Сотрудники изданий The Insider и Bellingcat подверглись фишинговым атакам российских спецслужб, пишет The Insider.
По данным издания, с апреля было несколько волн таких атак. Сначала хакеры зарегистрировали 11 доменных имен, чтобы маскировать атаки под письма сервиса ProtonMail. В фишинге содержались фейковые предупреждения о попытках входа или о взломе аккаунта. В графе "отправитель" был указан действительный адрес ProtonMail, но реальными отправителями были аккаунты с бесплатного почтового сервиса mail.uk.
Текст фишинговых писем, утверждают в издании, был очень похож на реальные предупреждения ProtonMail. К нему была прикреплена гиперссылка, по которой пользователь должен был перейти в настройки, чтобы поменять пароль и "защитить" свой аккаунт. По ссылке пользователь, судя по всему, попадал на фишинговый сайт, выглядящий как точная копия ProtonMail, где ему предлагалось ввести пароль. Изданию неизвестно, смогли ли хакеры скачать содержимое почтовых ящиков, но как минимум в одном случае они узнали, с какими почтовыми адресами велась переписка.
Целью хакеров называют журналистов-расследователей, пишущих о России, работающих в России членов НКО и аналитиков. Отмечается, что некоторые из адресатов фишинговых писем уже получали фейковые сообщения от группы хакеров, известной как Fancy Bear и под другими именами – эту группировку связывают с ГРУ. Хакеры использовали сервисы Njalla и Web4Africa для покупки доменов – теми же сервисами пользовалась ранее и эта группировка.
