Регистрация двух доменов, которые копируют корпоративные сервисы аутентификации, указывает на подготовку новой волны телефонных атак. Один ресурс повторяет страницу подключения многофакторной аутентификации (MFA - дополнительная проверка личности при входе). Второй выдает себя за портал внутренних приложений компании. Оба адреса связывают с Com - неформальным сообществом киберпреступников, члены которого работают малыми группами, свободно обмениваются инструментами и находят сообщников на закрытых форумах.
Описание
Схема опирается на звонок, а не на взлом кода. Злоумышленник набирает номер службы поддержки и представляется сотрудником компании. По легенде он потерял телефон и не может войти в рабочие системы. Дальше звучит просьба помочь: сбросить второй фактор, перевыпустить учетные данные или заменить привязанный номер. Сотрудник поддержки видит знакомое имя в корпоративном каталоге и выполняет операцию. Технические средства защиты такую операцию не блокируют, ведь вход выглядит законным.
По данным Unit 42, потенциальными целями могут стать более 30 организаций. Подготовку выявили по служебным адресам, созданным внутри двух доменов. Каждый такой адрес заранее закреплен за конкретной компанией. Подход позволяет злоумышленнику называть в разговоре правильное имя сайта и не вызывать подозрений. Часть адресов пока остается неиспользованной, поэтому кампания может растянуться на месяцы.
Список жертв охватывает разные сферы. В него входят строительство; горнодобыча; обрабатывающая промышленность; транспорт и логистика. Отдельно названы государственные структуры федерального уровня; финансовые услуги; страхование. Замыкают перечень высокотехнологичный сектор; медиа и развлечения; фармацевтика и науки о жизни; юридические и профессиональные услуги. Разброс объясняется просто: преступникам нужен доступ к деньгам, клиентским базам и внутренним системам.
Финансовые и страховые компании привлекают возможностью быстрых переводов. Промышленные предприятия интересны из-за доступа к технологическим сетям. Медицинские и фармацевтические организации хранят чувствительные данные, за утечку которых положены крупные штрафы. Государственные структуры открывают путь к подрядчикам и внутренней переписке. Для атакующего ценность цели определяется не размером компании, а тем, насколько легко уговорить конкретного человека.
Последствия зависят от прав, которые получит злоумышленник. Сброс второго фактора открывает почту, файловые хранилища и корпоративные приложения. Из банка можно вывести средства, на заводе - остановить линии, в клинике - получить истории болезней. Восстановление занимает недели. Часть ущерба не покрывают страховые полисы, особенно если выяснится, что доступ выдали добровольно.
Защита строится на процедурах, а не только на технике. Служба поддержки обязана проверять личность по независимому каналу связи. Сброс многофакторной аутентификации стоит отнести к операциям, требующим подтверждения руководителя. Аппаратные ключи вместо кодов из СМС обесценивают перехваченный номер телефона. Полезно отслеживать домены, похожие на собственные сервисы компании, и быстро реагировать на их появление. Регламент неплохо проверить на практике: позвонить в поддержку под видом сотрудника и посмотреть, что ответят.
Сотрудников нужно учить распознавать давление в разговоре. Атакующий торопит, ссылается на срочную командировку или совещание у руководства. Он просит код из сообщения либо предлагает перейти по ссылке. Правильная реакция - прекратить разговор и позвонить в поддержку по внутреннему номеру. Такой сценарий стоит отрабатывать на учениях, а не только описывать в инструкции.
Компании годами вкладывались в защиту периметра, но вход по-прежнему зависит от человека. Сотрудники поддержки работают под нагрузкой и измеряются скоростью закрытия заявок. Атакующий давит именно на это: просит помочь быстро и не заводить формальную проверку. Пока сотрудник думает о показателях, злоумышленник получает доступ. Похожие кампании уже приводили к блокировке внутренних систем и многодневному простою.
Есть смысл пересмотреть и отношения с подрядчиками. Внешние сервисные центры часто работают по упрощенным скриптам. Если у них есть право сбрасывать доступ, они становятся удобной целью. Помогает единая точка проверки для всех каналов, журналирование сбросов и мгновенное уведомление службы безопасности. Каждое такое событие стоит разбирать, даже если оно закончилось ничем.
Банкам, государственным структурам и промышленным компаниям стоит исходить из того, что первый контакт с атакующим произойдет по телефону. Готовность поддержки к подобным звонкам и скорость реакции на подозрительный сброс доступа определят, останется ли атака попыткой или превратится в инцидент с утечкой и простоем.
Индикаторы компрометации
