Τα Valuts του Bitwarden στόχος επίθεσης phishing σε διαφημίσεις Google

Το Bitwarden και άλλοι διαχειριστές κωδικών πρόσβασης στοχεύονται σε καμπάνιες ηλεκτρονικού "ψαρέματος" διαφημίσεων Google για να κλέψουν τα διαπιστευτήρια αποθήκευσης κωδικών πρόσβασης των χρηστών. 

Την αυτή τη βδομάδα, οι χρήστες του Bitwarden άρχισαν να βλέπουν μια διαφήμιση Google με τίτλο "Bitward - Password Manager" στα αποτελέσματα αναζήτησης για "bitwarden password manager". Ο αρθρογράφος του BleepingComputer δεν μπόρεσε να αναπαραγάγει αυτήν τη διαφήμιση, οι χρήστες του Bitwarden την είδαν στο Reddit [1, 2] και στο φόρουμ του Bitwarden.

Ο τομέας που χρησιμοποιήθηκε στη διαφήμιση ήταν ο "appbitwarden.com" και, ανακατεύθυνε τους χρήστες στον ιστότοπο "bitwardenlogin.com".

Η σελίδα στο 'bitwardenlogin.com' ήταν ένα ακριβές αντίγραφο της νόμιμης σελίδας σύνδεσης του Bitwarden Web Vault, όπως φαίνεται παρακάτω.

Σε δοκιμές που έκανε το bleepingcomputer.com, η σελίδα ηλεκτρονικού ψαρέματος δέχεται διαπιστευτήρια και, αφού αυτά υποβληθούν, θα ανακατευθύνει τους χρήστες στη νόμιμη σελίδα σύνδεσης του Bitwarden. Ωστόσο, οι αρχικές δοκιμές τους χρησιμοποίησαν πλαστά διαπιστευτήρια και η σελίδα σταμάτησε να λειτουργεί τη στιγμή που ξεκίνησαν τη δοκιμή με πραγματικά διαπιστευτήρια σύνδεσης δοκιμαστικού λογαριασμού Bitwarden. Επομένως, δεν είναι δυνατό να διαπιστώσουν εάν η σελίδα ηλεκτρονικού ψαρέματος θα επιχειρούσε επίσης να υποκλέψει cookie περιόδου σύνδεσης που υποστηρίζονται από MFA (authentication tokens) όπως κάνουν πολλές προηγμένες σελίδες ηλεκτρονικού ψαρέματος.

Είναι σημαντικό να προστατεύετε σωστά τα θησαυροφυλάκια (Vaults) κωδικών πρόσβασης σας. Η πρώτη γραμμή άμυνας είναι πάντα να επιβεβαιώσετε ότι εισάγετε τα διαπιστευτήριά σας στον σωστό ιστότοπο. Εκτός από αυτό, σημαντικό είναι να χρησιμοποιείτε μεθόδους πολλαπλών παραγόντων MFA (multi-factor authentication). Οι καλύτερες μέθοδοι επαλήθευσης MFA που μπορείτε να χρησιμοποιήσετε κατά την ασφάλεια του λογαριασμού σας, από το καλύτερο στο χειρότερο, είναι τα κλειδιά ασφαλείας υλικού (τα καλύτερα αλλά πιο δυσκίνητα), μια εφαρμογή ελέγχου ταυτότητας (καλή και πιο εύκολη στη χρήση) και η επαλήθευση SMS (μπορεί να παραβιαστεί σε επιθέσεις sim swapping).