Passkey не спасли: фишеры нашли способ вытащить весь парольный сейф Google

Passkey не спасли: фишеры нашли способ вытащить весь парольный сейф Google

Passkey не спасли: фишеры нашли способ вытащить весь парольный сейф Google

Исследователи описали новую фишинговую технику VaultJacking, которая бьёт не по паролям и даже не по самим ключам доступа (passkey), а по куда более удобной цели — синхронизации Google Password Manager. Атакующему достаточно выманить у пользователя шестизначный ПИН от менеджера паролей Google, чтобы получить доступ ко всему хранилищу учётных данных.

Схема строится на классической атаке «Злоумышленник посередине» (AiTM). Жертву заводят на поддельную, но убедительную страницу входа Google, где у неё перехватывают логин, пароль, сессионные cookies и тот самый ПИН от Google Password Manager.

После получения ПИН злоумышленники могут добавить своё устройство в доверенную группу устройств, которым разрешён доступ к синхронизированным учётным данным. Затем они получают Security Domain Secret (SDS), который позволяет расшифровать содержимое хранилища уже на атакующей системе.

 

Главная подлость VaultJacking в том, что атака обходит привычную логику защиты passkey. На уровне отдельных сайтов passkey действительно остаются устойчивыми к фишингу благодаря привязке WebAuthn к домену. Но здесь атакующие не пытаются войти на конкретный сайт. Они вытаскивают ключи ниже уровнем — из инфраструктуры синхронизации.

По данным исследователей Phishu, техника работает даже против аккаунтов, где используются passkey, включая аппаратно защищённые реализации. После перехвата ПИН атакующие могут зарегистрировать собственный passkey в аккаунте жертвы, закрепиться в нём и затем синхронизировать пароли, метаданные и другие сохранённые учётные данные в свою среду.

 

Результат — не точечный угон одного аккаунта, а потенциальный доступ сразу ко всему: почте, банкингу, корпоративным сервисам, криптовалютным платформам и другим ресурсам, данные от которых лежали в Google Password Manager.

Особенно неприятно, что пользователь может почти ничего не заметить. Максимум — стандартные письма о новом входе или добавлении нового passkey. Пуш-уведомлений или обязательного подтверждения с уже доверенного устройства, по словам исследователей, в этой цепочке нет. А если атакующие успели залезть ещё и в почтовый ящик, такие уведомления можно просто прибрать с глаз долой.

Проблема здесь не в криптографии passkey как таковой. Она в том, как защищён доступ к синхронизированному хранилищу. Google делает ставку на удобство и восстановление доступа через короткий ПИН, но именно это превращает ПИН в лакомую цель для фишинга.

 

Для сравнения: в экосистеме Apple iCloud Keychain подключение нового устройства требует явного подтверждения с уже доверенного устройства. Такой подход менее удобен, зато сильно усложняет сценарии, где злоумышленник пытается тихо подсосаться к хранилищу с нового окружения.

Подпишитесь на новости

В авиабилеты россиян могут добавить до 1000 рублей на новые самолёты

В России обсуждают новый сбор с авиапассажиров, который должен помочь оплатить лизинг и эксплуатацию отечественных самолётов. Предварительно речь идёт о сумме до 500 рублей за билет на внутренний рейс и до 1000 рублей — на международный.

Инициативу прорабатывают Минтранс, Минпромторг и «Ростех», выяснил «Коммерсантъ».

Никаких окончательных решений пока нет: власти ещё не утвердили ни размер платежа, ни методику его взимания. Один из источников называет и более интересные цифры — до 700 рублей внутри страны и до 2000 рублей за зарубежный рейс.

При пассажиропотоке 2025 года сбор мог бы приносить от 68 до 84 млрд рублей ежегодно. В общей сложности за 2027-2030 годы планируется собрать порядка 200-250 млрд рублей.

Деньги предполагается направлять лизинговым компаниям для покрытия разницы между себестоимостью самолётов и льготной ценой для перевозчиков. Часть средств могут получить авиакомпании, которым предстоит эксплуатировать новые машины: на первых этапах российские самолёты дороже западных аналогов не только при покупке, но и в обслуживании. Отдельно обсуждается компенсация расходов на авиатопливо.

Например, себестоимость первых МС-21 оценивается в 8,9-11 млрд рублей, тогда как Airbus A320–200 — примерно в 3,4-3,6 млрд. SJ-100 может обходиться в 5,4 млрд рублей против около 3 млрд за Embraer E190.

Предполагается, что после 2030 года серийное производство снизит стоимость российских самолётов и сбор станет не нужен. Но пассажирам обещание, что это временно наверняка покажется подозрительно знакомым.

Эксперты предупреждают: дополнительная нагрузка поднимет цены на билеты и может снизить пассажиропоток, а вместе с ним — доходы авиакомпаний, аэропортов и бюджета. Поэтому оплачивать первые годы эксплуатации новых самолётов предлагают из казны. Впрочем, там свободных кресел тоже почти не осталось.

RSS: Новости на портале Anti-Malware.ru