یک کمپین فیشینگ (Phishing) پیچیده با استفاده از یک پیشنهاد همکاری جعلی بین Amazon Music و YouTube، تولیدکنندگان محتوای (Creators) یوتیوب را هدف قرار داده است. این حمله با بهره‌گیری از تکنیک‌های مهندسی اجتماعی (Social Engineering) و نمایش داده‌های واقعی، تلاش می‌کند حساب‌های کاربری گوگل را به تسلط مهاجمان درآورد.
استفاده از داده‌های واقعی برای جلب اعتماد
مهاجمان با میزبانی سایتی تحت عنوان “Amazon Artists Music — Creator Portal” (با دامنه amazonyt[.]com)، از APIهای عمومی یوتیوب استفاده می‌کنند تا آمار دقیق کانال کاربر، از جمله تعداد مشترکین (Subscribers)، بازدیدها (Views) و آخرین ویدیوهای منتشر شده را نمایش دهند. این شخصی‌سازی خودکار باعث می‌شود کاربر تصور کند این پیشنهاد واقعاً برای او طراحی شده است و اعتماد بیشتری به سایت پیدا کند.
مکانیزم حمله و سرقت اطلاعات
پس از جلب اعتماد، سایت از کاربر می‌خواهد تا کانال خود را “تایید” (Verify) کند. با کلیک بر روی دکمه جعلی “Continue with Google”، یک فریم (Iframe) از دامنه مخرب youtubechannelverification[.]com باز می‌شود. این فریم به گونه‌ای طراحی شده که اطلاعات ورود (Credentials) و حتی کدهای تایید چندعاملی (MFA) را سرقت کند. نکته خطرناک این است که آدرس‌بار مرورگر همچنان دامنه اصلی را نشان می‌دهد، که باعث می‌شود کاربر متوجه فریب نخورد و تصور کند در محیط امن گوگل قرار دارد.
هدف نهایی مهاجمان
هدف اصلی این حملات، تسلط بر حساب‌های کاربری (Account Takeover) است. پس از به دست آوردن کنترل کانال‌های یوتیوب، مهاجمان معمولاً از آن‌ها برای پخش کلاهبرداری‌های ارز دیجیتال (Cryptocurrency Scams) یا فروش کانال‌های دارای مخاطب بالا استفاده می‌کنند.
اقدامات پیشگیرانه و دفاعی
- بررسی دقیق آدرس‌بار: همیشه مطمئن شوید که هنگام ورود به حساب گوگل، آدرس بار مرورگر دقیقاً
accounts.google.comباشد. هرگونه فریم یا پنجره‌ای که داخل صفحه باز شود و آدرس بار تغییر نکند، بسیار مشکوک است. - تایید مستقل پیشنهادها: هرگونه پیشنهاد همکاری تجاری را از طریق کانال‌های رسمی و وب‌سایت‌های اصلی شرکت‌های مربوطه بررسی کنید.
- مدیریت پس از سرایت: اگر اطلاعات خود را در چنین سایت‌هایی وارد کرده‌اید، فوراً رمز عبور خود را تغییر دهید، نشست‌های (Sessions) فعال را بررسی و از دستگاه‌های ناشناس خارج شوید. همچنین دسترسی‌های اپلیکیشن‌های شخص ثالث (Third-party apps) را بازبینی کنید.
