CyberNews科学研究工作人员发觉了一种新式自动化技术社会工程专用工具，可以从美国、法国和澳大利亚的客户中获取一次性密码(OTP)。所说的OTP Bot可以诱骗受害者向她们的银行帐户、电子邮箱和别的在线服务推送违法犯罪密码——全部这种都无需与受害者立即互动交流。
收到装扮成服务支持代理商的骗人的电话号码很令人感觉厌倦。针对潜在性的受害者而言，听有些人尝试运用她们的善心来诈骗她们，这不过是很令人反感的。针对诈骗犯而言，这乃至可能是枯燥的——每日给百余人通电话很有可能会使行骗看上去好像具体工作中。
可是，从今天开始事儿不会再是那样了。如今，骗人好像已更改了传统式的作法，由于一种新式的可租智能机器人已经风靡社会工程全球。
Meet OTP Bot：一种新式的故意Telegram智能机器人，致力于用智能机器人通话没什么疑心的受害者，并引诱她们舍弃一次性密码，随后骗人应用这种密码浏览并清除她们的银行帐户。更糟心的是，这一新式智能机器人的消费群在近期几个星期内持续提高，做到千余人。
重要关键点
该智能机器人可以在数分钟内从受害者那边获取一次性密码。
OTP Bot可以盗取数字货币交易中心、金融机构和别的在线服务(如Gmail、Coinbase、美国金融机构、Alliant、Chase等)的OTP。
CyberNews得到了该智能机器人的录音通话，在其中揭露了OTP Bot的社会工程技术性。
OTP智能机器人Telegram频道栏目发展趋势快速，每日都是有百余名新的潜在性诈骗犯添加。
OTP智能机器人的原理
依据CyberNews研究者Martynas Vareikis的观点，OTP Bot是持续上升的违法犯罪saas模式实体模型的全新事例，互联网犯罪嫌疑人将故意专用工具和服务项目租赁给想要付钱的所有人。
选购后，OTP Bot容许其客户利用将总体目标的联系电话及其危害个人行为者很有可能从数据泄漏或黑市交易中得到的一切更多信息立即键入到智能机器人的Telegram闲聊对话框中，进而从没什么疑心的受害者那边获得一次性密码。Vareikis说：“依据危害个人行为者期待运用的服务项目，这种额外信息内容很有可能只包含受害者的电子邮箱地址。”
该智能机器人已经一个Telegram在线聊天室售卖，该在线聊天室现阶段有着6,000多位组员，其创始人根据向犯罪嫌疑人售卖月度定阅服务项目而得到巨额利润。此外，它的客户公布显摆她们根据洗劫一空总体目标银行帐户得到的五位数盈利。
Cequence Security的长驻网络黑客Jason Kent觉得，智能机器人租赁服务项目早已将自动化技术危害销售市场商业化，使犯罪嫌疑人很容易就能进到社会工程行业。
“以前，危害参加者必须了解在哪儿可以寻找智能机器人資源，如何把他们与脚本制作、IP地址和凭证拼接在一起。如今，一些网站搜索将发觉详细的Bot-as-a-Service商品，我只需付款花费就可以应用智能机器人。针对如今和安全性精英团队而言，这是一个适用所有人的智能机器人。”“针对用户而言，要了解到底是谁打过来的电話越来越更难了，她们也没法像之前一样自信心地为小孩选购新游戏机。”
电子礼品卡使骗术四处蔓延
OTP Bot的订户选用的最受欢迎的诈骗技术性称之为“卡连接”，它将受害者的银行信用卡联接到她们的手机支付应用软件账号，随后应用它在门店购买礼品卡。
瓦雷基斯觉得：“银行信用卡连接是骗人的最喜欢，由于失窃的联系电话和银行信用卡信息内容在黑市交易上比较非常容易得到。”
“拥有这种数据信息，危害个人行为者就可以从闲聊菜单中选择一个可以用的社会工程脚本制作，随后简易地将受害者的信息内容出示给OTP Bot。”——乔治艾凡·瓦雷基斯
随后，根据应用假冒的手机来电显示，智能机器人将全自动拨通受害者的电話，假冒适用代理商，并尝试诱骗她们推送一次性密码，这也是登陆受害者的Apple Pay或Google Pay账号所必不可少的。
应用失窃的一次性密码登陆后，网络攻击可以将受害者的银行信用卡连接到付款应用软件，随后在周围的门店玩命购买礼品卡。
诈骗犯通常应用关系银行信用卡选购预付款电子礼品卡，缘故非常简单：她们不用留有会计指纹识别。这在新冠疫情期内尤其便捷，由于大部分室内空间设计都申请强制执行佩戴口罩的要求，使犯罪嫌疑人在整个过程中更非常容易隐藏自己的真实身份。
