המייל מוביל לעמוד התחברות של Microsoft 365, והעמוד נראה בדיוק כמו שהוא אמור להיראות. כתובת עם תעודת אבטחה תקפה, לוגו במקום, בקשה לכתובת המייל ולסיסמה. אחרי הסיסמה מגיעה גם בקשת האימות הדו-שלבי, אתם מאשרים בטלפון, והדפדפן נוחת ב-Outlook כרגיל. ההתחברות הצליחה. היא הצליחה גם למי שישב באמצע והעביר כל תו הלוך ושוב בין הדפדפן שלכם לשרתים האמיתיים של מיקרוסופט.

מה קרה

חוקרים בחברת CloudSEK הצליחו ביוני להיכנס לפאנל הניהול של שירות פישינג בשם BigBear 2.0, ופרסמו השבוע את מה שראו שם. זה שירות שמושכר לתוקפים: גורם אחד מתחזק את התשתית, ולפחות חמישה לקוחות משלמים מקבלים את השלל ישירות לבוטים בטלגרם. לפי הנתונים שבפאנל עצמו נאספו 5,137 רשומות של פרטי אימות, ובהן 1,032 סיסמאות בטקסט גלוי ו-4,148 עוגיות התחברות, מ-3,331 כתובות IP שונות ביותר מ-40 מדינות. ב-474 מהמקרים ההתחברות הושלמה כולל מעקף של האימות הדו-שלבי, ולפי הבהרה שמסרו החוקרים ל-BleepingComputer מדובר ב-258 ארגונים שבהם נפרץ כך לפחות חשבון אחד, מתוך 461 ארגונים שהופיעו ברשימת היעדים.

הטריק עצמו לא חדש, אבל שווה להבין אותו. העמוד המזויף אינו העתק של דף ההתחברות אלא צינור: הוא מעביר את מה שהקלדתם לשרתי מיקרוסופט ואת התשובות בחזרה אליכם, ובדרך שומר לעצמו גם את הסיסמה וגם את ה-token שמיקרוסופט מנפיקה בסוף התהליך. לשיטה הזאת קוראים adversary-in-the-middle. את קוד האימות התוקף בכלל לא צריך, כי הוא מחכה שתאשרו אותו בעצמכם ולוקח את התוצאה.

הפרט המעניין ביותר הוא דווקא מה שהתוקפים טרחו לכבות. מפתח אבטחה פיזי, וגם מפתח גישה שמאוחסן בטלפון (passkey), בודקים לאיזו כתובת אתם באמת מחוברים ומסרבים לחתום כשהכתובת אינה הנכונה. אז BigBear מזריק לעמוד קטע JavaScript שגורם לדפדפן להשיב שהוא לא תומך בשיטה הזאת בכלל, וכך מגלגל אתכם חזרה לקוד מה-SMS או מהאפליקציה. את הקוד הזה אפשר להעביר הלאה. את חתימת המפתח לא.

למה זה חשוב לכם

אותה תשתית עובדת באותה מידה מול חשבונות Google ומול עמודי התחברות של בנקים, לא רק מול מיקרוסופט. החוקרים לא פירטו כמה מהקורבנות ישראלים, והמדינות שבראש הרשימה שלהם הן הודו, צרפת וסעודיה. מה שכן נוגע לכל בעל חשבון הוא הסחורה שנגנבת כאן: ה-token של ההתחברות, לא הסיסמה. מי שמחזיק בו נכנס לחשבון בלי להזדקק לסיסמה ובלי לעבור אימות נוסף, ולכן החלפת סיסמה לבדה לא מוציאה אותו החוצה.

מה עושים?

הפעילו מפתח גישה (passkey) או מפתח אבטחה פיזי בחשבון Google או מיקרוסופט שלכם. זו השיטה היחידה שהתוקפים כאן היו צריכים להשבית באופן פעיל כדי שהמתקפה תעבוד.

הגיעו לעמודי התחברות מהסימנייה או מהקלדת הכתובת, ולא מקישור בהודעה, גם כשההודעה נראית פנימית לגמרי.

אם הזנתם סיסמה וקוד בעמוד שהגעתם אליו מקישור, החליפו סיסמה וגם נתקו את כל ההתחברויות הפעילות בהגדרות האבטחה של החשבון. בלי הניתוק הזה ה-token שנגנב ממשיך לעבוד.

חשדו בכל בקשה להתחבר מחדש כדי לצפות במסמך או בהודעה שלא ציפיתם לקבל.

לא קורה הרבה שתוקפים משקיעים עבודת פיתוח בלכבות אמצעי הגנה מסוים. בדרך כלל זה אומר שהוא עובד.