PREY-0058: สายปลอมจากฝ่ายไอทีขโมยข้อมูล Microsoft 365

กลุ่มภัยคุกคามที่เพิ่งถูกระบุใหม่ที่รู้จักกันในชื่อ PREY-0058 กำลังกำหนดเป้าหมายบัญชี Microsoft 365 ขององค์กรผ่านการผสมผสานระหว่างวิศวกรรมสังคมแบบดั้งเดิมและการขโมยโทเค็นสมัยใหม่ ตามงานวิจัยที่ถูกกล่าวถึงโดย The Hacker News กลุ่มนี้ใช้การโทรแบบวิศชิง (vishing) จากฝ่ายช่วยเหลือ (help desk) รวมกับการขโมยโทเค็นเซสชันแบบ adversary-in-the-middle (AitM) เพื่อเจาะเข้าไปใน Microsoft 365 และแพลตฟอร์ม SaaS อื่นๆ จากนั้นจึงข่มขู่เหยื่อด้วยข้อมูลที่ถูกขโมย แคมเปญนี้เป็นเครื่องเตือนใจว่าแม้แต่การยืนยันตัวตนหลายปัจจัย (MFA) ที่ตั้งค่าอย่างดีก็สามารถถูกเอาชนะได้เมื่อผู้โจมตีกำหนดเป้าหมายที่มนุษย์และกระบวนการรอบข้างแทนที่จะเป็นหน้าจอเข้าสู่ระบบเอง

PREY-0058 คืออะไรและกลโกงสายจากฝ่ายช่วยเหลือทำงานอย่างไร

PREY-0058 คือชื่อเรียกที่ตั้งให้กับกลุ่มการโจมตีนี้ และวิธีการของมันเน้นที่การปลอมตัวเป็นฝ่ายสนับสนุนด้านไอที แทนที่จะส่งอีเมลฟิชชิงและหวังว่ามีคนคลิกลิงก์ ผู้โจมตี reportedly โทรศัพท์หาพนักงาน ผู้บริหาร หรือฝ่ายช่วยเหลือด้านไอที โดยแอบอ้างเป็นเจ้าหน้าที่สนับสนุนทางเทคนิคที่ถูกต้องตามกฎหมาย นี่คือวิศชิง: วิศวกรรมสังคมผ่านเสียงที่ออกแบบมาเพื่อสร้างความไว้วางใจอย่างรวดเร็วและกดดันให้เหยื่อลงมือทำก่อนที่จะคิดตรวจสอบว่าพวกเขากำลังพูดด้วยใครจริงๆ

เป้าหมายของการโทรเหล่านี้มักจะเป็นการโน้มน้าวให้เหยื่อรีเซ็ตรหัสผ่าน อนุมัติพรอมpt การเข้าสู่ระบบ หรือมอบรหัสแบบใช้ครั้งเดียว เนื่องจากคำขอดูเหมือนมาจากแหล่งไอทีภายใน มันจึงเล็ดลอดผ่านสัญชาตญาณที่พนักงานหลายคนพัฒนาขึ้นเกี่ยวกับอีเมลที่น่าสงสัย วิศชิงใช้ประโยชน์จากช่องว่างที่เครื่องมือรักษาความปลอดภัยอีเมลไม่สามารถปิดได้: การโทรศัพท์ให้ความรู้สึกเป็นส่วนตัวและเร่งด่วนในแบบที่ข้อความในกล่องขาเข้าไม่ให้

การโจมตีแบบ Adversary-in-the-Middle เลี่ยง MFA ได้อย่างไร

สิ่งที่ทำให้ PREY-0058 มีประสิทธิภาพเป็นพิเศษคือครึ่งหลังของแผนการ: การขโมยโทเค็นแบบ adversary-in-the-middle ในการโจมตี AitM ผู้คุกคามไม่ได้แค่ขโมยชื่อผู้ใช้และรหัสผ่าน แต่พวกเขาแทรกตัวเองระหว่างเหยื่อและบริการเข้าสู่ระบบจริง ซึ่งมักจะใช้หน้าเว็บยืนยันตัวตนปลอมที่ดูน่าเชื่อถือ เมื่อเหยื่อเข้าสู่ระบบและทำขั้นตอน MFA เสร็จสิ้น พร็อกซีของผู้โจมตีจะจับโทเค็นเซสชันที่เกิดขึ้น ซึ่งเป็นข้อมูลที่พิสูจน์ว่าผู้ใช้ได้รับการยืนยันตัวตนแล้ว

