ผู้โจมตีกำลังปลอมตัวเป็นพนักงานฝ่ายช่วยเหลือใน Microsoft Teams

กลุ่มแฮ็กเกอร์ที่มีแรงจูงใจทางการเงินกำลังใช้ Microsoft Teams ในทางที่ผิดเพื่อเจาะเข้าสู่เครือข่ายองค์กร ตามที่นักวิจัยที่ถูกอ้างถึงโดย Cybersecurity Dive ระบุ แคมเปญนี้ได้โจมตีบริษัทหลายสิบแห่งทั่วสหรัฐอเมริกาและแคนาดา โดยใช้ตัวตนปลอมเป็นฝ่ายสนับสนุนไอทีเพื่อหลอกให้พนักงานมอบสิทธิ์การเข้าถึงระยะไกลให้กับเครื่องของตน เมื่อเข้าไปด้านในแล้ว ผู้โจมตีจะปล่อยแรนซัมแวร์ เข้ารหัสไฟล์ และเรียกร้องค่าไถ่

ต่างจากการบุกรุกที่โด่งดังหลายครั้งที่เชื่อมโยงกับการจารกรรมโดยรัฐ นักวิจัยกล่าวว่าปฏิบัติการนี้ดูเหมือนจะมีแรงจูงใจทางการเงินล้วนๆ ผู้โจมตีไม่ได้ต้องการข่าวกรองหรือการเข้าถึงเพื่อการเฝ้าระวังระยะยาว พวกเขาต้องการเงินค่าไถ่ และ Microsoft Teams ก็กลายเป็นเครื่องมือที่สะดวกในการได้มา

กลโกงทำงานอย่างไร

กลยุทธ์นี้อาศัยวิศวกรรมสังคมมากกว่าช่องโหว่ของซอฟต์แวร์ ผู้โจมตีติดต่อพนักงานผ่าน Microsoft Teams โดยปลอมตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุนไอทีภายใน เนื่องจาก Teams เป็นเครื่องมือสื่อสารที่เชื่อถือได้และใช้ในชีวิตประจำวันภายในองค์กรส่วนใหญ่ พนักงานจึงมีแนวโน้มที่จะลดความระวังลงมากกว่าการได้รับอีเมลหรือโทรศัพท์ที่ไม่พึงประสงค์จากหมายเลขที่ไม่รู้จัก

เมื่อพนักงานเชื่อว่ากำลังพูดคุยกับฝ่ายสนับสนุนไอทีที่ถูกต้อง ผู้โจมตีจะโน้มน้าวให้พวกเขาอนุญาตการเข้าถึงคอมพิวเตอร์จากระยะไกล โดยมักอ้างว่าเป็นการแก้ไขปัญหาทางเทคนิค จากนั้นผู้บุกรุกสามารถเคลื่อนที่ในแนวขวางไปทั่วเครือข่าย เก็บรวบรวมข้อมูลประจำตัว และท้ายที่สุดปล่อยแรนซัมแวร์ไปยังระบบและเซิร์ฟเวอร์ที่ใช้ร่วมกัน

แนวทางนี้สะท้อนแนวโน้มที่กว้างขึ้นในอาชญากรรมไซเบอร์: ผู้โจมตีนิยมการปลอมตัวและการใช้ประโยชน์จากความไว้วางใจมากกว่าการโจมตีทางเทคนิค เพราะบ่อยครั้งการโน้มน้าวให้คนเปิดประตูง่ายกว่าการพังไฟร์วอลล์

ผลกระทบด้านความเป็นส่วนตัวจากการละเมิดด้วยแรนซัมแวร์

แม้ว่าโดยทั่วไปแรนซัมแวร์จะถูกมองว่าเป็นปัญหาด้านความต่อเนื่องทางธุรกิจ ไฟล์ที่ถูกเข้ารหัสและระบบที่ถูกล็อกเป็นเพียงส่วนหนึ่งของเรื่องราวเท่านั้น แคมเปญเหล่านี้มักเกี่ยวข้องกับการขโมยข้อมูลก่อนที่จะเริ่มการเข้ารหัสด้วยซ้ำ หมายความว่าบันทึกพนักงาน ข้อมูลลูกค้า และการสื่อสารภายในอาจอยู่ในมือของผู้โจมตีแล้วในเวลาที่ข้อความเรียกค่าไถ่ปรากฏขึ้น

ข้อมูลนั้นไม่จำเป็นต้องหายไปเมื่อจ่ายค่าไถ่หรือกู้คืนระบบแล้ว สามารถถูกขาย รั่วไหล หรือเก็บไว้เพื่อการรีดไถในอนาคต ผลที่ตามมาแผ่ขยายไปไกลเกินกว่าบริษัทที่ถูกละเมิด พนักงานที่ข้อมูลประจำตัวถูกรวบรวม ลูกค้าที่บันทึกถูกจัดเก็บไว้บนเซิร์ฟเวอร์ที่ถูกบุกรุก และคู่ค้าที่แลกเปลี่ยนไฟล์สำคัญ ล้วนอาจถูกเปิดเผย

