ハッカーは再びゲーマーをターゲットにしており、今回は注意しないと Steam アカウントを失う可能性があります。
ハッカーは、 Browser-in-the-Browser テクニックを使用して、30 万ドルもの価値があるいくつかの有名な Steam アカウントにアクセスすることができました。新しいハックがどのように機能するのか、そして安全を確保する方法は次のとおりです。
この新たなフィッシング攻撃は、巧妙に隠蔽されてアカウントを盗もうと試みて Steam ユーザーに連絡するハッカーによって実行されています。一部のフィッシング攻撃は非常に簡単に見破ることができますが、この場合はすべてが正当であるように見え、ハッカーが Steam アカウントを簡単に制御できるようになります。
ハッカーは Steam 経由で潜在的な被害者にメッセージを送信し、Counter-Strike、Dota 2、League of Legends、Rocket League、PUBG、またはその他の人気の e スポーツ タイトルのゲームに参加するよう求めます。ユーザーが受け入れなかったとしても、ハッカーはチームに投票することと、e スポーツ組織と思われる Web サイトへのリンクを提供することを要求します。
この Web サイトは非常によくできています。同じようなページを以前に見たことがあるはずです。 27 の言語をサポートしており、ブラウザの設定から正しい言語を検出します。
チームに参加してトーナメントや親善試合に参加するには、ユーザーは Steam アカウントを通じてログインする必要があり、ユーザー名、パスワード、さらに 2 要素認証を有効にしている場合は認証コードも入力する必要があります。
ただし、問題が 1 つあります。ログイン ページは実際のブラウザ ウィンドウではありません。代わりに、これは現在のページ内に埋め込まれた偽のウィンドウです。このフィッシング キットを使用すると、通常のポップアップとよく似た偽のウィンドウをドラッグしたり、最小化、最大化したりすることもできます。
ユーザーが資格情報を入力してログインに成功すると、やはり正当であると思われるアドレスにリダイレクトされます。これは、ログイン情報が攻撃者に送信されている間にハッカーに勝つために行われます。その後、攻撃者は被害者の電子メールとパスワードをすぐに変更し、アカウントの回復を困難にします。
自分を守る方法
過去に多くの人が同様の詐欺の被害に遭っていましたが、現在では再び詐欺が増加しており、検出がさらに困難になっているため、注意してアカウントのセキュリティを自分で守ることが最善です。
Group-IB の 報告によると、この手法は JavaScript (JS) に依存して機能します。 JS スクリプトをブロックすれば十分に保護されますが、ほとんどの人はそれを望んでいません。人気のある Web サイトの多くは JS を使用しているため、ユーザー エクスペリエンス全体に影響を与えることになります。
代わりに、知らない人、または知っている人から受け取ったリンクには注意してください。 Discord や Steam アカウントはハッキングされることが多いため、たとえ友人からであっても、リンク付きのメッセージを受信すると不審になる可能性があります。送られてきたリンクをたどる前に、自分が実際に友人と話していることを必ず確認してください。相手が見知らぬ人であれば、気にせずブロックしてください。