मैं लक्षित फ़िशिंग का शिकार बनने से सात शब्द था

तीन हफ्ते पहले, मुझे कैम्ब्रिज विश्वविद्यालय से एक बहुत ही चापलूसी भरा पत्र मिला जिसमें अर्थशास्त्र में एडम स्मिथ पुरस्कार के न्यायाधीश के रूप में कार्य करने का प्रस्ताव था:

प्रिय रॉबर्ट,

मेरा नाम ग्रेगरी हैरिस है। मैं एडम स्मिथ पुरस्कार आयोजकों में से एक हूं।

हर साल हम प्रतिस्पर्धा करने वाली परियोजनाओं की गुणवत्ता का आकलन करने के लिए स्वतंत्र विशेषज्ञों की एक टीम को अपडेट करते हैं: http://people.ds.cam.ac.uk/grh37/awards/Adam_Smith_Prize

हमारे सहयोगियों ने आपको इस क्षेत्र में एक अनुभवी विशेषज्ञ के रूप में सिफारिश की है।

हमें एडम स्मिथ पुरस्कार के लिए कई परियोजनाओं के मूल्यांकन में आपकी सहायता की आवश्यकता है।

आपके जवाब का इंतजार रहेगा।

सादर, ग्रेगरी हैरिस

मैं खुद को अर्थशास्त्र में "विशेषज्ञ" नहीं कहूंगा, लेकिन विश्वविद्यालय का अनुरोध अविश्वसनीय नहीं था। मेरे पास द इकोनॉमिस्ट की सदस्यता है, और मैं समझता हूं - बहुत ही बेरहमी से - कैसे और क्यों केंद्रीय बैंक ब्याज दरों को निर्धारित करते हैं। मैंने 21 वीं शताब्दी में पूंजी पढ़ी और मूल रूप से पहली छमाही का सार समझा। मेरे ब्लॉग पर कई पोस्ट "अर्थव्यवस्था" के साथ टैग किए गए हैं। शायद मैं कंप्यूटिंग अर्थशास्त्र के नए अनुशासन में कुछ योगदान दे सकता हूं। कुल मिलाकर, यह काफी संभावना थी कि एडम स्मिथ पुरस्कार के आयोजक मेरी बात सुनना चाहेंगे। मैंने बहुत सारे अवैतनिक काम किए, लेकिन फिर भी यह पेशकश बहुत सुखद थी।

हालाँकि, मुझे यह महसूस हुआ कि एक गलतफहमी थी। अचानक, मैं सैन डिएगो में कैलिफोर्निया विश्वविद्यालय के कुछ प्रोफेसर होबर्ट रिटन के साथ रॉबर्ट हेटन के साथ उलझन में था, हेक्सशर के व्यापार सिद्धांत में एक विशेषज्ञ - ओलिन, जो कि पारगमन सहयोग के माध्यम से कैरियर बनाने के अवसर का इंतजार कर रहा है। फिर भी, मैंने इस धागे को खींचने का फैसला किया और फंतासी को थोड़ा गुदगुदाया।

Reflexively, मैंने कुछ बुनियादी सुरक्षा जांच की। ईमेल @cam.ac.uk से भेजा गया था। मैंने पत्र में लिंक पर माउस http://people.ds.cam.ac.uk/grh37/awards/Adam_Smith_Prize - http://people.ds.cam.ac.uk/grh37/awards/Adam_Smith_Prize । उसने उसी URL को इंगित किया, जो मान्य cam.ac.uk . cam.ac.uk उपडोमेन पर पाठ में है। यह मुझे थोड़ा अजीब लगा कि पृष्ठ अर्थशास्त्र के संकाय के पेज के बजाय व्यक्तिगत निर्देशिका grh327 में रखा गया है; लेकिन ठीक है, यह शायद इतनी कम नौकरशाही है। मैंने लिंक का अनुसरण किया और एडम स्मिथ पुरस्कार के इतिहास के बारे में थोड़ा पढ़ा।

यदि "ग्रेगरी" ने इस पृष्ठ पर केवल सात अतिरिक्त शब्द जोड़े हैं: "पेज को मोज़िला फ़ायरफ़ॉक्स ब्राउज़र में देखा जाना चाहिए" - मैं निश्चित रूप से इसे खराब कर दूंगा। लेकिन उस पर और बाद में।

