Phishingangrepet som førte til kapringen av Chrome-utvidelsen Web Developer i forrige uke, var ikke noe enestående tilfelle. Også kontoen til utvikleren av utvidelsen Copyfish skal ha blitt kapret slik at uvedkommende fikk anledning til å modifisere utvidelsen med et adware-tillegg.
Det er likevel langt flere enn bare disse to som skal ha blitt utsatt for phishingangrepet. Ifølge Bleeping Computer har Google sendt ut epostadvarsler om slike angrep til mange eller alle registrerte utviklere av slike nettleserutvidelser.
Bakgrunn: Populær Chrome-utvidelse ble kapret
I flere måneder
Angrepene skal ha startet for mer enn to måneder siden, forteller utviklere til Bleeping Computer. I phishingmeldingene skal utviklerne ha fått beskjed om at utvidelsen dere ikke er i henhold til reglene for Chrome Web Store og at den må oppdateres.
I meldingene utviklerne bedt om å gå til en gitt side, og når de kommer dit blir de bedt om å logge seg på sine respektive Google-kontoer.
Websiden utviklerne skal ha blitt sendt til, skal ha vært svært vanskelig å skille fra en original Google-side. Det samme skal også ha vært tilfellet med URL-ene til siden, uten at Bleeping Computer har oppgitt hvilke domener som har blitt benyttet.
Det er på det rene at angriperne har benyttet flere ulike domener, da Google i løpet av sommeren har blitt varslet om phishingforsøkene og derfor har blokkert disse sidene fortløpende i Chrome.
Les også: Chrome-tillegg advarer om passord-phishing
Ta i bruk to-faktor autentisering nå!
I eposten som Google har sendt til utviklerne av Chrome-utvidelsene, oppfordrer selskapet utviklerne til å aktivere to-faktor autentisering/to-trinns bekreftelse for Google-kontoen.
Dette betyr at det ikke lenger vil være tilstrekkelig å ha brukernavnet/epostadressen og passordet for å logge inn på kontoen, siden det i tillegg kreves at man oppgir en engangskode som kontoeieren kan motta på ulike måter.
SMS er en slik måte. Dette er ikke akkurat den sikreste metoden, siden SMS-er både kan avlyttes og omdirigeres, men det er bedre enn ingenting. Andre og sannsynligvis sikrere alternativer er å bruke en egen autentiseringsapp på smartmobilen, eller en USB-basert sikkerhetsnøkkel, dersom man logger seg inn via en pc.
Google har tilbudt to-faktor autentisering siden 2011. Det er enkelt å aktivere og bruke, så det er overraskende at det fortsatt er mange som ikke har tatt det i bruk, både hos Google og hos andre som tilbyr dette, noe mange etter hvert har begynt å gjøre.
Leste du denne? Norske tilbydere av epost «tar sikkerhet på alvor», men tilbyr ikke to-faktor autentisering (Digi Ekstra)
