Scammed out of $130K via fake Google call, spoofed Google email and auth sync

No post summary.

Комментарии (524)

Никогда не доверяйте входящим звонкам или письмам от неизвестных номеров/адресов, особенно если они создают ощущение срочности. Всегда перезванивайте по официальному номеру, найденному самостоятельно.
Никогда и никому не сообщайте коды двухфакторной аутентификации (2FA), полученные по SMS, через приложение или push-уведомления.
Отключите облачную синхронизацию кодов в Google Authenticator, так как это централизует риск и упрощает доступ злоумышленника ко всем аккаунтам при компрометации Google-аккаунта.
Используйте аппаратные ключи безопасности (например, YubiKey) для особо важных аккаунтов и не храните крупные суммы на биржах, предпочитая холодные кошельки.
Проверяйте полные заголовки писем при малейших подозрениях, однако в мобильном приложении Gmail на iOS такая возможность отсутствует, что является уязвимостью.
Не используйте аккаунт Google для восстановления доступа к другим сервисам и избегайте повторного использования паролей.
Сценарий атаки, скорее всего, основан на социальной инженерии: злоумышленник инициирует официальный процесс восстановления аккаунта Google, чтобы получить код 2FA, а не на подделке email через DKIM.
Криптобиржи (как Coinbase в данном случае) часто не имеют достаточных мер безопасности, таких как заморозка аккаунта после сброса пароля.
Осознайте, что любой человек, даже технически подкованный, может стать жертвой хорошо спланированной атаки, использующей психологическое давление и спешку.