Online Design Platform Canva misbrukt av hackere for phishing

Dårlige skuespillere, spesielt de som fokuserer på svindel og phishing-e-post, har skiftet fokus på å utnytte skytjenester og elektroniske verktøy for kampanjene sine. Etter en økning i phishing-e-post ved hjelp av innhold som er vert på Microsofts Sway-presentasjonsplattform, har dårlige skuespillere også misbrukt den australske online grafiske designplattformen Canva for å være vert for svindel.

Som en online mediedesignplattform tilbyr Canva mange verktøy som hjelper vanlige brukere med å lage tiltalende presentasjoner og grafikk, og nå ser det ut til at hackere og dårlige skuespillere også vil ha en bit av den kaken. Mye ondsinnede e-poster som bruker filer som er designet og vert på Canva, har blitt rapportert av KnowBe4-brukere. Denne prosessen har pågått i hele 2020, og starter allerede i februar.

Falske merkenavn til Phish-ofre

Ordningen er enkel - dårlige skuespillere lager overbevisende bilder og maler som de kan bruke i phishing-e-postene deres og lokker brukere til å klikke på lenker som fører til eksterne ondsinnede nettsteder der legitimasjonen deres blir utfisket. Microsofts bilder og falske Microsoft forblir blant det hyppigst falske innholdet som brukes i disse phishing-e-postene , da merkevarepopularitet er en stor faktor innen sosialteknikk og kan gi mye troverdighet til en falsk melding eller bilde.

Denne økningen i ondsinnet aktivitet ved bruk av materiale som er vert på Canva, kommer i kjølvannet av et brudd på dataene i 2019. Tilbake i midten av 2019 brøt hackere Canvas databaser og klarte å sveipe påloggingsinformasjonen, inkludert e-post og krypterte passord, til over 130 millioner Canva-brukere, med betalingsinformasjon som ikke ble påvirket på noen måte. Etter hendelsen flyttet ikke Canva for å umiddelbart endre brukerpassord, kanskje avhengig av krypteringen som ble brukt for de eksisterende. Etter at 4 millioner dekrypterte Canva-brukerpassord ble lagt ut for salg online, flyttet selskapet imidlertid raskt for å endre alles passord.

Beskyttelse mot nettfisking starter med den menneskelige faktoren

Det er ikke å si at Canva ikke har iverksatt tiltak mot de ondsinnede bildene som er vert på stedet. Rapporterte ondsinnede filer blir aktivt tatt ned, men de forblir live i noen timer, noe som gir phishing-kampanjene bruk av disse filene litt tid til å påføre skade. Naturligvis er phishing-forsøk rapportert gjennom KnowBe4 statistisk sett en liten del av alt potensielt fullvolum av bilder som brukes til ondsinnede formål som er lagret på Canva.

Som med alle angrep som er sterkt avhengig av sosial ingeniørarbeid, bør phishing-forebygging og beskyttelse først og fremst forankres i personalopplæring. Bevissthet om nettadresser på sveve, dårlig formatering og grammatikk i angivelig offisielle e-postmeldinger, uoppfordrede og uventede dokumenter, bør alle være store røde tegn på at noe ikke stemmer.