Šta se desilo?

Japanska medijska kompanija Nikkei potvrdila je dva odvojena bezbednosna incidenta u kojima su neovlašćene osobe pristupile cloud nalozima zaposlenih.

U prvom slučaju, Microsoft 365 nalog jednog zaposlenog je kompromitovan i 30. septembra sa njega je poslato približno 9.000 poruka koje su primaoce usmeravale ka zlonamernim sajtovima.

Poruke su poslate osobama unutar kompanije, ali i eksternim kontaktima, uključujući novinarske izvore sa kojima su zaposleni Nikkei-ja ranije komunicirali. Kompanija procenjuje da su mogli biti izloženi email adrese, imena i sadržaj pojedinih prethodnih poruka.

U odvojenom incidentu utvrđeno je da je Google Workspace nalogu jednog zaposlenog neovlašćeno pristupano od kraja jula. Incident je otkriven početkom avgusta nakon upozorenja kompanije Google.

Koga pogađa?

Microsoft 365 incident pogađa zaposlene i spoljne kontakte koji su primili zlonamerne poruke sa legitimnog Nikkei naloga, uključujući pojedine novinarske izvore.

Kod Google Workspace incidenta postoji mogućnost da su izložena imena i email adrese 1.646 zaposlenih i poslovnih partnera.

Nikkei navodi da među informacijama pogođenim Google Workspace incidentom nisu bili podaci čitalaca niti novinarskih izvora.

Kako se zaštititi?

  • Ako ste 30. septembra primili neočekivanu poruku od Nikkei kontakta, ne otvarajte linkove ili fajlove iz nje.
  • Autentičnost sumnjive poruke proverite preko drugog komunikacionog kanala.
  • Ako ste uneli lozinku na stranici otvorenoj iz takve poruke, odmah je promenite i odjavite postojeće sesije.
  • Omogućite MFA na Microsoft 365, Google Workspace i drugim važnim nalozima.
  • Organizacije treba da pregledaju login, OAuth i email audit logove zbog sumnjivih prijava, novih tokena, pravila prosleđivanja i drugih promena.
  • Za privilegovane i poslovne naloge, gde je moguće, koristite phishing-resistant MFA kao što su passkey ili FIDO2 bezbednosni ključevi.

Tehnički detalji

Nikkei je 4. oktobra objavio informacije o oba incidenta.

Kod Microsoft 365 incidenta kompanija smatra da je treća strana ostvarila neovlašćen pristup nalogu zaposlenog. Sa naloga je zatim poslato oko 9.000 poruka koje su primaoce usmeravale na zlonamerne sajtove.

Nikkei je promenio lozinku pogođenog naloga i navodi da nakon toga nije zabeležio nove neovlašćene prijave. Kompanija kontaktira primaoce spornih poruka i traži njihovo brisanje.

Google Workspace incident je počeo krajem jula, a kompanija je za njega saznala početkom avgusta nakon obaveštenja Google-a. Nakon promene lozinke ni na ovom nalogu nisu zabeležene nove neovlašćene prijave.

Potencijalno izloženi podaci obuhvataju email adrese i imena 1.646 zaposlenih i poslovnih kontakata. Nikkei navodi da do sada nije potvrđena sekundarna zloupotreba tih informacija.

Kompanija za sada nije javno objavila tačan početni vektor kompromitovanja naloga niti potvrdila da su dva incidenta međusobno povezana.

Zašto je važno?

Poseban rizik kod kompromitovanja poslovnog email naloga je to što zlonamerne poruke dolaze sa legitimne adrese kojoj primalac već veruje.

Napadač tako može da iskoristi postojeće poslovne odnose i prethodnu komunikaciju kako bi fišing poruke učinio znatno uverljivijim od poruka koje dolaze sa nepoznatog domena.

Incident je dodatno značajan za medijske organizacije jer kompromitovan email nalog može ugroziti poverljivost komunikacije sa novinarskim izvorima.

Preporuka Sajber Radara

Ako ste primili sumnjivu poruku sa Nikkei adrese, posebno 30. septembra, ne pretpostavljajte da je bezbedna samo zato što dolazi sa legitimnog domena. Ne otvarajte linkove i proverite zahtev preko drugog kanala komunikacije.

Organizacijama preporučujemo da kompromitovanje cloud naloga ne rešavaju samo promenom lozinke. Potrebno je pregledati aktivne sesije, OAuth tokene, pravila prosleđivanja emaila i audit logove, kao i uvesti phishing-resistant MFA tamo gde je to moguće.