Voice phishing znajduje nowy słaby punkt: Twój prywatny telefon

Nowa fala ataków pokazuje, dlaczego granica między urządzeniami prywatnymi a służbowymi ma znaczenie większe niż kiedykolwiek. Według doniesień na temat ustaleń Microsoftu w zakresie analizy zagrożeń, grupy śledzone jako Storm-3032 i Storm-3121 dzwonią i wysyłają wiadomości tekstowe do pracowników na ich prywatne telefony, podszywając się pod wewnętrzny personel helpdesku IT. Gdy pracownik zostanie przekonany, że połączenie jest autentyczne, atakujący przeprowadzają go przez kroki, które przyznają dostęp do firmowych kont Microsoft 365, często wykorzystując konfiguracje bring-your-own-device (BYOD), w których prywatne telefony są również używane do logowania się do służbowej poczty e-mail, Teams i SharePoint.

To, co czyni tę kampanię godną uwagi, to nie tylko sama taktyka voice phishingu. Chodzi o to, co dzieje się po uzyskaniu początkowego dostępu. Grupy te według doniesień funkcjonują jako brokerzy początkowego dostępu: dostają się do sieci, wykorzystują Microsoft Graph API do rozpoznania, jakie dane i systemy są dostępne, a następnie identyfikują, które ofiary są wystarczająco wartościowe, by je sprzedać lub przekazać dalej. Następnie dostęp jest przekazywany grupom zajmującym się wymuszeniami, w tym ShinyHunters, nazwie, która staje się coraz bardziej znana w sprawach kradzieży danych i wymuszeń.

Dlaczego BYOD czyni ten atak tak skutecznym

Urządzenia prywatne znajdują się poza obwodem bezpieczeństwa, który większość firm buduje wokół sprzętu służbowego. Służbowy laptop może mieć wykrywanie punktów końcowych, ograniczone uprawnienia aplikacji i konfiguracje zarządzane przez IT. Prywatny telefon używany do sprawdzania poczty e-mail lub dołączania do rozmowy w Teams zazwyczaj nie ma nic z tych rzeczy. Jest to również urządzenie, na które pracownicy najprawdopodobniej odbiorą połączenie bez zastanowienia, ponieważ to ten sam telefon, którego używają ich rodzina i przyjaciele.

Ta luka w zaufaniu jest dokładnie tym, co wykorzystuje voice phishing (czasami nazywany vishingiem). Atakujący nie muszą łamać szyfrowania ani znajdować luki w oprogramowaniu. Potrzebują pracownika, który wierzy, że osoba po drugiej stronie słuchawki naprawdę jest z IT i próbuje pomóc, a nie zaszkodzić. Doniesienia wskazują, że atakujący nadużywają również legalnych funkcji współpracy, takich jak dostęp zewnętrzny w Microsoft Teams, aby wtopić się w normalną komunikację biznesową, zamiast wywoływać oczywiste sygnały ostrzegawcze.

Ten wzorzec odzwierciedla szerszy trend w wielu branżach. W ataku ransomware na Jack Henry atakujący podobnie wykorzystali rozmowę telefoniczną zamiast technicznego exploitu, aby zdobyć przyczółek, co podkreśla, że socjotechnika oparta na głosie stała się preferowanym punktem wejścia właśnie dlatego, że omija tradycyjne zabezpieczenia techniczne.

Aspekt Graph API: Zamiana dostępu w informacje wywiadowcze

Po dostaniu się do konta atakujący według doniesień wykorzystują Microsoft Graph API, legalne narzędzie używane przez deweloperów do interakcji z danymi Microsoft 365, do zmapowania środowiska organizacji. Pozwala im to szybko zidentyfikować, które skrzynki pocztowe, pliki lub konta użytkowników są najcenniejsze, skutecznie przeprowadzając rekonesans przy użyciu własnej infrastruktury celu. Zamiast samodzielnie eksfiltrować dane w każdym przypadku, brokerzy początkowego dostępu wydają się przekazywać wartościowe przyczółki grupom wymuszającym, takim jak ShinyHunters, które specjalizują się w monetyzacji skradzionego dostępu poprzez kradzież danych i żądania okupu.

Ten podział pracy, jedna grupa włamuje się, a druga czerpie z tego korzyści, odzwierciedla to, co zaobserwowano w innych niedawnych przypadkach naruszeń. W naruszeniu danych Napoleon Perdis skradzione rekordy klientów zostały wycieknięte i przypisane sobie przez aktora zagrożenia działającego niezależnie od tego, kto mógł pierwotnie uzyskać dostęp do danych, co ilustruje, jak skompromitowany dostęp i publiczne wycieki danych są często obsługiwane przez całkowicie odrębne strony.

Co to oznacza dla Ciebie

Jeśli Twój pracodawca zezwala na dostęp BYOD do Microsoft 365, Teams lub służbowej poczty e-mail, jesteś potencjalnym punktem wejścia dla tego rodzaju ataku, niezależnie od stanowiska czy działu. Podstawowe ryzyko nie tkwi w luce w oprogramowaniu Microsoftu. Chodzi o założenie, że dzwoniący podający się za „wsparcie IT" jest tym, za kogo się podaje. Pracownicy powinni podchodzić sceptycznie do każdego nieoczekiwanego połączenia lub wiadomości tekstowej z prośbą o zresetowanie danych uwierzytelniających, zatwierdzenie monitu logowania lub zainstalowanie czegokolwiek, nawet jeśli dzwoniący brzmi na osobę znającą wewnętrzne systemy lub używa prawdziwych nazwisk pracowników.

Organizacje powinny również ponownie przeanalizować sposób weryfikacji i monitorowania urządzeń BYOD, ponieważ prywatny telefon z dostępem do firmowych usług chmurowych może stać się bezpośrednią ścieżką do wrażliwych danych bez konieczności dotykania firmowego laptopa.

Praktyczne wnioski

  • Zweryfikuj każdy kontakt z helpdeskiem IT przez znany wewnętrzny kanał przed podjęciem działań, nigdy przez numer lub metodę podaną przez dzwoniącego.
  • Włącz uwierzytelnianie wieloskładnikowe wymagające więcej niż prostego zatwierdzenia, ponieważ zmęczenie MFA i socjotechnika często idą w parze.
  • Zapytaj swojego pracodawcę o polityki bezpieczeństwa BYOD, w tym o to, czy prywatne urządzenia uzyskujące dostęp do Microsoft 365 podlegają regułom dostępu warunkowego lub kontroli zgodności urządzeń.
  • Zgłaszaj podejrzane połączenia lub wiadomości tekstowe podające się za IT natychmiast, nawet jeśli nie podjąłeś żadnych działań, aby zespoły ds. bezpieczeństwa mogły śledzić szerszą kampanię.

Kampanie voice phishingowe takie jak ta odnoszą sukces, ponieważ celują w ludzkie zaufanie, a nie w luki w oprogramowaniu. Zachowanie ostrożności wobec nieoczekiwanych połączeń i potwierdzanie próśb przez oficjalne kanały pozostaje jedną z najprostszych i najskuteczniejszych dostępnych obron.