ฟิชชิงทางเสียงค้นพบจุดอ่อนใหม่: โทรศัพท์ส่วนตัวของคุณ

คลื่นการโจมตีระลอกใหม่กำลังแสดงให้เห็นว่าทำไมเส้นแบ่งระหว่างอุปกรณ์ส่วนตัวและอุปกรณ์ที่ใช้ทำงานจึงสำคัญยิ่งกว่าเคย จากการรายงานเกี่ยวกับการค้นพบข่าวกรองภัยคุกคามของ Microsoft กลุ่มที่ถูกติดตามในชื่อ Storm-3032 และ Storm-3121 กำลังโทรและส่งข้อความหาพนักงานบนโทรศัพท์ส่วนตัว โดยแอบอ้างเป็นเจ้าหน้าที่ฝ่ายสนับสนุนไอทีภายใน เมื่อพนักงานเชื่อว่าสายนั้นเป็นของจริง ผู้โจมตีจะแนะนำขั้นตอนที่ทำให้สามารถเข้าถึงบัญชี Microsoft 365 ขององค์กรได้ โดยมักใช้ประโยชน์จากการตั้งค่า bring-your-own-device (BYOD) ที่โทรศัพท์ส่วนตัวถูกใช้เข้าสู่ระบบอีเมลที่ทำงาน Teams และ SharePoint ด้วย

สิ่งที่ทำให้แคมเปญนี้โดดเด่นไม่ใช่แค่กลวิธีการฟิชชิงทางเสียงเท่านั้น แต่เป็นสิ่งที่เกิดขึ้นหลังจากการเข้าถึงครั้งแรกสำเร็จ กลุ่มเหล่านี้ถูกกล่าวถึงว่าทำหน้าที่เป็นนายหน้าเข้าถึงเบื้องต้น (initial access brokers) คือเข้ามาในเครือข่าย ใช้ Microsoft Graph API สำรวจว่ามีข้อมูลและระบบใดบ้างที่เข้าถึงได้ แล้วระบุว่าเหยื่อรายใดมีค่าพอที่จะขายหรือส่งต่อ จากนั้นการเข้าถึงจะถูกส่งต่อไปยังกลุ่มกรรโชกทรัพย์ รวมถึง ShinyHunters ซึ่งเป็นชื่อที่เริ่มคุ้นหูมากขึ้นในคดีขโมยข้อมูลและการกรรโชกทรัพย์

ทำไม BYOD ทำให้การโจมตีนี้ได้ผลดีนัก

อุปกรณ์ส่วนตัวอยู่นอกขอบเขตความปลอดภัยที่บริษัทส่วนใหญ่วางไว้รอบฮาร์ดแวร์ขององค์กร แล็ปท็อปสำหรับงานอาจมีการตรวจจับ endpoint สิทธิ์แอปที่จำกัด และการตั้งค่าที่ไอทีจัดการ โทรศัพท์ส่วนตัวที่ใช้เช็กอีเมลหรือเข้าร่วมประชุม Teams ปกติแล้วไม่มีสิ่งเหล่านั้นเลย นอกจากนี้ยังเป็นอุปกรณ์ที่พนักงานมีแนวโน้มรับสายโดยไม่คิดมากที่สุด เพราะเป็นเบอร์เดียวกับที่ครอบครัวและเพื่อนใช้

ช่องว่างของความไว้วางใจนั้นคือสิ่งที่การฟิชชิงทางเสียง (บางครั้งเรียกว่า vishing) ใช้ประโยชน์ ผู้โจมตีไม่จำเป็นต้องเจาะการเข้ารหัสหรือหา flaw ของซอฟต์แวร์ พวกเขาต้องการเพียงพนักงานที่เชื่อว่าคนบนสายมาจากไอทีจริงและกำลังช่วย ไม่ใช่ทำร้าย รายงานระบุว่าผู้โจมตียังใช้ฟีเจอร์การทำงานร่วมกันที่ถูกต้องตามกฎ เช่น การเข้าถึงภายนอกใน Microsoft Teams เพื่อกลมกลืนกับการสื่อสารทางธุรกิจปกติแทนที่จะกระตุ้นสัญญาณเตือนที่ชัดเจน

รูปแบบนี้สอดคล้องกับแนวโน้มที่กว้างขึ้นในหลายอุตสาหกรรม ในการโจมตีแรนซัมแวร์ของ Jack Henry ผู้โจมตีก็ใช้การโทรศัพท์แทนการเจาะทางเทคนิคเพื่อสร้างฐานที่มั่น เน้นย้ำว่าการหลอกลวงทางสังคมด้วยเสียงกลายเป็นจุดเข้าที่ถูกเลือกใช้ เพราะมันหลบเลี่ยงการป้องกันทางเทคนิคแบบดั้งเดิมได้โดยตรง

