Zadbaj o swoje konto Google

No serwus. Właśnie o###o mnie Google. A właściwie ruskie, przy pomocy słabych zabezpieczeń Google.

#google #googleads #złodzieje

No serwus. Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google". Szybka zmiana hasła na mocne jakieś i wyjebane, nie? Przecież mam weryfikację dwuetapową. Rano obudziłem się z SMSkiem z PKO BP, że moja karta bankowa została zablokowana o 7:40. Miałem lekkiego zonka, więc wbiłem do iPKO - karta rzeczywiście zablokowana, a z konta zniknęło 800 zł. Długo się głowiłem co jest grane. Po 18:00 wbiłem na google ads. Okazało się, że ktoś się wpierdolił na moje konto (nie wiem jak nadal) i uwaga - założył kampanię promującą ruskie pornosy na terenie rosji. Po rosyjsku oczywiście. Limit dzienny? 450 z groszami. Naruchane 1060,00 zł - ściągnęli 800, bo dzwoniłem zaraz po SMSie do banku i blokowałem kartę. 

Jakim cudem ktoś to zrobił? Ano takim, że odkąd Google połączyło GMail ze Zdjęciami, każdy user ma tylko 15GB miejsca no i brakło, więc podpiąłem kartę do Google by wykupić 100gb w Google One. Okazuje się, że tworząc konto Google Ads po prostu wybierasz kartę podpiętą i chuj. Możesz na czyjś koszt napierdalać reklamy.

Niby mam odzyskać siano.

Pilnujcie się, sprawdzajcie swoje konta. Przed Ruskimi nie obroni nawet weryfikacja dwuetapowa. 

To chyba zemsta za wyzwiska w CSie.

[m.....1]

Nie obraź się, ale jesteś poszkodowanym tylko w wyniku swoich własnych działań.

Miliardy użytkowników mają podpięte normalne karty do swoich kont by opłacać YouTube Music, dodatkowe miejsce albo po prostu by skorzystać z płatności w telefonie przez Google Pay. Co jakiś czas Google wypytuje czy telefon oraz alternatywny mail jest aktualny oraz wysyła powiadomienia o nietypowych logowaniach.

Gdzie mają słabe zabezpieczenia? Mogłeś nawet włączyć sobie dwuetapowe uwierzytelnianie, logowanie za pomocą telefonu.

Do

[TazzIsBack]

@musztarda_1: problem w tym, że tak jak pisałem, mam weryfikację dwuetapową. Od 2014 roku. Nadal nie wiem, jak zostało to ominięte w moim przypadku. I nie obrażam się, spokojnie.

[m.....1]

Widzę po minusach, że jednak duża część osób tutaj kuleje jeżeli chodzi o wiedzę dot. finansów a co dopiero ich bezpieczeństwa. Mogę tylko takich pozdrowić, bo takim osobom przychodzi mi nieraz zamawiać coś przez Internet bo same się boją.

@TazzIsBack: Cieszę się, że tak tego nie odebrałeś. Z reguły w Internecie traktowane to jest jako atak "ad personam".

Niestety po zmianie hasła musisz przejrzeć też podpięte aplikacje do Google. Te wykorzystują

[Chupacabraaa]

przy pomocy słabych zabezpieczeń Google.

Więc nie wiesz czy to Twoja wina czy Google ale jednak Google zawiniło? Bardzo ciekawe, jakiś nowy nieznany hack obchodzący 2FA posłużył do ukradnięcia 300$.

[teddybear69]

@Chupacabraaa nie trzeba obchodzić 2FA jeżeli OP jest lekkomyślny i dał srogie uprawnienia losowej apce OAuth

[teddybear69]

@undsame z opisu zdarzenia wynika, że odjeżeli ta losowa apka poprosi o zgodę na takie uprawnienie, a osoba bezmyślnie się na to zgodzi tak jak OP, to najwidoczniej może ona w imieniu OPa spiąć jego zapisaną kartę z kontem reklamowym i uruchomić kampanię. Trzeba czytać co za uprawnienia daje się apce.

[Official]

Nie rozumiem nadal w jaki niby sposób ktoś uzyskał możliwość zakładania w Twoim imieniu kampanii reklamowej.

[Official]

@TazzIsBack: znał hasło?

[n.....d]

@Official: dopuscil apke do swojego konta google. to wyraznie wynika z wpisu. wina uzyszkodnika nie google.

