Недавно была опубликована схема фишинга в Telegram, которая основана на эксплоатации системы мини-приложений. Разберём сначала пример того, как это было использовано с ботом Почты РФ, а затем расскажу, почему это вообще работает.
Как видно на скриншоте выше, Telegram открывает не веб-страницу, а мини-приложение, в котором и предлагается зайти в свой профиль. Сделано это для того, чтобы жертва не видела URL страницы. Таким образом, злоумышленник не должен даже ломать себе голову над созданием похожей ссылки, Telegram её даже не показывает.
В итоге сделать так можно вообще любую страницу, зависит только от фантазии автора.
Это уже не первая серьёзная дыра в Telegram, которая позволяет распространять как фишинг, так и malware. Про второе мы поговорим в отдельной статье, которая будет касаться inline-ботов. С ними можно делать почти всё, что угодно, нужны лишь небольшие знания в написании ботов и социальной инженерии.
- Сперва жертве звонят на мобильный и просьбой зайти в бота в телеграм.
- Далее жертва открывает фейковый бот почты РФ.
- В боте предлагается зайти в свой аккаунт на Гос Услугах и о ткрывается мини приложение с страницей логина.
Как видно на скриншоте выше, Telegram открывает не веб-страницу, а мини-приложение, в котором и предлагается зайти в свой профиль. Сделано это для того, чтобы жертва не видела URL страницы. Таким образом, злоумышленник не должен даже ломать себе голову над созданием похожей ссылки, Telegram её даже не показывает.
В итоге сделать так можно вообще любую страницу, зависит только от фантазии автора.
Это уже не первая серьёзная дыра в Telegram, которая позволяет распространять как фишинг, так и malware. Про второе мы поговорим в отдельной статье, которая будет касаться inline-ботов. С ними можно делать почти всё, что угодно, нужны лишь небольшие знания в написании ботов и социальной инженерии.
Люди уже привыкли доверять интерфейсу Telegram больше, чем ссылкам, и этим и пользуются. Тут ключевой момент даже не мини-приложения, а социальная инженерия звонок, давление, срочность, и человек уже не проверяет, куда именно он логинится. В итоге защита начинается не с технологий, а с привычки не входить в аккаунты по просьбе из звонка.