在智能机器人Telegram频道栏目中，一些OTP Bot客户吹捧自身在三天上用受害者的关系银行信用卡选购了使用价值千余元的预付款电子礼品卡，还有一些客户在展现智能机器人从总体目标中获取密码的速率，仅用了2分钟OTP Bot就取得成功捕获了编码，并将受害者的Alliant银行信用卡与网络攻击的Apple Pay应用软件密切相关。不难想象智能机器人在24钟头内可以蒙骗是多少受害者。
可是，银行信用卡连接并并不是OTP Bot适用的唯一作用。自动化技术社会工程专用工具的创始人吹捧她们可以获取Gmail、Coinbase、美国金融机构、Chase等的一次性密码。
这一信息靠谱毫无疑问
尽管难以坚信智能机器人通话应用软件可以在数分钟内引诱您舍弃比较敏感信息内容，但OTP Bot的设计方案听起来是很站得住脚的。
CyberNews想方设法得到了一个OTP Bot视频语音录音通话，在其中该bot装扮成适用代理商，警示潜在性的受害者有没有经过认证的一方要求浏览其银行帐号。为了更好地阻拦要求并维护账号安全性，规定受害者拨入她们的金融机构PIN。在得到PIN后，智能机器人会夸奖受害者做得非常好：
“太棒了!大家已阻拦此要求，您的账号现在是安全性的!”——OTP智能机器人
OTP Bot随后向受害者确保，一切没经认证的买卖将在24-48小時内全自动退钱，并厚颜无耻地将她们引到一个不会有的Action Fraud网站，以获得“相关怎样维护您的账号安全性的小区文章内容”。
在独立接听录音通话时，可以很显然地体验到OTP Bot的音效是应用文本转语音程序流程转化成的。话虽如此，我们不能太过指责受害者，终究她们很可能是在忙碌的公司办公室接电话并将智能机器人误以为是真真正正的适用代理商。
再说一次，针对某些人而言，向智能机器人公布她们的私人信息乃至很有可能也不是问题。依据Zingle 2019年的一项科学研究，20%的客户相比真人版更信赖顾客适用智能机器人，而达到42%的客户对智能机器人的信赖和人们适用代理商一样。
愈来愈多的骗术和罪行
自4月份在Telegram上发布至今，该服务项目好像已经快速普及化，城市广场以往几个星期内。在编写此文时，OTP Bot Telegram频道栏目有着6,098名组员——仅在7日内就提升了20%。
持续增长身后的因素好像是便捷性和bot-for-hire方式，这促使沒有经历的乃至是第一次行骗的骗人可以以最低的勤奋和零社交互动取得成功地行骗她们的受害者。
一些OTP Bot客户在Telegram闲聊中明目张胆地共享她们的成功故事，向频道栏目的其它组员吹捧她们是如何获得这种不义之财的。
根据OTP Bot的取得成功，很显著，这类新式的自动化技术社会工程专用工具只能再次时兴。
实际上，销售市场上很多新的效仿服务项目的发生仅仅时间问题，一定会有愈来愈多的骗人期待借助这种业务从没什么疑心的总体目标的身上迅速盈利。Spyic的创办人Katherine Brown警示说，伴随着市面上的智能机器人愈来愈多，社会工程以及乱用的可能是数不胜数的。布郎说：“2022年大家己经看到了全自动进攻政冶总体目标以促进公众舆论的智能机器人发生。”
依据赫特福德大学高級网络信息安全老师Alexios Mylonas博士研究生的观点，因为新冠疫情促使人们的社交互动遭受了更严苛的限定，招骋社交媒体工程项目智能机器人已经盛行，这更为令人堪忧。“针对这些不明白安全性的人而言尤为如此。大家都知道，危害个人行为者会应用自动化技术和线上社会工程进攻，这使它们可以提升经营，达到目标，而CyberNews精英团队早已看到了另一个那样的事例。”
“更不容乐观的是，这类工艺是以根据云的方法(违法犯罪saas模式)给予的，为‘脚本小子’诈骗犯给予了一个更非常容易的突破口。”
Mylonas觉得，客户应当“自我管理并当心该类危害，使许多人成为了互联网犯罪嫌疑人更难解决的总体目标”。
殊不知，Mettle的总裁注安师Mikail Tunç觉得，企业也应当做大量的作业来文化教育客户相关数据安全性的专业知识。“安全性是一个持续运动的总体目标，传统式的象牙之塔式安全防范措施如今早就落伍。”
“金融机构要大量地关心怎样以合理的方法不断文化教育顾客有关安全常识，不断文化教育和提升安全防范意识是重要。”——米凯尔·通奇
此外，Tunç觉得安全性精英团队必须在设计方案应用软件时充分考虑顾客的特性。“即使是设计风格和创意文案也特别关键，这种要素可能是一个养老金领取者是不是丧失一生存款间的重要。”
反robocalling协议书：朝前进方向迈开的一步?
