Nowy zwrot w starym ryzyku związanym z publicznym Wi-Fi

Badacze bezpieczeństwa zidentyfikowali podmiot atakujący, który włamuje się do publicznych bram Wi-Fi, sprzętu stojącego za portalami uwierzytelniającymi Wi-Fi, które widujesz na lotniskach, w hotelach, kawiarniach i centrach konferencyjnych, aby zbierać firmowe dane logowania do Microsoft 365. Zamiast tworzyć fałszywy hotspot lub od podstaw imitować stronę logowania, atakujący narusza legalną infrastrukturę, na której firmy i obiekty polegają, aby uwierzytelniać gości przed udzieleniem dostępu do internetu.

To ma znaczenie, ponieważ portale uwierzytelniające są jedną z najbardziej zaufanych i najmniej kontrolowanych części doświadczenia z publicznym Wi-Fi. Miliony podróżnych codziennie bez zastanowienia przechodzą przez te strony "zaakceptuj warunki i połącz się". Jeśli sama brama została przejęta, strona zbierająca dane logowania, którą widzi użytkownik, może wyglądać całkowicie autentycznie, ponieważ w pewnym sensie jest to prawdziwa infrastruktura, tylko wykorzystana w innym celu — do kradzieży.

Jak działa atak

Bramki typu captive portal to urządzenia, które znajdują się między siecią publiczną a otwartym internetem, zazwyczaj prosząc użytkowników o zalogowanie się, akceptację warunków lub podanie adresu e-mail przed rozpoczęciem przeglądania. Według doniesień na temat tej kampanii, podmiot atakujący bezpośrednio narusza te urządzenia i wykorzystuje je do atakowania kont Microsoft 365 pracowników firm podczas ich podróży.

Ponieważ Microsoft 365 stanowi szkielet poczty e-mail, przechowywania plików i współpracy dla ogromnej liczby firm na całym świecie, pojedynczy zestaw skradzionych danych logowania może otworzyć dostęp do skrzynek odbiorczych, udostępnionych dokumentów, komunikacji wewnętrznej, a potencjalnie do głębszego dostępu do sieci, jeśli uwierzytelnianie wieloskładnikowe nie jest odpowiednio egzekwowane. Dla atakujących atakowanie podróżujących biznesowo na poziomie bramy jest wydajne: zamiast ścigać pojedyncze ofiary, naruszają wąskie gardło, przez które wielu różnych podróżników jest zmuszonych przejść.

To podejście omija też część zwykłych porad dotyczących wykrywania fałszywych hotspotów. Użytkownicy niekoniecznie łączą się z fałszywą nazwą sieci czy oczywiście podejrzaną stroną. Używają Wi-Fi, które faktycznie zapewnia obiekt, które po prostu zostało obrócone przeciwko nim na poziomie infrastruktury.

Dlaczego to problem prywatności i bezpieczeństwa dla wszystkich

Implikacje wykraczają daleko poza dział IT pojedynczej firmy. Publiczne Wi-Fi od dawna było postrzegane jako słabe ogniwo w prywatności osobistej, ale ta kampania podkreśla, jak ta słabość skaluje się, gdy uderza w podróżujących służbowo, którzy noszą dane logowania do systemów firmowych. Zhakowane dane logowania do Microsoft 365 to nie tylko niedogodność – mogą prowadzić do kompromitacji firmowej poczty, ujawnienia danych i dalszych kampanii phishingowych wystartowanych z zaufanego konta wewnętrznego.

To użyteczne przypomnienie, że narzędzia, na których ludzie polegają w kwestii prywatności i bezpieczeństwa, mają rzeczywiste, konkretne ograniczenia. Jak omówiliśmy w naszej analizie czego faktycznie chroni VPN, a czego nie, VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN, co jest naprawdę wartościowe w publicznym Wi-Fi. Ale nie powstrzyma Cię przed wpisaniem prawdziwych danych logowania na ekranie logowania, który portal uwierzytelniający już naruszył, zanim w ogóle zacznie działać Twoje połączenie VPN. Zrozumienie tego rozróżnienia jest kluczem do skutecznego korzystania z tych narzędzi, a nie zakładania, że są cudownym lekarstwem na wszystko.

Warto też zauważyć, że narzędzia ochrony prywatności, takie jak VPN, są coraz częściej częścią szerszych debat politycznych, w tym kontroli regulacyjnych, takiej jak omawiana w naszym artykule na temat proponowanych brytyjskich zasad weryfikacji wieku dla VPN. Gdy narzędzia te znajdują się pod większą uwagą regulatorów, zrozumienie, przed czym dokładnie chronią, a przed czym nie, staje się jeszcze ważniejsze dla zwykłych użytkowników i firm.

Co to oznacza dla Ciebie

Jeśli Ty lub Twoi pracownicy podróżujecie służbowo i regularnie łączycie się z publicznym Wi-Fi na lotniskach, w hotelach lub centrach konferencyjnych, ta kampania jest sygnałem, aby zaostrzyć nawyki dotyczące dostępu do kont firmowych poza biurem. Nie oznacza to, że należy całkowicie unikać publicznego Wi-Fi, ale oznacza, że moment logowania, ten ekran portalu uwierzytelniającego, zasługuje na większą kontrolę niż większość ludzi mu poświęca.

Dla zespołów IT i bezpieczeństwa to silny argument za egzekwowaniem uwierzytelniania wieloskładnikowego na wszystkich kontach Microsoft 365 bez wyjątku, ponieważ MFA może osłabić skutki nawet w przypadku kradzieży hasła. To również powód, by rozważyć korzystanie z hotspotu mobilnego lub zaufanego połączenia VPN nawiązanego przed zalogowaniem się do wrażliwych danych, zamiast polegania na jakiejkolwiek sieci, którą domyślnie udostępnia obiekt.

Konkretne wnioski

  • Włącz uwierzytelnianie wieloskładnikowe na wszystkich kontach Microsoft 365 i innych kontach firmowych, aby samo skradzione hasło nie wystarczyło do uzyskania dostępu.
  • Unikaj logowania się do kont firmowych natychmiast po połączeniu z portalem uwierzytelniającym publicznego Wi-Fi; jeśli to możliwe, najpierw użyj hotspotu komórkowego lub połącz się przez VPN.
  • Traktuj strony logowania portali uwierzytelniających z taką samą ostrożnością jak każdy nieznajomy ekran logowania i nigdy nie podawaj więcej informacji, niż sieć naprawdę wymaga do udzielenia dostępu.
  • Zachęcaj podróżujących pracowników do zgłaszania swojemu zespołowi IT lub bezpieczeństwa wszystkiego, co niezwykłe w doświadczeniu logowania do Wi-Fi, na przykład nieoczekiwanych monitów o podanie danych logowania.
  • Pamiętaj, że VPN jest wartościową warstwą ochrony w publicznym Wi-Fi, ale nie zastępuje ostrożności na etapie logowania — zrozumienie jego rzeczywistego zakresu ochrony pomaga prawidłowo go używać.

W miarę jak podmioty atakujące znajdują nowe sposoby na wykorzystanie infrastruktury, której podróżni już ufają, bycie na bieżąco z tym, jak te ataki faktycznie działają, zamiast polegania na przestarzałych założeniach o ryzyku związanym z publicznym Wi-Fi, jest jedną z najskuteczniejszych dostępnych obron.