הודעה נכנסת ב-Teams ממישהו שלא דיברתם איתו קודם. השם נראה כמו שם של אנשי מערכות מידע, הטון ענייני, והבקשה סבירה: יש תקלה במחשב שלכם והוא רוצה להתחבר כדי לתקן אותה. אין בהודעה קישור, אין קובץ מצורף, ואין בה דבר שמערכת אבטחה רגילה תסמן כזדוני. את סוג ההודעה הזה מיקרוסופט אומרת שהיא מתחילה לזהות בתחילת נובמבר.

מה קרה

בשבוע שעבר פרסמה מיקרוסופט ביומן הפיתוח של Microsoft 365, ואחר כך בהודעה למנהלי מערכות, שהיא מוסיפה ל-Teams זיהוי פישינג מבוסס בינה מלאכותית. פישינג הוא הודעה מזויפת שמתחזה לגורם אמין כדי לגנוב פרטים או גישה, ומה שהמנגנון החדש מחפש אינו הקישור המזויף. לפי מיקרוסופט הוא מנתח את ההקשר של השיחה עצמה כדי לזהות התחזות, הנדסה חברתית וכוונה להטעות, גם בהודעות שאין בהן אף אחד מהסימנים שמערכות אבטחה מחפשות בדרך כלל.

ההפעלה מתחילה בתחילת נובמבר אצל קבוצה מצומצמת של לקוחות, והפריסה הרחבה לכל העולם מתוכננת לפי הדיווח בין תחילת דצמבר לאמצעו. מנהלי מערכות לא צריכים להפעיל כלום. אצל רוב המשתמשים ההגנה תתמקד במה שמיקרוסופט מכנה שיחה ראשונה עם גורם חיצוני, כלומר הודעה ראשונה ממישהו שאינו חלק מהארגון. מיקרוסופט מוסיפה שתוכן ההודעות אינו נשמר אצלה ושהניתוח משמש להגנה בלבד, ולא לאימון מודלים, לפרסום או למעקב אחרי עובדים. את ההתחייבות הזאת היא מנסחת בעצמה, ואין גורם חיצוני שבדק אותה.

הצעד הזה לא בא מכלום. בשנתיים האחרונות תיעדו חוקרים קבוצות כופרה, ובראשן Black Basta, שמציפות את תיבת המייל של עובד במאות הודעות ספאם ואז פונות אליו ב-Teams מחשבון חיצוני עם שם שנשמע כמו של מנהל תמיכה. המטרה היא לשכנע אותו לאשר שליטה מרחוק על המחשב, דרך Teams עצמו או דרך כלי כמו Quick Assist. לפי Sophos התוקפים נסמכו על הגדרת ברירת מחדל שמאפשרת לכל אדם מחוץ לארגון לפתוח שיחה עם עובד בתוכו, מיקרוסופט מצידה אפשרה למנהלים בינואר לחסום משתמשים חיצוניים דרך ממשק Defender, ובאוגוסט הוסיפה מדיניות שחוסמת בוטים חיצוניים מלהצטרף לפגישות.

למה זה חשוב לכם

Teams הוא כלי העבודה של חלק גדול מהארגונים בישראל, מהמשרד הקטן ועד הגוף הציבורי, והוא נתפס כמרחב פנימי ובטוח. מייל ממישהו שאינכם מכירים מעורר חשד. הודעה באותה אפליקציה שבה אתם מדברים כל היום עם הקולגות מעוררת פחות.

שווה להכיר גם את הגבול של ההגנה החדשה. היא מתמקדת בשיחה ראשונה מגורם חיצוני, ולכן לא תעזור כשההודעה מגיעה מחשבון של עובד בארגון שנפרץ, וגם לא תתחיל לעבוד אצל כולם בנובמבר. ההחלטה אם לאשר למישהו גישה למחשב נשארת בכל מקרה אצל העובד שמול המסך.

מה עושים?

אם מגיעה אליכם ב-Teams הודעה ממי שמציג את עצמו כתמיכה טכנית, בדקו אם מופיע ליד השם סימון שמדובר בגורם חיצוני. תמיכה אמיתית פונה מחשבון פנימי.

לפני שאתם מאשרים למישהו שליטה מרחוק על המחשב, סגרו את השיחה והתקשרו למספר התמיכה שאתם מכירים מהארגון. אף תקלה אינה דחופה עד כדי כך.

אם תיבת המייל שלכם הוצפה בספאם ומיד אחר כך מישהו פנה אליכם להציע עזרה, אלה שני חלקים של אותה מתקפה. דווחו על כך לאנשי האבטחה בארגון.

מנהלי מערכות יכולים להגדיר ב-Teams מי מחוץ לארגון רשאי לפתוח שיחה עם העובדים, וזו ההגדרה שהתוקפים נסמכים עליה.

המנגנון החדש קורא כוונה במקום לחפש קישורים, וזה בדיוק מה שחסר בהודעות האלה. מה שיכריע בפועל הוא מה עובד עושה בשלוש השניות שבין ההודעה לאישור.