کمپین فیشینگ جدیدی شناسایی شده است که با جعل صفحات رزرو وقت (Booking Pages) سرویس Calendly، کاربران را به بهانه مصاحبه شغلی در شرکت Meta فریب می‌دهد تا اطلاعات ورود به حساب‌های فیس‌بوک و گوگل خود را افشا کنند.
سازوکار حمله و مراحل فریب
در این سناریو، قربانیان با صفحاتی مواجه می‌شوند که دقیقاً مشابه محیط رزرو وقت Calendly برای مصاحبه‌های شغلی Meta طراحی شده است. روند حمله به شرح زیر است:
- انتخاب زمان مصاحبه: کاربر یک بازه زمانی ۳۰ دقیقه‌ای را برای تماس تلفنی با استخدام‌کننده انتخاب می‌کند.
- جمع‌آوری اطلاعات اولیه: از کاربر خواسته می‌شود نام، ایمیل و شماره تلفن خود را وارد کند.
- استفاده از CAPTCHA جعلی: برای افزایش اعتبار صفحه و جلوگیری از شناسایی توسط اسکنرهای امنیتی، یک مرحله CAPTCHA جعلی نمایش داده می‌شود.
- سرقت اعتبارنامه‌های فیس‌بوک: صفحه از کاربر می‌خواهد برای ادامه، وارد حساب فیس‌بوک خود شود. در این مرحله، یک پنجره جعلی با نوار آدرس ساختگی نمایش داده می‌شود تا کاربر تصور کند در محیط رسمی فیس‌بوک است.
- دور زدن احراز هویت دو مرحله‌ای (2FA): اگر حساب کاربر دارای 2FA باشد، صفحه جعلی کد تایید را درخواست کرده و آن را به‌صورت آنی به سرور مهاجم ارسال می‌کند تا دسترسی به حساب برقرار شود.
- سرقت حساب گوگل: در نهایت، با ادعای «نیاز به تایید امنیت»، از کاربر خواسته می‌شود وارد حساب Gmail خود شود تا دسترسی کامل به ایمیل و سایر سرویس‌های گوگل نیز به دست مهاجمان بیفتد.
تحلیل فنی کیت فیشینگ
بررسی‌های فنی نشان می‌دهد که این حمله از یک Phishing Kit پیشرفته و قابل استفاده مجدد (نسخه 0.8.0) استفاده می‌کند. این کیت دارای ویژگی‌های زیر است:
- Relay در لحظه: مهاجمان به‌طور فعال وضعیت ورود را در سایت واقعی بررسی می‌کنند و بر اساس پاسخ سرور (مثلاً درخواست کد 2FA)، صفحه بعدی را به کاربر نمایش می‌دهند.
- زیرساخت ابری: برای جمع‌آوری داده‌ها از Amazon API Gateway در منطقه AWS سنگاپور استفاده شده است.
- ساختار دامنه‌ها: مهاجمان از دامنه‌هایی با پسوندهای .cfd، .info و .works استفاده می‌کنند که کلماتی مانند joinhire یا joinquest در آن‌ها به چشم می‌خورد.
توصیه‌های امنیتی برای مقابله
برای جلوگیری از موفقیت این‌گونه حملات، موارد زیر توصیه می‌شود:
- بررسی دقیق URL: لینک‌های رسمی Calendly همواره از دامنه calendly.com استفاده می‌کنند. هرگونه دامنه مشکوک در فرآیند استخدام باید مورد تردید قرار گیرد.
- عدم ارائه رمز عبور در صفحات رزرو: هیچ سرویس رزرو وقتی مانند Calendly برای تعیین زمان مصاحبه، به رمز عبور شبکه‌های اجتماعی یا ایمیل شما نیاز ندارد.
- استفاده از Passkeys: استفاده از Passkeys یا کلیدهای امنیتی سخت‌افزاری (Hardware Security Keys) به دلیل وابستگی به دامنه واقعی، در برابر این نوع فیشینگ‌های Relay مقاوم هستند.
- پایش نوار آدرس مرورگر: توجه داشته باشید که پنجره‌های داخلی در یک صفحه وب نمی‌توانند نوار آدرس واقعی مرورگر را تغییر دهند؛ هر نوار آدرسی که داخل بدنه صفحه نمایش داده می‌شود، جعلی است.