非常值得高兴的是，在打压骗子电话和钓鱼攻击(语音网络垂钓)层面，也是有一些喜讯。Verizon和AT&T等关键通信运营商逐渐执行STIR/SHAKEN等反智能机器人电話协议书，使社会工程师更难仿冒手机来电显示和以服务支持的地位发生。
话虽如此，一些医生觉得，这种对策不容易阻拦诈骗犯打电话潜在性的受害者，因而很有可能必须一段时间才可以处理乃至大大的缓解智能机器人电話问题。
Oracle Communications网络信息安全负责人Travis Russell结论，中小型电力公司沒有資源来执行反智能机器人电話协议书，这也许会使一些客户遭遇风险性。依据Russel的观点，适用STIR/SHAKEN的云服务器将是中小型营运商最雅致的解决方法，因为它将清除执行流程中贵的技术标准。
Russel觉得：“假如将其做为saas模式给予，将大幅度降低全部营运商的成本费，并很有可能加快STIR/SHAKEN的执行。将其与根据云的研究服务平台紧密结合，大家就可以有效地缓解电话骚扰的伤害。”
The Cyber Doctor的CEO兼首席总裁Stephen Boyce博士研究生觉得，像STIR/SHAKEN那样的反智能机器人电話协议书是向着前进方向迈开的一步。博伊斯告知CyberNews：“殊不知，很多的自动电话依然从缝隙中逃走。对使用者开展不断的返智能机器人电話诈骗文化教育与STIR/SHAKEN协议书紧密结合是最好防御措施。”
比较之下，Jason Kent觉得反智能机器人通话协议书只不过九牛一毛。“STIR/SHAKEN认证查验预估在2022年6月30日以前执行。你能注意到，robocalls依然是个问题。”
“近日，有些人打我的电话，跟我说是不是了解为何我的号码给他通电话，并提醒她们他们的社会安全号被取消了。我告诉她们这是一个骗术，骗人仿冒了我的联系电话。”——杰森肯特
肯特告知CyberNews：“6月30日过去，好像啥都没有产生。这种服务项目身后的人很多年来一直在躲避法律法规，而且之后一定也会再次那么做。”
不必上当受骗：怎样发觉社会工程进攻
充分考虑全部这种，了解如何识别社会工程妄图针对保证您的财力和个人信息保护依然尤为重要：
- 不必接通未知号码的电話。假如您那样接通了，而您并不认识电話里了解您私人信息的那人，请马上挂掉。
- 始终不必泄漏个人数据。这包含名字、登录名、电子邮箱地址、登陆密码、PIN等数据信息或可用来鉴别您真实身份的一切信息内容。
- 慢慢的来。诈骗犯常常尝试生产制造一种伪造的危机感，以驱使您表露您的信息内容。假如有些人尝试逼迫您作出决策，请挂掉电話或告知她们您稍候再回电。随后拨通她们宣称意味着的集团公司的官方网联系电话。
- 不要相信手机来电显示。诈骗犯可以根据仿冒名字和联系电话以企业或手机联系人目录中别人的地位发生。实际上，金融业服务提供商从来不打电话给她们的顾客确定它们的私人信息。假如产生异常主题活动，她们只能封禁您的账号，并期待您根据官方网方式与企业联络以解决困难。因而，即使电話显示屏上的手机来电显示看上去是真正的，也需要自始至终提高警惕。
文中翻譯自：https://cybernews.com/security/new-robocall-bot-on-telegram-can-trick-you-into-giving-up-your-password/倘若转截，请标明全文详细地址。