מכירים את Captcha? הריבועים שמזהים שאתם לא רובוט? עכשיו עמודי פישינג משתמשים בזה בכדי להימנע מזיהוי. קמפיין פישינג חדש משתמש ב-Captcha במטרה להסתיר דף פישינג שמתחזה לחשבון מיקרוסופט ממיילים בטוחים.

כך נראה מנגנון קאפצ'ה שמיועד להוכיח שאתם לא רובוטים:

קאפצ'ה חוסמת סריקות אוטומטיות

ק'אפצה מבוססת על אתגר שאמור לזהות אם המשתמש הוא בוט או אדם במטרה למנוע מזימות ובדרך כלל נתקלים בפונקציה הזו בעמודי הרשמה בכדי למנוע כניסות אוטומטיות.

בקמפיין הפישינג שהתגלה על ידי Cofense, השתמשו בקאפצ'ה במטרה למנוע את הסריקה לעמוד הזדוני. מרבית שירותי ומנועי הסריקה שיגשו לדף שמוגן ע"י קאפצ'ה לא יצליחו להתקדם לדף הבא משום שזו בדיוק המטרה של קאפצ'ה, למנוע מ"רובוטים" או תהליכים אוטומטיים לגשת לדף.

התוקפים התחזו לחשבונות של מיקרוסופט ויצרו דף שמחקה את המקור לבחירת חשבון והתחברות. כשהוצגו פרטי ההתחברות לנתקפים, כל הפרטים שהם הזינו בשדות הטקסט, נשלחו לתוקפים. המייל אשר מפנה לעמוד הפישינג מתחזה להודעה של שירות מיילים קוליים. הכפתור אשר מיועד לתצוגה מקדימה, הוא זה שמוביל את המותקף לעמוד הקאפצ'ה. גם הקאפצ'ה וגם עמוד הפישינג עצמו, שניהם נמצאים על גבי תשתיות של מיקרוסופט אשר כתוצאה מכך הם בעלי דומיינים לגיטימיים שמבטיחים שלא תהיה תגובה שלילית בתהליך האנליזה.

אמיר כרמי, מנהל הטכנולוגיות ESET ישראל: "האקרים ועבריינים באינטרנט תמיד מחפשים דרכים חדשות ויצירתיות להתגבר ולעקוף את מנגנוני ההגנה שנמצאים בשימוש בחברות ושירותים שונים. ראינו כבר מספר התקפות וקמפיינים בחודשים האחרונים שעושים שימוש בדפים שמאורחים בשירותי מיקרוסופט וכך דפי הפישינג נראים כביכול לגיטימיים.

במקרה הזה התוקפים שיכללו את ההתקפה והרימו שני דפים שמתארחים במיקרוסופט, ובנוסף הגנו על הגישה לאתר השני באמצעות קאפצ'ה. האירוניה היא שקאפצ'ה הוא מנגנון שנועד להגן מפני "רובוטים" והתקפות אוטומטיות, ובמקרה זה ניצלו אותו התוקפים על מנת להתגונן בפני מנועי הסריקה וההתגוננות".