तब मैं cam.ac.uk के cam.ac.uk और यह सुनिश्चित किया कि यह वास्तव में कैम्ब्रिज विश्वविद्यालय का डोमेन था। मैंने जल्दी से कैम्ब्रिज के ग्रेगरी हैरिस को गुगली दी, लेकिन बहुत कम पाया। मैं कुछ लिंक्डइन खाते को अस्पष्ट रूप से याद करता हूं। लेकिन यह सामान्य है, हर किसी का ट्विटर प्रोफाइल या पाक ब्लॉग नहीं है।

मुझे याद है कि ग्रेगरी को लिखा गया पत्र मुझे बहुत छोटा और खराब लगा। मैंने यह भी सोचा था कि उसके लिए कुछ सबक लेना अच्छा होगा कि कैसे इंटरनेट पर अजनबियों से उसके लिए मुफ्त काम करने के लिए प्रभावी ढंग से पूछें। वह भाग्यशाली थे कि मुझे इस तरह की तिपहिया की परवाह नहीं थी। वह भाग्यशाली भी था कि मुझे इस बात की परवाह नहीं थी कि वह वाक्य में "चूक" गया था, We need your assistance in evaluating several projects for Adam Smith Prize । जाहिरा तौर पर, मैंने यह भी ध्यान नहीं दिया कि उन्होंने "आयोजकों" को एक बड़े अक्षर के साथ लिखा था और उन्हें यह समझ में नहीं आया कि एक पैराग्राफ में एक से अधिक वाक्य हो सकते हैं।

उस समय, मैंने सिर्फ यह सोचा था कि वह बहुत अच्छे लेखक नहीं थे।

मैंने ग्रेगरी को एक संक्षिप्त उत्तर भेजा, जिसमें पहले से रुचि व्यक्त की थी और अधिक जानकारी मांगी थी।

हैलो ग्रेगरी

आपके ईमेल के लिए धन्यवाद। निश्चित रूप से मुझे दिलचस्पी है। क्या आप इसके बारे में थोड़ा और बता सकते हैं कि इसके लिए क्या आवश्यक है और किसने मेरी सिफारिश की?

ऑल द बेस्ट रॉब

ग्रेगरी ने तुरंत जवाब दिया - मैं व्यापार में था!

हेलो रॉब

त्वरित उत्तर के लिए धन्यवाद।

आपकी उम्मीदवारी कैलिफोर्निया, सैन फ्रांसिस्को विश्वविद्यालय से प्राप्त उम्मीदवारों की सूची में थी।

हम आपको कई परियोजनाओं का विवरण और उनके मूल्यांकन के लिए प्रश्नों और मानदंडों की एक सूची भेजेंगे।

मुझे लगता है कि जून के मध्य तक योजना तैयार हो जाएगी।

सबसे अच्छा संबंध है, ग्रेगरी

मुझे किसी तरह का छलावा लगने लगा। गरीब होबर्ट रिटन सैन डिएगो में अपने कार्यालय में अकेले बैठते हैं और आश्चर्य करते हैं कि कोई भी उन्हें प्रतियोगिता का न्याय करने के लिए आमंत्रित क्यों नहीं कर रहा है। मैंने अपने नए दोस्त ग्रेगरी के साथ अपने संदेह साझा करने का फैसला किया, अपने कौशल के बारे में संदेह नहीं छिपाया। यदि वह अब भी मुझे प्रतियोगिता में ले जाना चाहता है, तो यह मेरी गलती नहीं है।

हैलो ग्रेगरी

मैं सोचने लगा हूं, अचानक किसी तरह का भ्रम हो गया था। मैंने पॉल क्रुगमैन की कई किताबें पढ़ीं, लेकिन मैंने कभी अर्थशास्त्र का अध्ययन या अध्ययन नहीं किया। मैं एक सॉफ्टवेयर इंजीनियर हूँ - यह मेरा व्यवसाय और शिक्षा (https://www.linkedin.com/in/robertjheaton/) है। आप इस बारे में क्या सोचते हैं? क्या सैन फ्रांसिस्को में एक और रॉबर्ट हेटन है जो अर्थव्यवस्था के बारे में थोड़ा और जानता है?

लूटना

हालांकि, ग्रेगोरी सहमत थे (मुझे उम्मीद से तेज) कि कोई गलती हो गई होगी।

हेलो रॉब

हां, एक गलती संभव है। मैं सहयोगियों के साथ परामर्श करूंगा और शीघ्र ही आपसे संपर्क करूंगा।

सबसे अच्छा संबंध है, ग्रेगरी

यही वह आखिरी चीज थी जो मैंने ग्रेगरी हैरिस से सुनी थी। ऐसा लग रहा था कि कहानी खत्म हो गई है।

लेकिन शुक्रवार को कॉइनबेस से एक पत्र आया:

स्वागत

आपको हाल ही में ग्रेगरी हैरिस या नील मॉरिस नाम के एक व्यक्ति से एक ईमेल प्राप्त हुआ है जो कैम्ब्रिज विश्वविद्यालय के आयोजकों के रूप में प्रस्तुत कर रहा है। ये एक उन्नत हमलावर से संबंधित नकली प्रोफाइल हैं जो आपके कंप्यूटर पर मैलवेयर इंस्टॉल करने की कोशिश कर रहे हैं ...