เรื่องนี้สำคัญเพราะโทเค็นเซสชันที่ถูกขโมยทำให้ผู้โจมตีสามารถข้ามขั้นตอนการเข้าสู่ระบบทั้งหมดได้ พวกเขาไม่จำเป็นต้องเดารหัสผ่านหรือหลอกให้ใครอนุมัติการแจ้งเตือนแบบพุชเป็นครั้งที่สอง พวกเขาเพียงแค่ใช้โทเค็นที่ถูกจับซ้ำเพื่อเข้าถึง Microsoft 365 ราวกับว่าเป็นผู้ใช้ที่ถูกต้องตามกฎหมาย รวมถึง MFA ทั้งหมด มันเป็นเทคนิคที่เคยถูกใช้กับสภาพแวดล้อม Microsoft 365 มาก่อน แต่การจับคู่กับการโทรวิศชิงสดเพื่อให้ได้การเข้าถึงครั้งแรกหรือรีเซ็ตข้อมูลรับรองเพิ่มชั้นการบิดเบือนของมนุษย์ที่การป้องกันทางเทคนิคเพียงอย่างเดียวแทบจะจับไม่ได้

ใครคือเป้าหมายและข้อมูลใดที่ตกอยู่ในความเสี่ยง

รายงานเกี่ยวกับ PREY-0058 ระบุว่าแคมเปญนี้มุ่งเน้นที่การขโมยข้อมูลจาก Microsoft 365 และบริการ SaaS อื่นๆ โดยเป้าหมายสุดท้ายคือการข่มขู่มากกว่าการยึดบัญชีง่ายๆ เพื่อสแปมหรือฉ้อโกง รูปแบบนี้ คือ เข้าถึงได้ ขโมยไฟล์หรือการสื่อสารที่ละเอียดอ่อน จากนั้นเรียกร้องเงินเพื่อป้องกันการเปิดเผย สะท้อนให้เห็นการเปลี่ยนแปลงที่กว้างขึ้นในอาชญากรรมไซเบอร์ไปสู่การขโมยข้อมูลและการข่มขู่ แทนที่จะเป็นการเข้ารหัสแรนซัมแวร์แบบดั้งเดิม ผู้บริหารและพนักงานที่มีมูลค่าสูงคนอื่นๆ ดูเหมือนจะเป็นจุดสนใจ อาจเป็นเพราะกล่องจดหมายและพื้นที่จัดเก็บคลาวด์ของพวกเขามีข้อมูลทางการเงิน กฎหมาย หรือกลยุทธ์ที่ละเอียดอ่อนซึ่งเป็น leverage ที่มีประสิทธิภาพในการพยายามข่มขู่

สิ่งนี้เข้ากับแนวโน้มใหญ่ที่ถูกบันทึกไว้ทั่วอุตสาหกรรม: วิศวกรรมสังคม ซึ่งเพิ่มความสามารถด้วยกลยุทธ์การปลอมตัวที่น่าเชื่อถือมากขึ้น กำลังแซงหน้าการป้องกันที่มีอยู่ของหลายองค์กร การสำรวจล่าสุดเกี่ยวกับ ฟิชชิง AI และดีพเฟค พบว่าผู้นำธุรกิจส่วนใหญ่รู้สึกมั่นใจในสถานะความปลอดภัยของตนแม้การโจมตีแบบปลอมตัวผ่านเสียงและ AI จะยังคงประสบความสำเร็จอย่างต่อเนื่อง PREY-0058 เป็นตัวอย่างในโลกจริงของช่องว่างระหว่างความมั่นใจและความพร้อม

