Talefisking finner et nytt svakt punkt: Din personlige telefon

En ny bølge av angrep viser hvorfor skillet mellom personlige og profesjonelle enheter betyr mer enn noen gang. Ifølge rapportering om Microsofts trusselintelligensfunn, ringer og tekster grupper sporet som Storm-3032 og Storm-3121 ansatte på deres personlige telefoner, og utgir seg for å være intern IT-support. Når en ansatt først er overbevist om at samtalen er legitim, guider angriperne dem gjennom trinn som gir tilgang til bedriftens Microsoft 365-kontoer, ofte ved å utnytte bring-your-own-device (BYOD)-oppsett der personlige telefoner også brukes til å logge inn på jobb-e-post, Teams og SharePoint.

Det som gjør denne kampanjen bemerkelsesverdig er ikke bare selve talefisking-taktikken. Det er hva som skjer etter at den første tilgangen er oppnådd. Disse gruppene fungerer angivelig som mellommenn for innledende tilgang: de kommer seg inn i et nettverk, bruker Microsofts Graph API for å kartlegge hvilke data og systemer som er tilgjengelige, og identifiserer deretter hvilke ofre som er verdifulle nok til å selges eller overleveres. Derfra videreformidles tilgangen til utpressingsgrupper, inkludert ShinyHunters, et navn som har blitt stadig mer kjent i saker om datatyveri og utpressing.

Hvorfor BYOD gjør dette angrepet så effektivt

Personlige enheter befinner seg utenfor sikkerhetsperimeteret som de fleste selskaper bygger rundt bedriftsmaskinvare. En jobb-laptop kan ha endepunktdeteksjon, begrensede apptillatelser og IT-administrerte konfigurasjoner. En personlig telefon som brukes til å sjekke e-post eller delta i en Teams-samtale har vanligvis ingenting av dette. Det er også enheten ansatte mest sannsynlig svarer på en samtale med uten å tenke seg om, siden det er den samme telefonen familie og venner bruker.

Det tillitsgapet er nøyaktig det talefisking (noen ganger kalt vishing) utnytter. Angripere trenger ikke å bryte kryptering eller finne en programvarefeil. De trenger en ansatt som tror at personen på telefonen virkelig er fra IT og prøver å hjelpe, ikke skade. Rapporter indikerer at angriperne også misbruker legitime samarbeidsfunksjoner, som ekstern tilgang i Microsoft Teams, for å smelte inn i normal forretningskommunikasjon i stedet for å utløse åpenbare røde flagg.

Dette mønsteret gjenspeiler en bredere trend på tvers av flere bransjer. I Jack Henry-løsepenangrepet brukte angripere på samme måte en telefonsamtale i stedet for en teknisk utnyttelse for å få fotfeste, noe som understreker at tal basert sosial manipulering har blitt et foretrukket inngangspunkt nettopp fordi det omgår tradisjonelle tekniske forsvar.

Graph API-vinkelen: Å gjøre tilgang om til etterretning

Når de først er inne i en konto, bruker angriperne angivelig Microsofts Graph API, et legitimt verktøy som utviklere bruker for å samhandle med Microsoft 365-data, for å kartlegge en organisasjons miljø. Dette lar dem raskt identifisere hvilke postbokser, filer eller brukerkontoer som er mest verdifulle, og utfører effektivt rekognosering ved hjelp av målets egen infrastruktur. I stedet for å eksfiltrere data selv i alle tilfeller, ser mellommennene for innledende tilgang ut til å overlate verdifulle fotfester til utpressingsgrupper som ShinyHunters, som spesialiserer seg på å tjene penger på stjålet tilgang gjennom datatyveri og utpressingskrav.

Denne arbeidsdelingen, én gruppe bryter seg inn og en annen gruppe casher inn, gjenspeiler det man har sett i andre nylige bruddssaker. I Napoleon Perdis-datainnbruddet ble stjålne kunderegistre lekket og hevdet av en trusselaktør som opererte uavhengig av den som opprinnelig kan ha fått tilgang til dataene, noe som illustrerer hvordan kompromittert tilgang og offentlige datalekkasjer ofte håndteres av helt separate parter.

Hva dette betyr for deg

Hvis arbeidsgiveren din tillater BYOD-tilgang til Microsoft 365, Teams eller bedriftens e-post, er du et potensielt inngangspunkt for denne typen angrep, uavhengig av stillingstittel eller avdeling. Kjernerisikoen er ikke en feil i Microsofts programvare. Det er antagelsen om at en som ringer og hevder å være "IT-support", er den de sier de er. Ansatte bør være skeptiske til enhver uoppfordret samtale eller tekstmelding som ber dem tilbakestille påloggingsinformasjon, godkjenne en innloggingsforespørsel eller installere noe, selv om den som ringer virker kunnskapsrik om interne systemer eller bruker ekte ansattes navn.

Organisasjoner bør også revurdere hvordan BYOD-enheter verifiseres og overvåkes, siden en personlig telefon med tilgang til bedriftens skytjenester kan bli en direkte vei inn til sensitive data uten å noen gang berøre en bedriftseid laptop.

Handlingsrettede råd

  • Verifiser enhver IT-support-kontakt gjennom en kjent intern kanal før du handler, aldri gjennom nummeret eller metoden den som ringer oppgir.
  • Aktiver multifaktorautentisering som krever mer enn et enkelt godkjenningstrykk, siden MFA-tretthet og sosial manipulering ofte går hånd i hånd.
  • Spør arbeidsgiveren din om BYOD-sikkerhetspolicyer, inkludert hvorvidt personlige enheter med tilgang til Microsoft 365 er underlagt regler for betinget tilgang eller enhetssamsvarskontroller.
  • Rapporter mistenkelige samtaler eller tekstmeldinger som hevder å være fra IT umiddelbart, selv om du ikke handlet på dem, slik at sikkerhetsteam kan spore den bredere kampanjen.

Talefisking-kampanjer som denne lykkes fordi de retter seg mot menneskelig tillit i stedet for programvaresårbarheter. Å være forsiktig med uventede samtaler og bekrefte forespørsler gjennom offisielle kanaler forblir et av de enkleste og mest effektive forsvarene som er tilgjengelige.