यदि आप इसके बारे में सोचते हैं, तो यह वास्तव में समझ में आया।

मैं लगभग एक तकनीकी रूप से उन्नत लक्षित फ़िशिंग अभियान का शिकार हो गया। जहां तक ​​मैं समझ सकता हूं (यह स्पष्ट रूप से कहीं भी नहीं लिखा गया था, और मैं अच्छी तरह से गलत हो सकता है), हमलावरों ने कैम्ब्रिज विश्वविद्यालय में ईमेल खातों और वेब पेजों से समझौता किया, जिसके मालिक ग्रेगरी हैरिस और नील मॉरिस नाम के दो लोग थे। इसके बाद उन्होंने इन खातों का उपयोग एक पीड़ित व्यक्ति को http://people.ds.cam.ac.uk पर दो समझौता पृष्ठों में से एक पर जाने के लिए प्रोत्साहित करने के लिए एक फ़िशिंग अभियान चलाने के लिए किया। यदि पीड़ित फ़ायरफ़ॉक्स ब्राउज़र का उपयोग करता है, तो पृष्ठ पर दुर्भावनापूर्ण जावास्क्रिप्ट का फ़ायरफ़ॉक्स में 0-दिन की भेद्यता का उपयोग किया जाता है , जो शोषण को ब्राउज़र में सैंडबॉक्स से परे जाने और मैलवेयर को सीधे ऑपरेटिंग सिस्टम में चलाने की अनुमति देता है।

मैंने ग्रेगरी हैरिस द्वारा भेजे गए लिंक का कई बार लापरवाही की। सौभाग्य से, मैंने क्रोम का उपयोग किया, इसलिए दुर्भावनापूर्ण जावास्क्रिप्ट शोषण ने कुछ नहीं किया। लेकिन अगर हमलावरों ने थोड़ा सा किया और पेज की शुरुआत में केवल सात शब्द जोड़े "पेज को मोज़िला फ़ायरफ़ॉक्स ब्राउज़र में देखा जाना चाहिए" - मेरा बलात्कार हुआ होगा। मैं बेवकूफ वेब डेवलपर्स पर हंसूंगा, जिन्होंने अभी तक मूल क्रॉस-ब्राउज़र संगतता को लागू नहीं किया है, और फ़ायरफ़ॉक्स में लिंक की प्रतिलिपि बनाने में आसानी होगी। यह भी स्पष्ट नहीं है कि हमलावरों ने क्यों नहीं किया। शायद पृष्ठ की सामग्री पर उनका पूर्ण नियंत्रण नहीं था या उन्होंने यथासंभव यथासंभव कार्य करने का प्रयास किया।

प्रारंभ में, हमलावर ने सिक्काबेस क्रिप्टोक्यूरेंसी एक्सचेंज में कर्मचारियों को लक्षित किया। लेकिन उन्होंने जल्द ही अभियान का विस्तार व्यापक रूप से क्रिप्टोक्यूरेंसी से जुड़े लोगों के व्यापक दर्शकों के लिए किया। वे शायद ब्लॉकचैन के हमारे मीठे, अनछुए टुकड़ों को चुराना चाहते थे। किसी भी मामले में, वे भाग्यशाली नहीं थे, क्योंकि मैंने कभी भी किसी भी क्रिप्टोक्यूरेंसी का स्वामित्व नहीं किया, सिवाय कुछ स्टेलर के, जो मुझे मुफ्त में मिले और अपना पासवर्ड भूल गए। यदि उन्होंने या कुछ अन्य पुरुष-निर्माताओं ने उन्हें वापस करने में मदद की, तो मैं बहुत आभारी रहूंगा।

