Google od lat obserwuje, jak konta YouTube są hakowane – czy gigant technologiczny może zrobić coś więcej, aby chronić nierzadko dorobek całego życia twórców?
Popularny kanał YouTube Linus Tech Tips został zhakowany, a 15,3 mln subskrybentów kanału zobaczyło udające transmisje na żywo filmy z Elonem Muskiem opowiadającym o kryptowalutach. Link w transmisji prowadził do fałszywej strony scamującej ludzi z kryptowalut. Jest to najnowsze naruszenie w serii ataków, w której konta YouTube o wysokiej oglądalności są regularnie hakowane, aby oszust mógł zmienić ich nazwę i puścić udające livestream wideo kryptooszustów.
fot. zrzut ekranu YouTube via TechSpot
Główny kanał Linus Tech Tips stał się pierwszą ofiarą, haker puścił kilka filmów na żywo, potem zaczął upubliczniać nigdy nie puszczone stare filmy z kanału, a także usuwać treści. Konto zostało ostatecznie zawieszone, a z czasem pracownicy YouTube w pełni je przywrócili. Inne kanały YouTube Linus Media Group, w tym Techquickie i TechLinked, również stały się ofiarą ataków i nadano im nowe nazwy związane z Teslą. Tu również leciały bitcoinowe filmy scamujące z Elonem Muskiem.
fot. zrzut ekranu YouTube via TechSpot
Po długiej walce konta Linus Tech Tips, TechLinked i Techquickie zostały przywrócone, a właściciel Linus Sebastian nagrał film o tym, co się stało.
Na początku nie było jednak jasne, w jaki sposób kanały zostały zaatakowane, ale właściciel Linus Sebastian napisał na Twitterze, że jest świadomy sytuacji. Później, w oświadczeniu opublikowanym na Floatplane (serwis streamingowy wydzielony z Linus Media Group), powiedział, że firma pracuje nad tym wraz z Google i „dociera do sedna wektora ataku z (miejmy nadzieję) celem wzmocnienia zabezpieczeń kont YouTube i zapobiegania tego typu rzeczom, które mogą się przydarzyć komukolwiek w przyszłości.”
fot. zrzut ekranu FloatPlane via TechSpot
Jest to najnowsze z długiej serii ataków, które miały miejsce w ciągu ostatniego roku, na ogół przeprowadzanych w celu promowania livestreamów, które popychają widzów do amatorsko wyglądających witryn kryptowalutowych za pośrednictwem linków lub kodów QR. W zeszłym roku kanał YouTube brytyjskiej armii został zhakowany w celu promowania oszustw kryptowalutowych, zaledwie kilka miesięcy przed tym, jak dziesiątki tysięcy „widzów” oglądały oszustwo kryptowalutowe Apple na YouTube. Popularne kanały Vevo na YouTube artystów takich jak Lil Nas X, Drake, Taylor Swift i innych również zostały zaatakowane w zeszłym roku, a filmy zostały załadowane z „nieautoryzowanego źródła”.
fot. zrzut ekranu YouTube via TechSpot
Linus w filmie dziękuje pracownikom YouTube za pomoc w rozwiązaniu problemu, ale sugeruje też, że firma mogłaby zrobić więcej, aby chronić twórców i zapobiec szkodliwym skutkom ataków. Linus twierdzi bowiem, że atak nie szedł po linii haseł i zabezpieczeń dwuskładnikowych. Te oszustwa trwają od miesięcy, a jeden z YouTuberów twierdzi, że działają one poprzez fałszywych sponsorów docierających do twórców zaś Linus to potwierdził. YouTuberzy są następnie przekonywani do pobrania pliku PDF związanego ze sponsoringiem, który jest po prostu złośliwym oprogramowaniem zaprojektowanym do kradzieży plików cookie (w tym tokenów sesji, które sprawiają, że zawsze jesteśmy zalogowani na swoje konta w socjałach), zdalnego kontrolowania komputerów, a ostatecznie do przejmowania kont YouTube.
Linus zaproponował między innymi, aby YouTube wdrożył tryb blokady dla kont o wysokim profilu, który czasowo uniemożliwiałby zmianę nazwy kanału, uzyskanie dostępu do opcji livestreamingu czy usuwania wideo, jeśli logowanie odbyłoby się z nieznanej przeglądarki lub lokalizacji (na podstawie IP i innych czynników). W połączeniu z alertami o zalogowaniu się w nowej lokalizacji, mogłoby to pomóc właścicielom kanałów odzyskać swoje konta YouTube, zanim dojdzie do prawdziwych szkód.
YouTube mógłby również wdrożyć system podwójnych zabezpieczeń, w którym do zmiany nazwy kanału lub usunięcia filmów potrzebna byłaby druga zgoda z innego konta, a nawet dodatkowe zabezpieczenia w przypadku niepokojących działań na kanale, jak np. masowe usuwanie treści. To mogłoby również spowolnić skutki ataku na konto przeprowadzonego z autoryzowanego urządzenia YouTubera.
Miejmy nadzieję, że YouTube wykorzysta te lub ma jeszcze lepsze własne pomysły i pomoże opanować plagę włamań na konta i przeprowadzania za ich pomocą scamów kryptowalutowych.