กลเม็ดเก่าในรูปแบบใหม่: Vishing พบกับระบบอัตโนมัติ

กลุ่มภัยคุกคามที่ถูกติดตามในชื่อ UNC6671 ได้ค้นพบวิธีการผสมผสานกลยุทธ์วิศวกรรมสังคมแบบเก่าเข้ากับระบบอัตโนมัติสมัยใหม่ และผลลัพธ์ที่ได้กำลังสร้างความเสียหายอย่างหนักให้กับองค์กรที่ตกเป็นเหยื่อ ตามรายงานกิจกรรมของกลุ่มนี้ UNC6671 ปลอมตัวเป็นเจ้าหน้าที่ฝ่ายช่วยเหลือด้านไอทีภายในผ่านทางโทรศัพท์ เพื่อหลอกให้พนักงานส่งมอบการเข้าถึงบัญชี Microsoft 365 และ Okta ของตน เมื่อเข้าไปได้แล้ว กลุ่มนี้จะขโมยโทเค็นเซสชันที่ใช้งานอยู่ ซึ่งทำให้ผู้โจมตีสามารถเลี่ยงรหัสผ่านและการยืนยันตัวตนแบบหลายปัจจัยได้อย่างสมบูรณ์ จากนั้นจึงใช้ระบบอัตโนมัติขโมยข้อมูลองค์กรเพื่อจุดประสงค์ในการขู่กรรโชก

สิ่งที่ทำให้แคมเปญนี้น่าสนใจไม่ใช่วิธีการติดต่อเริ่มต้น การโทรเพื่อหลอกลวงทางเสียงหรือ “vishing” เป็นกลยุทธ์ที่รู้จักกันมานานหลายปี แต่เป็นระบบอัตโนมัติที่เสริมเข้ามาต่างหาก ที่เปลี่ยนการโทรที่สำเร็จเพียงครั้งเดียวให้กลายเป็นปฏิบัติการขโมยข้อมูลที่ขยายผลได้ในวงกว้าง ซึ่งสามารถเก็บเกี่ยวไฟล์และการสื่อสารไปทั่วทั้งสภาพแวดล้อม Microsoft 365 อย่างเงียบเชียบก่อนที่ใครจะทันสังเกต

วิธีการโจมตีที่เกิดขึ้นจริง

โดยทั่วไปการโจมตีเริ่มต้นด้วยการโทรศัพท์ พนักงานได้รับสายที่ดูเหมือนเป็นเรื่องปกติจากทีมสนับสนุนด้านไอทีของบริษัท ซึ่งมักอ้างถึงปัญหาทางเทคนิคที่ฟังดูสมเหตุสมผล เช่น ปัญหาการเข้าสู่ระบบหรือบัญชีถูกล็อก ผู้โทรจะแนะนำเป้าหมายผ่านขั้นตอนต่างๆ จนท้ายที่สุดก็ส่งมอบโทเค็นเซสชันที่ใช้งานอยู่หรือข้อมูลประจำตัวที่เชื่อมโยงกับ Microsoft 365 หรือ Okta ซึ่งเป็นแพลตฟอร์มข้อมูลประจำตัวที่หลายองค์กรใช้ในการจัดการการเข้าสู่ระบบเพียงครั้งเดียว (single sign-on) ในเครื่องมือคลาวด์ต่างๆ

โทเค็นเซสชันมีค่าอย่างยิ่งสำหรับผู้โจมตี เนื่องจากมันแสดงถึงเซสชันที่ผ่านการยืนยันตัวตนแล้ว แทนที่จะต้องเจาะรหัสผ่านหรือเอาชนะการยืนยันตัวตนแบบหลายปัจจัย ผู้โจมตีเพียงแค่นำโทเค็นกลับมาใช้ใหม่เพื่อปลอมตัวเป็นผู้ใช้ที่ถูกต้อง โดยมักไม่ก่อให้เกิดการแจ้งเตือนเหมือนกับการเข้าสู่ระบบใหม่ที่น่าสงสัย

