofts og andre sikre e-mail-gateways (SEGs), der normalt baserer sig på domæne-omdømme og diverse autentificeringskontroller som SPF, DKIM og DMARC.
Desuden kan AppSheets generere unikke ID'er, så hver e-mail var en smule forskellig, hvilket også gjorde det sværere for traditionelle systemer at opdage dem.
De mange e-mails udgav sig for at være sendt direkte fra Facebook. Svindlerne forsøgte at bilde modtagerne ind, at de havde krænket en anden brugers ophavsret, og at deres konto ville blive slettet inden for 24 timer.
Medmindre at de indsendte en appel via en praktisk 'Indsend appel'-knap i e-mailen. Klikker man på knappen, føres man til en falsk Facebook-login-side, hvor man bedes indtaste sine login-oplysninger og 2FA-koder. Disse oplysninger bliver straks sendt videre til hackerne.
Siden er hostet på Vercel, som ifølge KnowBe4 er 'en troværdig platform kendt for at hoste moderne web-applikationer', hvilket naturligvis også har været med til at øge kampagnens troværdighed.
Der er også indbygget ekstra sikkerhedsforanstaltninger i angrebet. Det første login-forsøg giver fejlen 'forkert adgangskode'. Det dukkede dog ikke op fordi brugeren havde skrevet en forkert adgangskode, men derimod for at bekræfte indsendelsen.
De 2FA-koder, som brugeren indtaster, sendes straks til Facebook, hvorefter hackerne får fat i en session-token, som giver dem vedvarende adgang til kontoen - selv efter adgangskoden ændres.