दो वास्तविक प्रोफाइल, एक 0-दिन फ़ायरफ़ॉक्स भेद्यता और क्रिप्टोक्यूरेंसी से जुड़े लोगों के ईमेल पते की सूची (प्लस मेरे) को देखते हुए, हमलावरों को काम करना पड़ा। उन्होंने अपनी क्षमताओं और महत्व में निर्दोष लोगों के थोड़े से दंभपूर्ण दंभ का बेरहमी से शोषण किया - और उन सभी के साथ एक ट्रोजन संक्रमित किया जिन्होंने मैकओएस पर फ़ायरफ़ॉक्स में लिंक खोला था। फ़ायरफ़ॉक्स कमजोरियाँ अब तय हो गई हैं, और फ़िशिंग ईमेल से वेब पेज हटा दिए जाते हैं। लेकिन मुझे आश्चर्य होगा कि अगर कम से कम कुछ लोग सातोशी या एक अरब पर नहीं मिले।

इस कहानी में कैम्ब्रिज विश्वविद्यालय की क्या भूमिका है, यह निश्चित नहीं है। मुझे नहीं पता कि क्या "ग्रेगरी हैरिस" और "नील मॉरिस" वास्तविक लोग हैं जिनके विश्वविद्यालय के खातों से छेड़छाड़ की गई थी, या ये फर्जी व्यक्तित्व उन लोगों द्वारा बनाए गए हैं जिन्होंने पूरे विश्वविद्यालय के कंप्यूटिंग सिस्टम से समझौता किया है, या मुझे अभी समझ में नहीं आया कि क्या हुआ। बस के मामले में, मैं सार्वजनिक रूप से ग्रेगरी या नील के ऑनलाइन जीवन में अपनी नाक नहीं जमाना चाहता, अगर ये असली लोग हैं, लेकिन मुझे दृढ़ता से संदेह है कि ये अभी भी नकली खाते हैं। यह एक पूरी तरह से निराधार धारणा है, साथ ही साथ जो कुछ भी है, इसलिए यदि आप कैम्ब्रिज विश्वविद्यालय में काम करते हैं, तो कृपया मुझ पर नफरत की किरणें न भेजें। कृपया हमें बताएं कि वास्तव में क्या हुआ था।

मुझे उनके कथित लिंक्डइन प्रोफाइल को छोड़कर ग्रेगरी हैरिस या नील मॉरिस का कोई संकेत ऑनलाइन नहीं मिला। एक बार फिर, यह सामान्य है। हर किसी के पास Instagram या Star Wars प्रशंसक नहीं हैं। हालाँकि, हाल ही में ग्रेगरी हैरिस के लिंक्डइन प्रोफाइल को हटा दिया गया है - वह अभी भी Google खोज पर दिखाई देता है लेकिन लिंक्डइन पर उपलब्ध नहीं है। और जबकि नील मॉरिस की प्रोफ़ाइल अभी भी है, यह संभवतः नकली है।

पहली नज़र में, नील की प्रोफ़ाइल उचित रूप से उचित लगती है।



लेकिन एक त्वरित Google खोज से पता चलता है कि विवरण किसी अन्य लिंक्डइन प्रोफ़ाइल से कॉपी किया गया है।



मेरे संदेह की पुष्टि करने के लिए यह मेरे लिए पर्याप्त है। लेकिन अगर आप करीब से देखेंगे, तो हमें कुछ और मजेदार जानकारियां मिलेंगी:

• नील का अपने गुरु की डिग्री के बारे में वर्णन थोड़ा अजीब है। उन्होंने लिखा "पांच पाठ्यक्रम और एक थीसिस," लेकिन फिर केवल चार पाठ्यक्रमों को सूचीबद्ध करता है।
  
  
  
• नील ने हाई स्कूल में सात साल बिताए। यह यूके में मानक है। लेकिन उनके पिछले दो साल, जाहिर है, विश्वविद्यालय में पहले दो वर्षों के साथ मेल खाते थे। इसका कोई मतलब नहीं है।
  
• नील ने अपनी पूर्व-विश्वविद्यालय शिक्षा को "हाई स्कूल" के रूप में वर्णित किया। हमारे पास यूके में कोई "हाई स्कूल" नहीं है - हम इसे "सेकेंडरी स्कूल" कहते हैं। यह समझ में आ सकता है कि नील एक अमेरिकी था या एक अमेरिकी दर्शकों के साथ संवाद करने की कोशिश कर रहा था, लेकिन इसका कोई संकेत नहीं है।
  
  
  