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณพึ่งพา Microsoft 365 แคมเปญนี้เป็นสัญญาณให้มองไปไกลกว่าความแข็งแกร่งของรหัสผ่านและอัตราการลงทะเบียน MFA ผู้โจมตีปรับตัวเข้ากับโลกที่ MFA เป็นมาตรฐานแล้ว และตอนนี้พวกเขากำลังกำหนดเป้าหมายกระบวนการตรวจสอบรอบข้าง รวมถึงฝ่ายช่วยเหลือ การรีเซ็ตรหัสผ่าน และคำขอสนับสนุนผ่านโทรศัพท์ พนักงาน โดยเฉพาะผู้บริหารและเจ้าหน้าที่ไอที ต้องรู้ว่าการโทรศัพท์ที่อ้างว่ามาจากฝ่ายสนับสนุนภายในไม่น่าเชื่อถือโดยอัตโนมัติเพียงเพราะฟังดูเป็นทางการ

ขั้นตอนปฏิบัติเพื่อปกป้องบัญชีองค์กร

องค์กรสามารถลดความเสี่ยงต่อการโจมตีเช่น PREY-0058 ได้ด้วยการเปลี่ยนแปลงเชิงปฏิบัติไม่กี่อย่าง ฝ่ายช่วยเหลือควรใช้ขั้นตอนการยืนยันตัวตนที่เข้มงวดสำหรับคำขอรีเซ็ตรหัสผ่านหรือการลงทะเบียน MFA ใหม่ทุกครั้ง โดย ideally ต้องมีการโทรกลับไปยังหมายเลขที่รู้จักหรือการตรวจสอบผ่านช่องทางแยกที่ตั้งไว้ล่วงหน้า แทนที่จะเชื่อคำพูดของผู้โทร ทีมรักษาความปลอดภัยควรพิจารณาวิธีการยืนยันตัวตนที่ต้านทานฟิชชิง เช่น คีย์ความปลอดภัยฮาร์ดแวร์ ซึ่งยากกว่ามากสำหรับพร็อกซี AitM ที่จะดักจับเมื่อเทียบกับรหัสแบบใช้ครั้งเดียวหรือการอนุมัติแบบพุช การเฝ้าติดตามการใช้งานโทเค็นเซสชันที่ผิดปกติ เช่น การเข้าสู่ระบบจากสถานที่ที่ไม่คาดคิดทันทีหลังจากการโต้ตอบกับฝ่ายช่วยเหลือ สามารถช่วยจับการบุกรุกก่อนที่ข้อมูลจะถูกขโมยออกไป สุดท้าย การฝึกอบรมประจำที่ครอบคลุมสถานการณ์วิศชิงโดยเฉพาะ ไม่ใช่แค่ฟิชชิงทางอีเมล จะให้แนวทางปฏิบัติแก่พนักงานเมื่อการโทรรู้สึกไม่ถูกต้อง

บทเรียนที่กว้างขึ้นจาก PREY-0058 คือการโจมตีแบบวิศชิง Microsoft 365 ประสบความสำเร็จด้วยการใช้ประโยชน์จากช่องว่างของความไว้วางใจและกระบวนการ ไม่ใช่ช่องโหว่ทางเทคนิคในตัวแพลตฟอร์ม ในขณะที่ผู้โจมตียังคงผสมผสานวิศวกรรมสังคมกับการขโมยโทเค็นทางเทคนิค การป้องกันแบบหลายชั้นที่คำนึงถึงพฤติกรรมมนุษย์จึงไม่ใช่ทางเลือกอีกต่อไป ใช้เวลาสองสามนาทีในสัปดาห์นี้เพื่อทบทวนนโยบายการตรวจสอบของฝ่ายช่วยเหลือในองค์กรของคุณ และยืนยันว่าทีมของคุณรู้ว่าคำขอไอทีที่ถูกต้องตามกฎหมายจริงๆ มีหน้าตาเป็นอย่างไร