CSIS Blog: 22,000 fisket i Hotmail kampagne

I sidste uge blev Danmark udsat for en massiv phishing kampagne, hvor Microsoft Hotmail blev misbrugt som fluepapir.

Vi advarede omkring denne kampagne på vores hjemmeside med overskriften "Fiskekampagne jagter Hotmail logins"
https://www.csis.dk/da/csis/blog/3633/

Hvordan og hvorfor?
Ofte spørger vi os selv om hvad der gør en phishing kampagn effektiv, og i dette tilfælde er svaret ret ligetil. Denne kampagne blev rullet ud i én voldsom bølge som åbenlyst skyllede forbi samtlige spam og mailfiltre. Derudover var kampagnen rettet imod Microsoft Hotmail, hvilket tilsyneladende også har gjort at denne kampagne blev en sucess for de it-kriminelle.

22,000 brugere opgav data til phishere
Når vi gør skaderne op kan de være svære at vurdere men faktum er at CSIS har været i stand til at udtrække de data der er blevet fisket via denne kampagne og de afslører at hele 22,000 danskere hoppede på limpinden - og udfra de data vi har korreleret ser det ud til, at der er ca. end 16,000 valide brugernavne og passwords til Microsoft Hotmail. Vi antager at passwords som f.eks. "fuckyou" og "dummass" er en hilsen til fiskeren :-)

Fra datalækage til Nigeria svindel
Måske er en sådan lækage i sig selv ikke et stort problem, men lad os slå fast med det samme: der er en grund til at der fiskes efter Hotmail konti! En af grundene kan være at en Hotmail konto kan bruges til at nulstille passwords på tværs af andre tjenester og en anden er, at de kan misbruges til at igangsætte en anden kampagne mod venner og bekendte der udspringer fra en legitim Hotmail konto. Det er ofte den type tricks som Nigeria (419) svindlere gør brug af, men det kan også misbruges til at lokke ofret til at klikke på et link der kan flytte dem mod en fjendtlig webside (drive-by) der kan give virus.

Herunder præsenterer vi et lille udsnit af de mange kompromitterede konti.


CSIS har naturligvis kontaktet Microsoft og videregivet de lækkede data. Personer som optræder på listen kan forvente at deres password vil blive nulstillet. Vi antager at de i den forbindelse vil blive kontaktet direkte af Microsoft.

Udover at data er sendt til Microsoft har vi også parset de mange data ind i vores Threat Detection service, så vores kunder automatisk notificeres omkring lækagen.

Vores arbejde er gjort her ...