• लिंक्डइन प्रोफाइल फोटो। - स्टॉक फोटो कैम्ब्रिज यूनिवर्सिटी। पहले तो मैंने ध्यान नहीं दिया, लेकिन पूर्वगामी के प्रकाश में, यह थोड़ा अजीब लगता है। क्या वह वास्तव में अपने विश्वविद्यालय से इतना प्यार करता है कि वह अपनी तस्वीर को अपने पेशेवर प्रोफ़ाइल में उपयोग करता है? एक कार्यालय की तस्वीर भी नहीं, लेकिन एक विश्वविद्यालय? यह अधिक संभावना है कि कोई व्यक्ति एक नकली प्रोफ़ाइल बनाने की कोशिश कर रहा है जो आकस्मिक पाठक को बताता है: "मैं कैम्ब्रिज विश्वविद्यालय में काम करता हूं, देखने के लिए कुछ भी नहीं है।"

नील, यदि आप मौजूद हैं और यह आपकी वास्तविक लिंक्डइन प्रोफ़ाइल है, तो मुझे क्षमा करें। लेकिन अगर आप इतने वास्तविक व्यक्ति हैं, तो आपने किसी और के आत्म-वर्णन की नकल क्यों की?

मुझे नहीं लगता कि फ़िशिंग ईमेल में लिंक पर क्लिक करने के लिए यह मेरी ओर से एक निरीक्षण था। cam.ac.uk उपडोमेन पर 0-दिन के ब्राउज़र भेद्यता के लिए शोषण मेरे व्यक्तिगत खतरे के मॉडल का हिस्सा नहीं है, और मुझे लगता है कि यह उचित है। सुरक्षा को व्यावहारिकता के साथ संतुलित किया जाना चाहिए। ट्रस्ट नेटवर्क पर GPG हस्ताक्षर के साथ दुनिया में कुछ भी हस्ताक्षर करना संभव नहीं है जो ब्रूस श्नाइयर की ओर जाता है। हालाँकि, मेरा ट्विटर निजी बयानों में इस बयान की आलोचना करने के लिए पहले से ही तैयार है।

हालांकि, इस प्रकरण ने अविश्वसनीय अजीबता की भावना को छोड़ दिया। यद्यपि कहानी खुशी से समाप्त होती है, फिर भी मैं फ़िशिंग हमले के हुक के लिए गिर गया, और लगभग चारा निगल लिया। मैं अभी भाग्यशाली था कि हमला वेक्टर सॉफ्टवेयर के लिए 0-दिन था जिसका मैं उपयोग नहीं करता था, और कुछ अधिक सामान्य नहीं था। यदि पत्रों का आदान-प्रदान थोड़ा सा जारी रहता है, तो मैं संभवतः ग्रेगरी हैरिस द्वारा भेजे गए माइक्रोसॉफ्ट ऑफिस दस्तावेजों के लिए मैक्रोज़ को शामिल करूंगा, और यहां तक ​​कि उस कार्यक्रम को भी चला सकता हूं जो उसने भेजा था यदि उसने कहा कि यह पंजीकरण प्रक्रिया का हिस्सा था। जैसा कि मैंने पहले ही उल्लेख किया है, मेरे पास क्रिप्टोक्यूरेंसी नहीं है, लेकिन इंटरनेट बैंक में खातों में पैसा है, जो सामान्य तौर पर रखने के लिए वांछनीय है।

मुझे नहीं पता कि इस कहानी का नैतिक क्या है। शायद मुख्य निष्कर्ष यह है कि आपको इंटरनेट पर अजनबियों के साथ संवाद करते समय सतर्क रहना चाहिए, भले ही उनके पास वैध डीकेआईएम हस्ताक्षर के साथ वैध ईमेल पते हों। इसके अलावा, यदि आप किसी और की कहानी पर विश्वास करते हैं, तो बड़ी संख्या में विसंगतियों और विषमताओं को नजरअंदाज करना बहुत आसान है, खासकर यदि यह कहानी आपके लिए सुखद है। पीछे देखते हुए, यह विश्वास करना पूरी तरह से बेतुका था कि कैम्ब्रिज विश्वविद्यालय मुझे एक आर्थिक प्रतियोगिता का निर्णय लेने के लिए आमंत्रित करेगा, और जब मैंने ग्रेगरी हैरिस का ईमेल पढ़ा, तो यह तुरंत स्पष्ट हो गया कि यह ऑनलाइन संचार पेशेवर नहीं है। लेकिन मैंने गंभीर रूप से नहीं सोचा था और @cam.ac.uk और मेरे अपने अहंकार के मेल की वजह से सुरक्षा की झूठी भावना से @cam.ac.uk ।

और अंतिम नैतिक। दूसरों को यह बताने से पहले कि आप अर्थशास्त्र में एडम स्मिथ पुरस्कार को जज करने के लिए आमंत्रित किए गए हैं, विनय करने से पहले दो बार सोचें।