Cyberprzestępcy znaleźli nowy sposób na ominięcie filtrów poczty e-mail i blokerów spamu: dzwonią bezpośrednio do pracowników przez Microsoft Teams. Niedawna kampania powiązana z ransomware Chaos pokazuje, że atakujący wykorzystują voice phishing, czyli „vishing”, w aplikacji Teams, aby nakłonić pracowników do udostępnienia dostępu do sieci, co ostatecznie prowadzi do wdrożenia ransomware w systemach firmowych.

To nie jest kolejna historia o phishingu mailowym. To sygnał, że atakujący celowo obierają za cel platformy współpracy, którym miliony pracowników ufa dziś domyślnie, co zmusza organizacje do przemyślenia sposobu szkolenia pracowników w zakresie rozpoznawania socjotechniki.

Jak działa atak vishingowy przez Microsoft Teams

W przeciwieństwie do tradycyjnego phishingu, który opiera się na złośliwym linku lub załączniku w skrzynce odbiorczej, ten styl ataku wykorzystuje kontakt głosowy na żywo. Atakujący kontaktują się z pracownikami za pośrednictwem Microsoft Teams, często podszywając się pod wewnętrzne wsparcie IT lub zaufanego dostawcę, i wykorzystują rozmowę do budowania presji i wiarygodności. Ponieważ interakcja odbywa się na platformie, z której pracownicy korzystają na co dzień w ramach legalnych zadań, psychologiczna bariera, która zwykle budzi podejrzliwość wobec niechcianych wiadomości e-mail, po prostu znika.

Po zdobyciu zaufania cel atakującego jest prosty: nakłonić ofiarę do podjęcia działania umożliwiającego zdalny dostęp, niezależnie od tego, czy chodzi o zatwierdzenie monitu logowania, zainstalowanie narzędzia zdalnego dostępu, czy udostępnienie poświadczeń pod pretekstem zgłoszenia serwisowego. Stamtąd atakujący ma przyczółek w sieci firmowej, co przygotowuje grunt pod ładunek ransomware.

To podejście odzwierciedla szerszy trend wykorzystywania przez atakujących środowisk Microsoft 365 zamiast bezpośredniego atakowania luk w oprogramowaniu. Przypomina taktyki widoczne w kampanii Storm-2949 wymierzonej w resetowanie haseł Microsoft 365, gdzie cyberprzestępcy manipulowali zaufanymi procesami w chmurze, zamiast polegać wyłącznie na złośliwym oprogramowaniu, aby dostać się do organizacji.

Dlaczego voice phishing omija tradycyjne szkolenia z zakresu bezpieczeństwa

Większość firmowych programów uświadamiających zbudowana jest wokół poczty e-mail: nie klikaj nieznanych linków, sprawdzaj adres nadawcy, najedź kursorem zanim zaufasz. Voice phishing omija niemal całe to szkolenie, ponieważ nie ma wiadomości e-mail do przeanalizowania, nie ma oczywiście sfałszowanej domeny ani statycznej wiadomości, którą pracownik mógłby po cichu przekazać zespołowi bezpieczeństwa do sprawdzenia.

Rozmowa telefoniczna lub przez Teams na żywo wprowadza również presję społeczną, której nie ma w e-mailu. Spokojny, profesjonalnie brzmiący głos podający się za pracownika wsparcia IT, zwłaszcza odwołujący się do rzeczywistej wewnętrznej terminologii lub niedawnych wydarzeń firmowych, może skłonić pracownika do szybkiego podporządkowania się, zanim zdąży on krytycznie pomyśleć. Połączenie zaufanej platformy, presji czasu rzeczywistego i ograniczonego przygotowania pracowników to właśnie powód, dla którego vishing stał się atrakcyjnym punktem wejścia dla operatorów ransomware.

Co robi ransomware Chaos po dostaniu się do sieci

Po tym, jak atakujący wykorzystają rozmowę vishingową do uzyskania dostępu, następnym etapem jest wdrożenie ransomware Chaos. Podobnie jak inne rodziny ransomware, Chaos jest zaprojektowany do przemieszczania się po przejętej sieci, szyfrowania plików i systemów oraz przetrzymywania danych jako zakładników do czasu zapłacenia okupu. Szkody nie ograniczają się do pojedynczej maszyny; operatorzy ransomware zazwyczaj starają się rozprzestrzenić jak najszerzej w sieci przed uruchomieniem szyfrowania, maksymalizując presję na organizację ofiary, aby zapłaciła.

To, co wyróżnia tę kampanię, to metoda dostarczenia, a nie sam ransomware. Uzyskując dostęp wyglądający na legalny przez zaufany kanał komunikacji, atakujący mogą potencjalnie ominąć kilka warstw zabezpieczeń technicznych, które normalnie oznaczałyby podejrzane pobrania lub nietypowe próby logowania.

Zabezpieczenia dla pracowników zdalnych i hybrydowych: MFA, VPN i weryfikacja głosowa

Dla organizacji z rozproszonymi lub hybrydowymi zespołami ten rodzaj ataku przypomina, że weryfikacja tożsamości musi wykraczać poza ekrany poczty e-mail i logowania. Kilka praktycznych kroków może znacząco zmniejszyć ryzyko:

  • Wymagaj uwierzytelniania wieloskładnikowego (MFA) dla całego zdalnego dostępu i wrażliwych systemów oraz szkol pracowników, aby nigdy nie zatwierdzali monitu MFA, którego sami nie zainicjowali.
  • Ustal jasną, ogólnofirmową politykę weryfikacji próśb wsparcia IT, na przykład wymagając od pracowników oddzwonienia na znany wewnętrzny numer, zamiast ufania przychodzącej rozmowie lub wiadomości w Teams.
  • Korzystaj z VPN wraz z rygorystyczną kontrolą dostępu, aby nawet w przypadku przejęcia poświadczeń utrudnić poprzeczne przemieszczanie się po sieci.
  • Rozszerz szkolenia dotyczące phishingu o socjotechnikę głosową i czatową, a nie tylko mailową.

Co to oznacza dla Ciebie

Jeśli pracujesz w trybie hybrydowym lub zdalnym i regularnie korzystasz z Microsoft Teams, traktuj nieoczekiwane rozmowy lub wiadomości od „wsparcia IT” z takim samym sceptycyzmem, jaki stosujesz do podejrzanych e-maili. Legalne działy IT rzadko kontaktują się na zimno przez platformy czatu, prosząc o instalację oprogramowania lub natychmiastowe zatwierdzanie próśb o dostęp. W razie wątpliwości rozłącz się, zweryfikuj przez oficjalny kanał i natychmiast zgłoś interakcję swojemu zespołowi bezpieczeństwa.

Kluczowe wnioski

Wzrost liczby ataków ransomware z wykorzystaniem vishingu przez Microsoft Teams pokazuje, że cyberprzestępcy dostosowują się szybciej niż wiele firmowych programów szkoleniowych. W miarę jak narzędzia do współpracy stają się nową linią frontu socjotechniki, organizacje muszą odpowiednio aktualizować swoje zabezpieczenia: wzmocnić polityki MFA, sformalizować procedury weryfikacji IT i upewnić się, że pracownicy rozumieją, iż zaufanie do platformy nie oznacza zaufania do każdej osoby z niej korzystającej. Zachowanie czujności wobec niechcianych próśb głosowych i czatowych, bez względu na to, jak przekonująco brzmią, pozostaje jednym z najprostszych i najskuteczniejszych sposobów, aby powstrzymać atak ransomware, zanim się rozpocznie.