Zadbaj o swoje konto Google

No serwus. Właśnie o###o mnie Google. A właściwie ruskie, przy pomocy słabych zabezpieczeń Google.

#google #googleads #złodzieje

No serwus. Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google". Szybka zmiana hasła na mocne jakieś i w------e, nie? Przecież mam weryfikację dwuetapową. Rano obudziłem się z SMSkiem z PKO BP, że moja karta bankowa została zablokowana o 7:40. Miałem lekkiego zonka, więc wbiłem do iPKO - karta rzeczywiście zablokowana, a z konta zniknęło 800 zł. Długo się głowiłem co jest grane. Po 18:00 wbiłem na google ads. Okazało się, że ktoś się w--------ł na moje konto (nie wiem jak nadal) i uwaga - założył kampanię promującą ruskie pornosy na terenie rosji. Po rosyjsku oczywiście. Limit dzienny? 450 z groszami. Naruchane 1060,00 zł - ściągnęli 800, bo dzwoniłem zaraz po SMSie do banku i blokowałem kartę. 

Jakim cudem ktoś to zrobił? Ano takim, że odkąd Google połączyło GMail ze Zdjęciami, każdy user ma tylko 15GB miejsca no i brakło, więc podpiąłem kartę do Google by wykupić 100gb w Google One. Okazuje się, że tworząc konto Google Ads po prostu wybierasz kartę podpiętą i c--j. Możesz na czyjś koszt n---------ć reklamy.

Niby mam odzyskać siano.

Pilnujcie się, sprawdzajcie swoje konta. Przed Ruskimi nie obroni nawet weryfikacja dwuetapowa. 

To chyba zemsta za wyzwiska w CSie.

[m.....1]

Nie obraź się, ale jesteś poszkodowanym tylko w wyniku swoich własnych działań.

Miliardy użytkowników mają podpięte normalne karty do swoich kont by opłacać YouTube Music, dodatkowe miejsce albo po prostu by skorzystać z płatności w telefonie przez Google Pay. Co jakiś czas Google wypytuje czy telefon oraz alternatywny mail jest aktualny oraz wysyła powiadomienia o nietypowych logowaniach.

Gdzie mają słabe zabezpieczenia? Mogłeś nawet włączyć sobie dwuetapowe uwierzytelnianie, logowanie za pomocą telefonu.

Do

[TazzIsBack]

@musztarda_1: problem w tym, że tak jak pisałem, mam weryfikację dwuetapową. Od 2014 roku. Nadal nie wiem, jak zostało to ominięte w moim przypadku. I nie obrażam się, spokojnie.

[m.....1]

Widzę po minusach, że jednak duża część osób tutaj kuleje jeżeli chodzi o wiedzę dot. finansów a co dopiero ich bezpieczeństwa. Mogę tylko takich pozdrowić, bo takim osobom przychodzi mi nieraz zamawiać coś przez Internet bo same się boją.

@TazzIsBack: Cieszę się, że tak tego nie odebrałeś. Z reguły w Internecie traktowane to jest jako atak "ad personam".

Niestety po zmianie hasła musisz przejrzeć też podpięte aplikacje do Google. Te wykorzystują API

[Chupacabraaa]

przy pomocy słabych zabezpieczeń Google.

Więc nie wiesz czy to Twoja wina czy Google ale jednak Google zawiniło? Bardzo ciekawe, jakiś nowy nieznany hack obchodzący 2FA posłużył do ukradnięcia 300$.

[teddybear69]

@Chupacabraaa nie trzeba obchodzić 2FA jeżeli OP jest lekkomyślny i dał srogie uprawnienia losowej apce OAuth

[teddybear69]

@undsame z opisu zdarzenia wynika, że odjeżeli ta losowa apka poprosi o zgodę na takie uprawnienie, a osoba bezmyślnie się na to zgodzi tak jak OP, to najwidoczniej może ona w imieniu OPa spiąć jego zapisaną kartę z kontem reklamowym i uruchomić kampanię. Trzeba czytać co za uprawnienia daje się apce.

[Official]

Nie rozumiem nadal w jaki niby sposób ktoś uzyskał możliwość zakładania w Twoim imieniu kampanii reklamowej.

