Bất kỳ ai đã đặt lịch họp từ @calcom có thể đã bị hack và tài khoản X của họ bị lộ. Tài khoản của tôi bắt đầu đăng 2-3 bài viết lừa đảo mà tôi nhận ra từ một thông báo trả lời ngẫu nhiên và đã gỡ xuống trong vòng vài phút. Đây là những gì đã xảy ra và cách mà điều này có thể xảy ra với bạn:
ℏεsam
ℏεsam12:19 9 thg 2
🚨 Bạn có thể đã thấy tài khoản của tôi đăng một vụ lừa đảo tiền điện tử trong vài giờ qua. Tôi đã may mắn phát hiện kịp thời. Trong một giây, tôi đã nghĩ rằng tài khoản của mình bị hack, sau đó tôi nghi ngờ có thể là OpenClaw, mà tôi nhớ là tôi chưa bao giờ cho phép truy cập vào tài khoản thật của mình. Sau khi kiểm tra kỹ lưỡng hơn, tôi nhận thấy đó là một ứng dụng kết nối có tên cal.com mà tôi đã kết nối để lên lịch một cuộc họp trực tuyến với một kẻ lừa đảo (sai lầm). Tôi không biết liệu cal.com có độc hại hay nó đã được sử dụng cho một nỗ lực độc hại. Tôi đã tránh được vô số cuộc tấn công như vậy, nhưng tôi muốn xin lỗi vì sai lầm này. Đối với những ai biết tôi, rõ ràng là tôi không bao giờ tham gia vào tiền điện tử, dù là SCAM hay không, và không bao giờ đặt bất kỳ ai vào tình huống nguy hiểm khi đã đặt niềm tin vào tôi.
Tôi đã được một biên tập viên của techcrunch (thực ra là một kẻ lừa đảo) yêu cầu đặt một cuộc họp qua @calcom. Đó là trang web thật (không phải lừa đảo) trong miền. Sau khi chọn khung thời gian và điền tên của mình, tôi đã được chuyển hướng đến một trang lừa đảo yêu cầu rằng để hoàn tất cuộc họp của mình, tôi phải đăng nhập qua X.
Tôi đã kiểm tra ứng dụng, nó thuộc miền chính thức @calcom. Nó cũng là một miền thật. Kẻ lừa đảo không tạo ra một tích hợp ứng dụng OAuth giả, mà đã tạo ra một trang giả để khuyến khích việc tích hợp dưới ứng dụng thật. TẠI SAO?
các kẻ lừa đảo đã liên lạc dưới hình thức một nhân viên của techcrunch, nhưng điều này có thể xảy ra theo nhiều cách khác. bất kỳ ai gửi cho bạn liên kết để đặt cuộc họp từ một trang web có vẻ hợp pháp, có thể lợi dụng điểm yếu đó chống lại bạn.
có những lỗ hổng bảo mật thực sự cho phép hacker sử dụng tích hợp OAuth của họ để truy cập vào các tài khoản đã kết nối.
họ đã gặp phải nhiều lỗ hổng bảo mật QUAN TRỌNG trong github của họ mà vẫn còn mở. theo cyberpress, @calcom đã có những lỗ hổng bảo mật rất tương tự được báo cáo công khai, gần đây nhất là vào ngày 28 tháng 1.
164