Lažne pozivnice za OpenAI, SpaceX i Anthropic događaje ciljaju poslovne naloge
Push Security je opisao kampanju koja lažnim pozivnicama navodi zaposlene da odobre pristup Microsoft nalogu ili predaju podatke za prijavu i sesiju kroz phishing proksi.
Šta se desilo?
Push Security je dokumentovao lažne pozivnice za događaje brendova OpenAI, SpaceX i Anthropic. Stranice za navodnu registraciju usmeravaju zaposlene ka napadima na Microsoft i Google naloge. Nema potvrde da su ove kompanije kompromitovane.
Koga pogađa?
Meta su poslovni korisnici Microsoft 365 i Google Workspace, uključujući zaposlene u marketingu. Pristup povezanim aplikacijama zavisi od ovlašćenja naloga i podešavanja prijave. Broj kompromitovanih naloga nije objavljen.
Kako se zaštititi?
- Proverite događaj na zvaničnom sajtu organizatora, nezavisno od pozivnice.
- Ne unosite kod uređaja koji ste dobili preko pozivnice. Potvrđujte samo prijave koje ste sami pokrenuli za poznat uređaj ili aplikaciju.
- Administratori treba da blokiraju device code flow gde nije potreban, uz prethodnu proveru legitimne upotrebe i ograničene izuzetke.
- Koristite FIDO2 ključeve ili passkeys, uz politike pristupa koje ograničavaju zloupotrebu tokena.
- Ako ste se prijavili preko sumnjive pozivnice, odmah obavestite IT tim radi opoziva sesija i tokena i provere aktivnosti naloga.
Tehnički detalji
ZoomMock i MSDRoot su nazivi kompleta za izradu mamaca. Kali365 zloupotrebljava Microsoft device code prijavu, nakon koje kampanja može ponuditi i VoidProxy Microsoft stranicu. Google putanja koristi VoidProxy, posrednički phishing proksi za presretanje prijave i sesije.
Device code phishing ne mora da ukrade lozinku: korisnik na pravoj Microsoft stranici odobri prijavu koju je pokrenuo napadač, koji dobija tokene. To nije potpuno isključivanje MFA. Korisnik može uspešno proći MFA i ipak odobriti tuđu sesiju. FIDO2 zaštita od lažnih domena zato ne zamenjuje kontrolu ovog toka.
Zašto je važno?
Prepoznatljiv brend ili legitimna stranica za prijavu nisu dovoljni da potvrde svrhu zahteva. Važno je proveriti i kome se odobrava pristup.
Preporuka Sajber Radara
Obuku zaposlenih dopunite kontrolom prijave kodom uređaja i postupkom za brz opoziv pristupa posle sumnjive prijave.