[Official]

@TazzIsBack: znał hasło?

[n.....d]

@Official: dopuscil apke do swojego konta google. to wyraznie wynika z wpisu. wina uzyszkodnika nie google.

[cement32364]

Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google".

dałeś bez zastanowienia dostęp do swojego konta jakiejś ruskiej apce pewnie z jakiegoś kolorowego linka na facebooku i cie o-----i
jak jesteś debilem to konta nie uchroni nawet 10 factor authentication, po prostu z------ś i nie ma tu winy google

[ZaufanaTrzeciaStrona]

@TazzIsBack Jeśli nie dałeś się złapać na phishing to druga najbardziej prawdopodobna odpowiedź to złośliwe oprogramowanie, które ukradło ciasteczka z przeglądarki i w ten sposób złodziej mógł zalogować się jako ty.

[Sun_city]

@ZaufanaTrzeciaStrona: Możecie jaśniej to wytłumaczyć? Czy to w komputerze czy w telefonie i jak zapobiegać :)

[ZaufanaTrzeciaStrona]

@mxco88: @Sun_city: Jak zapobiegać? Nie instalować złośliwego oprogramowania na swoim komputerze :) W podstawowym ujęciu technika polega na skopiowaniu ciasteczek (a często całego profilu przeglądarki - zestawu wtyczek, rozdzielczości itp) do narzędzia złodzieja, który potem loguje się idealnie udając już zalogowany komputer wlaściciel konta (tylko z innego IP, ale pewnie proxy z tej samej okolicy / kraju). W sieci można kupić gotowe profile ofiar. Polecam lekturę https://zaufanatrzeciastrona.pl/post/gdzie-przestepcy-kupuja-dostepy-do-kont-polakow-i-polskich-firm/ oraz

[Promozet1]

A skad mieli twoje haslo?

[triathlonista]

Nie trzeba znać, wystarczy przechwycić sesję z twojego kompa.

@Moisze: co jest w zasadzie niewykonalne z zewnątrz bez ataku celowego. Nie siej paniki.

[sokollloman]

@Promozet1: wtyczka chrome ?

[SmakoszKotow]

Tak tak, wina google xDDDDDDDDDDDDDDDDDDDDDDDD

[P_i_o_t_R]

@SmakoszKotow: niestety jedyna bezpieczna forma płatności to jakieś dziwne karty z Żabki.

Więc można ich trochę winić za to że nie da się płacić np. blikiem

[o.....s]

Chyba @niebezpiecznik zachwalał gmail jako najbezpieczniejszy email

[janusz00]

@TazzIsBack:
podajesz hasło a tu nagle dodatkowa weryfikacja, w stylu podaj nr tel. przypisany do konta, nawet jeśli nie ma żadnego, email pomocniczy, poprzednie hasło itd. Jak się nie odpowie na dwa pytania to powtórka testu. A teraz się okazuje, że nawet da się obejść 2FA

[Logytaze]

wymuszenie zakupienia Google One lub blokada poczty po przekroczeniu 15GB to dramat.

@TazzIsBack: Po pierwsze nikt nie przystawiał tobie broni do skroni, abyś pisał o zmuszaniu do skorzystania z usługi. Po drugie miejsce na serwerze kosztuje, więc nie rozumiem za bardzo twojego płaczu o limit 15 GB.

[5da4266d3de6dbaf425a2d4fc16225d0]

@skk1993: Napisał wyraźnie w pierwszym zdaniu. Zalogował się przez OAuth kontem google w jakimś dziwnym serwisie, nie sprawdził listy "aplikacja będzie miała dostęp do..." i tyle.

[s.....3]

@5da4266d3de6dbaf425a2d4fc16225d0: No właśnie nie napisał.

Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google"

To jest pierwsze jego zdanie, on próbuje zaczarować świat, że to wina google, a pewnie było jak mówisz

[MrCreosote]

@Triptiz:

[Marek_B]

@MrCreosote: Trzeba nawet bardziej nic nie mieć, tzn. mieć wpis o zaleganiu do BIK, a i tak może nie pomóc, bo niektóre chwilówki lecą w kulki.