เมื่อสร้างการเข้าถึงนั้นได้แล้ว มีรายงานว่า UNC6671 ทำให้กระบวนการดึงข้อมูลออกจากสภาพแวดล้อม Microsoft 365 ที่ถูกบุกรุกเป็นแบบอัตโนมัติ แทนที่จะมีผู้ปฏิบัติการมนุษย์คอยค้นหาในกล่องจดหมายและไดรฟ์ที่แชร์ด้วยตนเอง เครื่องมือสคริปต์จะทำงานหนักแทน โดยรวบรวมอีเมล ไฟล์ และข้อมูลสำคัญอื่นๆ ในวงกว้าง ข้อมูลที่ถูกขโมยมานั้นจะกลายเป็นเครื่องมือต่อรองในแผนการขู่กรรโชก โดยกลุ่มดังกล่าวขู่ว่าจะเผยแพร่หรือขายข้อมูลหากไม่มีการจ่ายเงิน

รูปแบบนี้สอดคล้องกับสิ่งที่นักวิจัยได้บันทึกไว้ใน การโจมตีกองทุนเฮดจ์ฟันด์ที่เชื่อมโยงกับกลุ่มขู่กรรโชก UNC6671 ซึ่งบริษัทการเงินถูกโจมตีโดยใช้กลวิธีทางวิศวกรรมสังคมและการขู่กรรโชกข้อมูลในลักษณะคล้ายคลึงกัน องค์กรด้านบริการทางการเงินมักเป็นเป้าหมายที่น่าดึงดูด เพราะมีข้อมูลลูกค้าที่ละเอียดอ่อนปริมาณมาก และมักเผชิญกับแรงกดดันที่ต้องจัดการเหตุการณ์ให้รวดเร็วและเงียบเชียบ

เหตุใดเรื่องนี้จึงสำคัญเกินกว่าพาดหัวข่าวการละเมิดข้อมูล

อาจจะง่ายที่จะมองว่านี่เป็นอีกเรื่องหนึ่งเกี่ยวกับการละเมิดข้อมูลองค์กร แต่ผลกระทบด้านความเป็นส่วนตัวนั้นแผ่ขยายออกไป เมื่อกลุ่มภัยคุกคามเข้าควบคุมเซสชัน Microsoft 365 ของพนักงาน พวกเขาไม่ได้เพียงแค่เข้าถึงไฟล์ภายในบริษัทเท่านั้น แต่ยังอาจมองเห็นบันทึกของลูกค้า ข้อมูลส่วนบุคคลของลูกค้าหรือคู่ค้า และการสื่อสารภายในที่ไม่ควรจะหลุดออกไปนอกองค์กรเลย

เนื่องจากการเข้าถึงครั้งแรกอาศัยวิศวกรรมสังคมมากกว่าช่องโหว่ทางเทคนิค เครื่องมือรักษาความปลอดภัยแบบดั้งเดิม เช่น การแพตช์ หรือการตรวจจับที่จุดปลายทาง (endpoint detection) จึงไม่สามารถหยุดการโจมตีที่ต้นตอได้ จุดอ่อนที่ถูกใช้ประโยชน์คือความไว้วางใจของมนุษย์ โดยเฉพาะอย่างยิ่งการสันนิษฐานที่สมเหตุสมผลของพนักงานว่า สายที่อ้างว่าเป็นฝ่ายสนับสนุนด้านไอทีคือฝ่ายสนับสนุนด้านไอทีจริงๆ นั่นทำให้รูปแบบการโจมตีนี้ยากที่จะกำจัดให้หมดไปด้วยเทคโนโลยีเพียงอย่างเดียว และยิ่งเพิ่มน้ำหนักให้กับการฝึกอบรมและกระบวนการยืนยันตัวตนภายในองค์กร

มุมมองด้านระบบอัตโนมัติก็สำคัญเช่นกัน เมื่อขโมยโทเค็นเซสชันได้แล้ว ความเร็วและขนาดที่สามารถนำข้อมูลออกไปได้จะทำให้หน้าต่างเวลาที่ทีมรักษาความปลอดภัยจะตรวจจับและตอบสนองก่อนที่ข้อมูลสำคัญจำนวนมากจะหายไปแล้วนั้นแคบลงเรื่อยๆ

