أي شخص حجز اجتماعات من @calcom قد يتم اختراقه وكشف حسابه X. بدأ حسابي بنشر 2-3 منشورات احتيالية، وقد اكتشفت ذلك من إشعار رد عشوائي وحذفتها خلال دقائق. إليك ما حدث وكيف قد يحدث لك هذا:
ℏεsam
ℏεsam‏9 فبراير، 12:19
🚨 ربما رأيت حسابي ينشر عملية احتيال في العملات الرقمية خلال الساعات القليلة الماضية. كنت محظوظا لأنني التقطت هذا في الوقت المناسب. للحظة ظننت أن حسابي مخترق، ثم شككت أنه قد يكون OpenClaw، وتذكرت أنني لم أمنح حسابي الحقيقي لها. بعد التحقق بعناية لاحظت أنه تطبيق متصل اسمه cal. com الذي اتصلت به لجدولة اجتماع عبر الإنترنت مع محتال (خطأ). لا أعرف إذا كان cal. com خبيثة أم أنه استخدم في محاولة خبيثة. لقد تفادت عددا لا يحصى من هذه الهجمات، لكني أود أن أعتذر عن الخطأ. لمن يعرفني، من الواضح أنني لا أشارك أبدا في العملات الرقمية، سواء احتيال أم لا، ولا أعرض أي شخص للخطر وضع ثقته بي.
طلب مني محرر techcrunch (في الواقع محتال) أن أحجز موعد عبر @calcom. كان الموقع الحقيقي (بدون تصيد احتيالي) في النطاق. بعد اختيار الوقت وملء اسمي، تم تحويلي إلى صفحة محتال تطلب مني تسجيل الدخول عبر X.
راجعت التطبيق، وكان تحت نطاق @calcom الرسمي. وكان أيضا مجالا حقيقيا. المحتال لم يقم بإنشاء دمج وهمي مع تطبيق OAuth، بل أنشأ صفحة وهمية لتشجيع الدمج تحت التطبيق الحقيقي. لماذا؟
تواصلوا مع المحتالين متنكرين كموظف في TechCrunch، لكن هذا قد يحدث بأي طريقة أخرى. أي شخص يرسل لك روابط لحجز اجتماع من موقع يبدو شرعيا، قد يستخدم هذه الثغرة ضدك.
لديها عيوب أمنية حقيقية تمكن القراصنة من استخدام تكامل OAuth للوصول إلى الحسابات المتصلة.
كان لديهم العديد من الثغرات الأمنية الحرجة في GitHub الخاصة بهم وما زالت مفتوحة. وفقا لسايبرس، @calcom شهدت ثغرات أمنية مشابهة تم الإبلاغ عنها علنا، حتى 28 يناير الأخيرة.
‏‎160‏