העובד הקליד את הסיסמה בעמוד שנראה בדיוק כמו עמוד ההתחברות של החברה, אישר את ההתראה שהגיעה לטלפון, והמשיך לעבוד. דקות אחר כך מישהו אחר היה בתוך תיבת המייל שלו, בלי לדעת את הסיסמה ובלי לעבור שום אימות. חברת האבטחה Huntress, שפרסמה את המחקר ב-22 באוקטובר, מדווחת על 79 ארגונים שבהם טיפלה באירועים מהסוג הזה.

מה קרה

כדי להבין את המתקפה צריך להכיר דבר קטן שקורה אחרי כל התחברות מוצלחת. ברגע שהזנתם סיסמה נכונה ואישרתם את האימות הדו-שלבי, השירות לא מבקש מכם להתחבר מחדש בכל לחיצה. הוא מנפיק לדפדפן שלכם מעין כרטיס כניסה שאומר "האדם הזה כבר הוכיח מי הוא", והכרטיס תקף לזמן מה. מי שמחזיק בו נראה לשירות בדיוק כמוכם, ולא יידרש לעבור אימות שוב. לכרטיס הזה קוראים token.

התוקפים לא ניסו לנחש סיסמאות. הם העמידו עמוד התחברות מזויף שיושב באמצע: הקורבן מקליד בו את הפרטים, העמוד מעביר אותם בזמן אמת לשירות האמיתי של מיקרוסופט, האימות הדו-שלבי עובר כרגיל, ובסוף התהליך ה-token שנוצר נשאר גם אצל התוקף. לשיטה הזאת קוראים adversary-in-the-middle, תוקף שמתמקם בין המשתמש לשירות.

מכאן זה הפך לעבודת כמות. לפי Huntress, התוקפים הריצו את ה-token-ים שאספו מול שירותי Microsoft 365 משרתים שכורים, בניסיונות התחברות אוטומטיים: יותר מ-200 אלף ניסיונות שנכשלו, ו-497 התחברויות שהצליחו, בין 14 ביולי ל-22 בספטמבר. Huntress קוראת לזה token spraying, ומסבירה שזה אותו דפוס של ריסוס סיסמאות, רק עם token-ים גנובים במקום סיסמאות מנוחשות.

מה שהתוקפים עשו אחרי הכניסה מעניין יותר מהכניסה עצמה. בחשבונות שנפרצו הם מחקו את שיטות האימות הדו-שלבי של הקורבן ורשמו את הטלפון שלהם במקומן, כך שאיפוס סיסמה לבד לא היה מנתק אותם. הם רשמו מכשירים משלהם כמכשירים מאושרים בארגון, 48 כאלה לפחות לפי הדוח, והגדירו כללים בתיבת המייל שהעלימו הודעות מאנשי קשר מסוימים לתיקייה צדדית כדי שהקורבן לא יראה את ההתכתבות. באירוע אחד נשלח מתיבה פרוצה מייל בנושא תלושי שכר לגורם חיצוני. לפי הדוח, הכסף לא הועבר בסופו של דבר.

למה זה חשוב לכם

Microsoft 365 הוא חשבון העבודה של חלק גדול מהארגונים בישראל, ואותו מנגנון עצמו עומד מאחורי Gmail, מאחורי אפליקציית הבנק ומאחורי כל שירות שלא מבקש מכם סיסמה בכל פעם מחדש.

הנקודה המעשית היא לא שאימות דו-שלבי לא עובד. הוא עובד, והוא עוצר את מי שהשיג רק סיסמה. מה שהוא לא עוצר הוא מי שהשיג את הכרטיס שהונפק אחרי שאתם עברתם את האימות, וזאת הסיבה שהתחברות לשירות עבודה דרך קישור שהגיע בהודעה מסוכנת גם כשהכול נראה תקין בסוף התהליך.

מה עושים?

אל תתחברו לחשבון העבודה דרך קישור במייל או בהודעה. פתחו לשונית חדשה והקלידו את הכתובת, או היכנסו מהסימניה שלכם.

חושדים שמישהו נכנס לחשבון? איפוס סיסמה לא מספיק. בקשו מאיש ה-IT לבטל את כל ה-session-ים הפעילים, ואחר כך לעבור על רשימת המכשירים הרשומים, על שיטות האימות ועל כללי התיבה ולהסיר כל מה שלא אתם הוספתם.

בדקו מדי פעם את כללי תיבת המייל שלכם. כלל שמעביר הודעות לתיקייה שאתם לא מסתכלים בה הוא אחד הסימנים הנפוצים לחשבון שנפרץ.

ברמת הארגון, ההמלצה המרכזית של Huntress היא מדיניות גישה מותנית שבודקת מאיזה מכשיר ומאיזה מקום מגיעה הבקשה, ודורשת אימות גם כשה-token נראה תקף.

התוקף שמחזיק ב-token שלכם לא פורץ כלום. הוא פשוט נראה כמוכם.