Kaspersky heeft naar eigen zeggen een geavanceerde ontwikkeling van phishingtechnieken ontdekt die cybercriminelen gebruiken om twee-factor authenticatie (2FA) te omzeilen. Hierbij wordt phishing gecombineerd met geautomatiseerde OTP-bots om zo gebruikers te misleiden en ongeautoriseerde toegang tot hun accounts te krijgen.
Twee-factor authenticatie (2FA) vereist dat gebruikers hun identiteit verifiëren met behulp van een tweede vorm van authenticatie, meestal een eenmalig wachtwoord (OTP) dat wordt verzonden via sms, e-mail of een authenticatie-app. Cybercriminelen ontwikkelden manieren om gebruikers deze OTP’s bekend aan hen te maken, waardoor ze de 2FA-bescherming omzeilen.
Dat gebeurt met behulp van een OTP-bot die cybercriminelen gebruiken om OTP’s te onderscheppen via social engineering-technieken. Aanvallers proberen meestal de inloggegevens van het slachtoffer te verkrijgen via phishing of datalekken en loggen vervolgens in op het account van het slachtoffer. Hierdoor wordt er een OTP naar de telefoon van het slachtoffer gestuurd. Daarna belt de OTP-bot het slachtoffer, doet zich voor als een vertegenwoordiger van een vertrouwde organisatie en gebruikt een vooraf gescript dialoog om het slachtoffer over te halen de OTP te delen. Uiteindelijk ontvangt de aanvaller de OTP via de bot en gebruikt deze om toegang te krijgen tot het account van het slachtoffer.
Telefoon in plaats van berichten
Cybercriminelen prefereren volgens Kaspersky telefoontjes boven berichten omdat telefoontjes de kans vergroten dat het slachtoffer snel reageert. De bot kan de toon en urgentie van een legitiem gesprek nabootsen, waardoor het overtuigender is. Cybercriminelen beheren OTP-bots via speciale online panels of berichtenplatforms zoals Telegram. Deze bots hebben verschillende functies en abonnementen, en ze kunnen worden aangepast. Zo kan de bot verschillende organisaties imiteren, meerdere talen gebruiken en kan er zelfs gekozen worden tussen een mannen- of vrouwenstem. Geavanceerde opties zijn onder andere het spoofen van telefoonnummers, waardoor het lijkt alsof de beller-ID afkomstig is van een legitieme organisatie.
Voordat cybercriminelen een OTP-bot kunnen gebruiken, moeten ze de gegevens van het slachtoffer stelen. Vaak gebruiken ze phishing-websites die eruit zien als legitieme aanmeldingspagina’s voor banken, e-maildiensten of andere online accounts. Wanneer het slachtoffer zijn gebruikersnaam en wachtwoord invoert, leggen de criminelen deze informatie in realtime vast. Kaspersky benadrukt de aanzienlijke impact van deze phishing- en OTP-botaanvallen. Volgens het bedrijf hebben hun oplossingen van 1 maart tot 31 mei dit jaar 653.088 pogingen voorkomen om sites te bezoeken die waren gegenereerd door phishingkits gericht op de banksector, waarvan de gegevens vaak worden gebruikt in aanvallen met OTP-bots. In dezelfde periode detecteerde Kaspersky 4.721 phishingpagina’s die werden gegenereerd door de kits die zijn gericht op het omzeilen van twee-factorauthenticatie in realtime.
