Облачные платформы, такие как Cloudflare Workers, Netlify, Vercel и GitHub Pages, стали не только удобным инструментом для разработчиков, но и мощным оружием в руках киберпреступников. Согласно исследованию «Лаборатории Касперского», за последний год было выявлено почти 400 тысяч фишинговых ссылок, размещенных на популярных облачных сервисах и в децентрализованных сетях. Основная опасность заключается в том, что эти атаки позволяют обходить многофакторную аутентификацию (MFA) и незаметно перехватывать сессии пользователей.
Почему облака стали раем для фишеров?
Злоумышленники выбирают облачные платформы по трем причинам:
Анатомия атаки: Adversary-in-the-Middle (AiTM)
Наиболее опасный сценарий — это атака с использованием техники AiTM (разновидность Man-in-the-Middle). В отличие от классического фишинга, где жертва просто вводит пароль на поддельной странице, здесь злоумышленник встраивается в коммуникацию между пользователем и легитимным сервисом.
Как это работает на примере реального кейса, выявленного экспертами:
Топ платформ, используемых для атак
По данным Kaspersky, лидерами среди платформ для размещения фишинга являются:
Как защититься?
Поскольку атаки AiTM обходят стандартные средства защиты, подход должен быть комплексным:
Почему облака стали раем для фишеров?
Злоумышленники выбирают облачные платформы по трем причинам:
- Скорость и анонимность: Бесплатные тарифы и автоматическая выдача SSL-сертификатов позволяют развернуть фишинговый сайт за считаные минуты. При блокировке аккаунта создается новый.
- Доверие к домену: Ссылки вида *.pages.dev или *.vercel.app не вызывают подозрений у пользователей и часто не попадают в фиды фишинговых адресов из-за высокой скорости создания поддоменов.
- Скрытие инфраструктуры: Встроенные механизмы защиты облаков скрывают реальный IP-адрес сервера злоумышленника.
Анатомия атаки: Adversary-in-the-Middle (AiTM)
Наиболее опасный сценарий — это атака с использованием техники AiTM (разновидность Man-in-the-Middle). В отличие от классического фишинга, где жертва просто вводит пароль на поддельной странице, здесь злоумышленник встраивается в коммуникацию между пользователем и легитимным сервисом.
Как это работает на примере реального кейса, выявленного экспертами:
- Этап 1. Выбор жертвы и «псевдокапча»: Злоумышленник рассылает письма (например, о подписании документов). Ссылка ведет не на фишинговый сайт, а на взломанный легитимный ресурс с «капчей», где нужно ввести e-mail. Это нужно для фильтрации реальных адресов и обхода песочниц.
- Этап 2. Прозрачный прокси: После ввода почты пользователь попадает на страницу, созданную на облачной платформе. Здесь разворачивается скрипт, который превращает сайт в прозрачный прокси. Все данные, вводимые жертвой, автоматически дублируются злоумышленнику.
- Этап 3. Browser-in-the-Browser (BiTB): На финальном этапе используется подмена интерфейса. Внутри легитимной страницы открывается окно, стилизованное под реальное окно аутентификации (например, Microsoft). Жертва вводит логин, пароль и код MFA.
- Результат: Прокси-скрипт перехватывает сессионный токен. MFA пройдена, но злоумышленник получает доступ к активной сессии. Жертву перекидывают на страницу с ошибкой «Session Expired», чтобы усыпить бдительность, пока хакер действует внутри корпоративной сети.
Топ платформ, используемых для атак
По данным Kaspersky, лидерами среди платформ для размещения фишинга являются:
- pages.dev (Cloudflare)
- vercel.app (Vercel)
- github.io (GitHub Pages)
- IPFS-шлюзы (dweb.link, ipfs.io) — децентрализованная сеть, которую сложно заблокировать, так как страница доступна через другие узлы.
- Wix и Webflow — визуальные конструкторы, снижающие порог входа для менее технически подкованных злоумышленников.
Как защититься?
Поскольку атаки AiTM обходят стандартные средства защиты, подход должен быть комплексным:
- Нейтрализация на входе: Использование решений для корпоративной почты (например, Kaspersky Secure Mail Gateway) для блокировки фишинговых ссылок до того, как они попадут в ящик.
- Защита конечных устройств: Многоуровневая защита (Kaspersky Endpoint Security).
- Обучение персонала: Сотрудники должны критически относиться к любым запросам на ввод данных, даже если окно выглядит абсолютно безопасным.