โครงสร้างพื้นฐานเบื้องหลังแคมเปญเหล่านี้มักขึ้นอยู่กับผู้ให้บริการโฮสติ้งที่ยอมเมินเฉย หน่วยงานบังคับใช้กฎหมายได้สังเกตเห็นปัญหานี้ในที่อื่น: เมื่อเร็วๆ นี้ทางการเนเธอร์แลนด์ยึดเซิร์ฟเวอร์ 800 เครื่องและจับกุมบุคคลสองคนที่เชื่อมโยงกับปฏิบัติการโฮสติ้งกันกระสุนที่สนับสนุนกิจกรรมอาชญากรรมไซเบอร์ ซึ่งเป็นเครื่องเตือนใจว่าแคมเปญแรนซัมแวร์แทบจะไม่ดำเนินการอย่างโดดเดี่ยว พวกมันพึ่งพาระบบนิเวศที่กว้างขึ้นของบริการโฮสติ้ง การฟอกเงิน และการกระจายที่ข้ามพรมแดน

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

หากองค์กรของคุณใช้ Microsoft Teams และส่วนใหญ่ก็ใช้กัน แคมเปญนี้เป็นคำเตือนโดยตรงว่าแพลตฟอร์มแชทภายในกลายเป็นเวกเตอร์การโจมตีที่ใช้การได้ ไม่ใช่แค่กล่องจดหมายอีเมลเท่านั้น แผนกไอทีควรปฏิบัติต่อข้อความ Teams ที่ไม่พึงประสงค์จากผู้ติดต่อที่อ้างว่าเป็น "ฝ่ายสนับสนุน" ด้วยความสงสัยเช่นเดียวกับที่สงวนไว้สำหรับอีเมลฟิชชิ่ง

สำหรับพนักงานแต่ละคน บทเรียนนั้นเรียบง่าย: ฝ่ายสนับสนุนไอทีที่ถูกต้องแทบจะไม่เริ่มติดต่อด้วยวิธีนี้ และแทบจะไม่เคยขอให้คุณอนุญาตการเข้าถึงจากระยะไกลในทันทีโดยไม่มีการยืนยันก่อนผ่านระบบออกบัตรคำขอหรือช่องทางภายในที่รู้จัก หากมีสิ่งใดที่รู้สึกเร่งรีบหรือเร่งด่วนผิดปกติ ความเร่งด่วนนั้นมักจะเป็นสัญญาณบอกเหตุ

สำหรับธุรกิจที่จัดการข้อมูลลูกค้าหรือพนักงาน แคมเปญนี้ยังตอกย้ำว่าทำไมการลดปริมาณข้อมูลและการแบ่งส่วนเครือข่ายจึงมีความสำคัญ การจำกัดจำนวนข้อมูลละเอียดอ่อนที่อยู่ในระบบที่เข้าถึงได้เพียงระบบเดียวจะช่วยลดสิ่งที่ผู้โจมตีสามารถดึงออกไปได้ แม้ว่าพวกเขาจะผ่านด่านแรกของการป้องกันไปแล้วก็ตาม

ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงของคุณ

  • ตรวจสอบการติดต่อจากฝ่ายสนับสนุนไอทีผ่านระบบออกบัตรคำขออย่างเป็นทางการหรือสายโทรศัพท์ภายในที่รู้จักก่อนอนุญาตการเข้าถึงอุปกรณ์ของคุณจากระยะไกล
  • เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยใน Teams อีเมล และเครื่องมือการเข้าถึงระยะไกล เพื่อให้ข้อมูลประจำตัวที่ถูกบุกรุกเพียงอย่างเดียวไม่เพียงพอต่อการเคลื่อนที่ในแนวขวาง
  • ฝึกอบรมพนักงานโดยเฉพาะเกี่ยวกับกลยุทธ์การปลอมตัวผ่าน Teams ไม่ใช่แค่ฟิชชิ่งทางอีเมล เนื่องจากผู้โจมตีกำลังกระจายช่องทางเข้าอย่างชัดเจน
  • แบ่งส่วนข้อมูลละเอียดอ่อนและจำกัดสิทธิ์ผู้ดูแลระบบ เพื่อไม่ให้บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวสามารถเข้าถึงเครือข่ายทั้งหมดได้
  • ดูแลรักษาข้อมูลสำรองแบบออฟไลน์ที่ผ่านการทดสอบแล้ว เพื่อให้ข้อเรียกร้องค่าไถ่ของแรนซัมแวร์หมดอำนาจต่อรอง

แคมเปญแรนซัมแวร์ผ่าน Microsoft Teams นี้เป็นเครื่องเตือนใจว่าผู้โจมตีไปยังที่ที่มีความไว้วางใจอยู่แล้ว ขณะที่องค์กรต่างๆ พึ่งพาแพลตฟอร์มการทำงานร่วมกันมากขึ้นสำหรับการดำเนินงานประจำวัน เครื่องมือเดียวกันเหล่านั้นก็กลายเป็นเป้าหมายที่น่าสนใจสำหรับการปลอมตัว การตื่นตัวต่อคำขอ "สนับสนุน" ที่ไม่คาดคิด การยืนยันตัวตนผ่านช่องทางแยกต่างหาก และการปรับปรุงการฝึกอบรมด้านความปลอดภัยให้ทันสมัยอยู่เสมอ เป็นวิธีที่เรียบง่ายแต่มีประสิทธิภาพในการก้าวนำหน้าหนึ่งก้าว