Uzmanlar, Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger ve OneDrive gibi hizmetlerdeki kullanıcı profillerinde depolanan kişisel bilgileri çalmak için yem olarak Windows Live ID’yi kullanan yeni bir dolandırıcılıkla ilgili olarak uyarılarda bulundu. Bu dolandırıcılık şöyle işliyor; Kullanıcılar Windows Live ID hesaplarının istenmeyen e-postalar dağıtmak için kullanıldığını ve bu nedenle hesaplarının engelleneceğine dair bir e-posta uyarıları alıyor. Hesaplarının engellenmesini önlemek için kullanıcılardan, hizmetin yeni güvenlik gereksinimlerine uyum sağlamak için bir bağlantıyı takip etmeleri ve bilgilerini güncellemeleri isteniyor.
Kimlik avcılığı
Bu, oldukça tipik bir kimlik avcılığı e-postası gibi görünmekte. Kurbanların kendilerini resmi Windows Live sayfası gibi gösteren sahte sitelere götüren bağlantıları tıklatmaları bekleniyor. Girdikleri veriler dolandırıcılara gönderilecek. Ancak KasperskyLabb uzmanları, sahte e-postadaki bu bağlantıların gerçekten de Windows Live web sitesine gittiğini ve kurbanların oturum bilgileri ve parolalarının çalınmasıyla bağlantılı hiçbir girişim olmadığını gördüklerinde şaşırdılar. E-postadaki bağlantıyı takip eden ve hesabını resmi live.com sitesinde başarıyla tanımlayan kullanıcılar hizmetten ilginç bir talep alıyorlar: “hesapta otomatik olarak oturum açmak, profil bilgilerini ve kişiler listesini görüntülemek ve kullanıcının kişisel ve iş e-posta adreslerinin listesine erişim için uygulama tarafından talep edilen bir izin”.
Saldırı amaçlı
Dolandırıcılar bu tekniğe, OAuth yetkilendirme açık protokolündeki güvenlik açıkları sayesinde erişim sağladılar. “Evet” seçeneğini tıklatan kullanıcılar oturum ve parola bilgilerini vermiyor ancak kişisel bilgilerini, kişiler listesinin e-posta adreslerini ve arkadaşlarının takma adlarını ve gerçek adlarını vermiş oluyor. Ayrıca randevu ve önemli faaliyet listeleri gibi parametrelere erişim sağlamak için izin elde ediyorlar. Bu bilgiler büyük olasılıkla, kurbanın adres defterindeki kişilere istenmeyen e-postalar göndermek veya kimlik avcılığı saldırıları başlatmak gibi dolandırıcılıklar için kullanılacak.