มุมมอง Graph API: เปลี่ยนการเข้าถึงให้เป็นข่าวกรอง

เมื่ออยู่ภายในบัญชีแล้ว ผู้โจมตีถูกกล่าวถึงว่าใช้ Microsoft Graph API ซึ่งเป็นเครื่องมือที่ถูกต้องตามกฎที่นักพัฒนาใช้โต้ตอบกับข้อมูล Microsoft 365 เพื่อทำแผนที่สภาพแวดล้อมขององค์กร สิ่งนี้ทำให้พวกเขาระบุได้อย่างรวดเร็วว่ากล่องจดหมาย ไฟล์ หรือบัญชีผู้ใช้ใดมีค่าที่สุด ซึ่งเท่ากับทำการลาดตระเวนโดยใช้โครงสร้างพื้นฐานของเป้าหมายเอง แทนที่จะขโมยข้อมูลเองในทุกกรณี นายหน้าเข้าถึงเบื้องต้นดูเหมือนจะส่งต่อฐานที่มั่นที่มีค่าสูงให้กลุ่มกรรโชกทรัพย์อย่าง ShinyHunters ซึ่งเชี่ยวชาญในการทำเงินจากการเข้าถึงที่ถูกขโมยผ่านการขโมยข้อมูลและการเรียกค่าไถ่

การแบ่งงานเช่นนี้ กลุ่มหนึ่งเจาะเข้าไป อีกกลุ่มหนึ่งทำเงิน สะท้อนสิ่งที่เห็นในคดีละเมิดข้อมูลอื่นๆ ที่ผ่านมา ในการละเมิดข้อมูลของ Napoleon Perdis บันทึกลูกค้าที่ถูกขโมยถูกรั่วไหลและอ้างสิทธิ์โดยผู้คุกคามที่ดำเนินการแยกจากผู้ที่อาจเข้าถึงข้อมูลเดิม ซึ่งแสดงให้เห็นว่าการเข้าถึงที่ถูกบุกรุกและการรั่วไหลของข้อมูลสาธารณะมักถูกจัดการโดยฝ่ายที่แยกจากกันโดยสิ้นเชิง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากนายจ้างของคุณอนุญาตให้ใช้ BYOD เข้าถึง Microsoft 365, Teams หรืออีเมลองค์กร คุณคือจุดเข้าที่เป็นไปได้สำหรับการโจมตีแบบนี้ ไม่ว่าตำแหน่งงานหรือแผนกของคุณจะเป็นอะไร ความเสี่ยงหลักไม่ใช่ flaw ในซอฟต์แวร์ของ Microsoft แต่เป็นการสมมติว่าผู้ที่โทรมาแอบอ้างเป็น "ฝ่ายสนับสนุนไอที" เป็นคนที่พวกเขาอ้างว่าเป็นจริง พนักงานควรระแวงสายหรือข้อความที่ไม่ได้รับเชิญใดๆ ที่ขอให้รีเซ็ตรหัสผ่าน อนุมัติการแจ้งเตือนเข้าสู่ระบบ หรือติดตั้งสิ่งใด แม้ว่าผู้โทรจะฟังดูมีความรู้เกี่ยวกับระบบภายในหรือใช้ชื่อพนักงานจริง

องค์กรควรทบทวนวิธีตรวจสอบและเฝ้าติดตามอุปกรณ์ BYOD ด้วย เนื่องจากโทรศัพท์ส่วนตัวที่เข้าถึงบริการคลาวด์ขององค์กรได้อาจกลายเป็นเส้นทางตรงสู่ข้อมูลอ่อนไหวโดยไม่ต้องแตะแล็ปท็อปที่เป็นของบริษัทเลย

สิ่งที่ควรนำไปปฏิบัติ

  • ตรวจสอบการติดต่อจากฝ่ายสนับสนุนไอทีใดๆ ผ่านช่องทางภายในที่รู้จักก่อนดำเนินการ ห้ามใช้หมายเลขหรือวิธีที่ผู้โทรให้มาเด็ดขาด
  • เปิดใช้การยืนยันตัวตนหลายปัจจัยที่ต้องมากกว่าการแตะอนุมัติ простоๆ เนื่องจากความเหนื่อยล้าจาก MFA และการหลอกลวงทางสังคมมักมาคู่กัน
  • สอบถามนายจ้างเกี่ยวกับนโยบายความปลอดภัยของ BYOD รวมถึงว่าอุปกรณ์ส่วนตัวที่เข้าถึง Microsoft 365 อยู่ภายใต้กฎการเข้าถึงแบบมีเงื่อนไขหรือการตรวจสอบความสอดคล้องของอุปกรณ์หรือไม่
  • รายงานสายหรือข้อความที่น่าสงสัยที่อ้างว่ามาจากไอทีทันที แม้ว่าคุณจะไม่ได้ดำเนินการใดๆ ตามนั้น เพื่อให้ทีมความปลอดภัยติดตามแคมเปญที่กว้างขึ้นได้

แคมเปญฟิชชิงทางเสียงเช่นนี้ประสบความสำเร็จเพราะมุ่งเป้าที่ความไว้วางใจของมนุษย์มากกว่าช่องโหว่ของซอฟต์แวร์ การระมัดระวังต่อสายที่ไม่คาดคิดและการยืนยันคำขอผ่านช่องทางทางการยังคงเป็นการป้องกันที่ง่ายและมีประสิทธิผลที่สุดวิธีหนึ่งที่มีอยู่