[cement32364]

Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google".

dałeś bez zastanowienia dostęp do swojego konta jakiejś ruskiej apce pewnie z jakiegoś kolorowego linka na facebooku i cie #!$%@?
jak jesteś debilem to konta nie uchroni nawet 10 factor authentication, po prostu #!$%@?łeś i nie ma tu winy google

[ZaufanaTrzeciaStrona]

@TazzIsBack Jeśli nie dałeś się złapać na phishing to druga najbardziej prawdopodobna odpowiedź to złośliwe oprogramowanie, które ukradło ciasteczka z przeglądarki i w ten sposób złodziej mógł zalogować się jako ty.

[Sun_city]

@ZaufanaTrzeciaStrona: Możecie jaśniej to wytłumaczyć? Czy to w komputerze czy w telefonie i jak zapobiegać :)

[ZaufanaTrzeciaStrona]

@mxco88: @Sun_city: Jak zapobiegać? Nie instalować złośliwego oprogramowania na swoim komputerze :) W podstawowym ujęciu technika polega na skopiowaniu ciasteczek (a często całego profilu przeglądarki - zestawu wtyczek, rozdzielczości itp) do narzędzia złodzieja, który potem loguje się idealnie udając już zalogowany komputer wlaściciel konta (tylko z innego IP, ale pewnie proxy z tej samej okolicy / kraju). W sieci można kupić gotowe profile ofiar. Polecam lekturę https://zaufanatrzeciastrona.pl/post/gdzie-przestepcy-kupuja-dostepy-do-kont-polakow-i-polskich-firm/ oraz https://zaufanatrzeciastrona.pl/post/tag/antyfingerprinting/

[Promozet1]

A skad mieli twoje haslo?

[triathlonista]

Nie trzeba znać, wystarczy przechwycić sesję z twojego kompa.

@Moisze: co jest w zasadzie niewykonalne z zewnątrz bez ataku celowego. Nie siej paniki.

[sokollloman]

@Promozet1: wtyczka chrome ?

[SmakoszKotow]

Tak tak, wina google xDDDDDDDDDDDDDDDDDDDDDDDD

[P_i_o_t_R]

@SmakoszKotow: niestety jedyna bezpieczna forma płatności to jakieś dziwne karty z Żabki.

Więc można ich trochę winić za to że nie da się płacić np. blikiem

[triathlonista]

Więc można ich trochę winić za to że nie da się płacić np. blikiem

@P_i_o_t_R: w tym kraju nigdy #!$%@? nie będzie normalnie.

[o.....s]

Chyba @niebezpiecznik zachwalał gmail jako najbezpieczniejszy email

[janusz00]

@TazzIsBack:
podajesz hasło a tu nagle dodatkowa weryfikacja, w stylu podaj nr tel. przypisany do konta, nawet jeśli nie ma żadnego, email pomocniczy, poprzednie hasło itd. Jak się nie odpowie na dwa pytania to powtórka testu. A teraz się okazuje, że nawet da się obejść 2FA

[Logytaze]

wymuszenie zakupienia Google One lub blokada poczty po przekroczeniu 15GB to dramat.

@TazzIsBack: Po pierwsze nikt nie przystawiał tobie broni do skroni, abyś pisał o zmuszaniu do skorzystania z usługi. Po drugie miejsce na serwerze kosztuje, więc nie rozumiem za bardzo twojego płaczu o limit 15 GB.

[s.....3]

Okazuje się, że tworząc konto Google Ads po prostu wybierasz kartę podpiętą i #!$%@?.Możesz na czyjś koszt #!$%@?ć reklamy.

Przecież to się kupy nie trzyma. Żeby ktoś wybrał Twoją kartę podpiętą do google musi mieć dostęp do Twojego konta. Nie opisujesz tu jak straciłeś dostęp do niego, lub jak ktoś inny uzyskał, a to kluczowe.

[5da4266d3de6dbaf425a2d4fc16225d0]

@skk1993: Napisał wyraźnie w pierwszym zdaniu. Zalogował się przez OAuth kontem google w jakimś dziwnym serwisie, nie sprawdził listy "aplikacja będzie miała dostęp do..." i tyle.

[s.....3]

@5da4266d3de6dbaf425a2d4fc16225d0: No właśnie nie napisał.

Wczoraj dostałem maila, że "Aplikacja Unnamed script" otrzymała dostęp do mojego konta Google"

To jest pierwsze jego zdanie, on próbuje zaczarować świat, że to wina google, a pewnie było jak mówisz

[MrCreosote]

@Triptiz:

[Marek_B]

@MrCreosote: Trzeba nawet bardziej nic nie mieć, tzn. mieć wpis o zaleganiu do BIK, a i tak może nie pomóc, bo niektóre chwilówki lecą w kulki.