Uporabniki Windows Live ID, pozor!

Osnovni scenarij je zelo dobro znan, le tarče so vedno nove. Nepridipravi pošljejo lažno sporočilo, češ da je uporabniški račun zlorabljen, in ob tem pošljejo zlonamerno spletno povezavo do mesta, kjer naj bi uporabnik z vpisom svojih podatkov dokazal pristnost svojega računa. Na drugi strani te povezave so nepridipravi, ki te podatke zbirajo. Nova zvijača za posredno krajo podatkov uporabniškega profila Nova spletna prevara se je tako lotila uporabnikov računov Windows Live ID, ki jim nepridipravi želijo odtujiti osebne podatke, shranjene v uporabniških profilih storitev Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger in OneDrive.

Ta prevara pa je od dozdajšnjih podobnih veliko bolj nevarna, ker je nekoliko izvirnejša in težja za odkritje, opozarjajo pri podjetju za računalniško varnost Kaspersky Lab. V tem lažnem in zlonamernem e-poštnem sporočilu povezava namreč vodi do pristne in uradne spletne strani Windows Live, kjer ob sami prijavi še ni poskusa kraje podatkov. Kraja podatkov namreč pride v naslednjem koraku. Krivec je odprti avtorizacijski sistem OAuth Zaradi varnostnih pomanjkljivosti odprtega avtorizacijskega sistema OAuth se po prihodu na uradno spletno stran Windows Live prek zlonamerne povezave in prijavi na njo uporabniku prikaže zahteva za dovoljenje za samodejno prijavo v račun, ogled informacij o profilu in dostop do seznama stikov ter do seznama osebnih in poslovnih elektronskih naslovov.

Če tarča napada potrdi ta dovoljenja, mu s tem sicer niso ukradli uporabniškega imena in gesla, so pa nepridipravom na stežaj odprli vrata do svojih osebnih podatkov, naslovov elektronske pošte svojih stikov ter vzdevkov in pravih imen svojih prijateljev, morda tudi dodatnih podatkov, kot so seznami opravil ali pomembnih dogodkov v koledarju. Splošna priporočila uporabnikom tudi v tem primeru enaka Na pomanjkljivosti odprtega protokola za avtorizacijo OAuth sicer opozarjajo že skoraj poldrugo leto, to pa je prvi primer, ko jih izkoriščajo z napadom prek elektronske pošte.

Tudi za ta napad veljajo enaka priporočila uporabnikom kot pri vseh vrstah ribarjenja prek elektronske pošte: ne odpirati povezav v elektronski pošti ali zasebnih sporočilih na družbenih omrežjih (zlasti, ko prihajajo od neznanih virov) in ne omogočiti pravic za dostop do osebnih podatkov neznanim in sumljivim programom in spletnim stranem. Pomemben korak k zagotavljanju višje računalniške varnosti je uporaba zanesljivega programa računalniške zaščite, med njimi je tudi nekaj brezplačnih, katerega polna učinkovitost se doseže s sprotnim posodabljanjem.