สิ่งนี้หมายความอย่างไรสำหรับคุณ

หากคุณทำงานในองค์กรที่ใช้ Microsoft 365 หรือ Okta และนายจ้างรายใหญ่ส่วนใหญ่ก็ใช้ แคมเปญนี้คือเครื่องเตือนใจว่าความระมัดระวังของคุณเองระหว่างสายไอทีที่ดูเหมือนปกติมีความสำคัญมากกว่าที่คิด ฝ่ายไอทีที่ถูกต้องแทบจะไม่ขอให้พนักงานอ่านรหัสแบบใช้ครั้งเดียว อนุมัติข้อความแจ้งเข้าสู่ระบบที่ไม่คาดคิด หรือไปยังหน้ารีเซ็ตที่ไม่คุ้นเคยในระหว่างสายที่ไม่ได้รับเชิญ

สำหรับบุคคลทั่วไป ข้อคิดสำคัญไม่ใช่เรื่องการดาวน์โหลดซอฟต์แวร์ใหม่ แต่เป็นเรื่องของนิสัย จงสงสัยสายที่ไม่ได้รับเชิญซึ่งขอเข้าถึงบัญชี แม้ว่าผู้โทรจะฟังดูรู้เรื่องระบบภายในบริษัทของคุณเป็นอย่างดีก็ตาม ตรวจสอบคำขอผ่านช่องทางที่แยกต่างหากและรู้จักกันดี เช่น การโทรกลับไปยังแผนกไอทีของคุณโดยใช้หมายเลขจากสมุดรายชื่อภายใน แทนที่จะใช้หมายเลขที่ผู้โทรระบุ

แนวทางปฏิบัติที่นำไปใช้ได้จริง

ขั้นตอนที่ปฏิบัติได้จริงเพียงไม่กี่ขั้นสามารถลดความเสี่ยงจากการโจมตีประเภทนี้ได้:

  • ปฏิบัติต่อสายสนับสนุนด้านไอทีที่ไม่ได้รับเชิญด้วยความระมัดระวัง โดยเฉพาะสายที่ขอรหัสเข้าสู่ระบบ การอนุมัติเซสชัน หรือการรีเซ็ตรหัสผ่าน
  • ตรวจสอบคำขอด้านไอทีใดๆ ผ่านหมายเลขโทรศัพท์ที่มาจากแหล่งอิสระหรือระบบแชทภายใน ไม่ใช่หมายเลขโทรกลับที่ให้ไว้ระหว่างสายที่น่าสงสัย
  • รายงานสายที่ผิดปกติจากฝ่ายช่วยเหลือให้ทีมรักษาความปลอดภัยของคุณทราบทันที แม้ว่าคุณจะไม่ได้เปิดเผยข้อมูลใดๆ เพราะอาจเป็นสิ่งบ่งชี้ว่าองค์กรของคุณกำลังตกเป็นเป้าหมาย
  • หากคุณสงสัยว่าเซสชันของคุณถูกบุกรุก ให้ขอให้ฝ่ายไอทีเพิกถอนโทเค็นที่ใช้งานอยู่และบังคับให้เข้าสู่ระบบใหม่พร้อมการยืนยันตัวตนแบบหลายปัจจัย

แคมเปญของ UNC6671 แสดงให้เห็นว่า เมื่อองค์กรต่างๆ เสริมสร้างการป้องกันทางเทคนิคให้แข็งแกร่งขึ้น ผู้โจมตีก็จะมุ่งเป้าไปที่ชั้นมนุษย์มากขึ้น การตื่นตัวต่อความพยายามทางวิศวกรรมสังคมยังคงเป็นหนึ่งในการป้องกันที่มีประสิทธิภาพและต้นทุนต่ำที่สุดสำหรับพนักงานทั่วไป