הטלפון הפרטי מצלצל באמצע יום העבודה. בצד השני מישהו רגוע שמציג את עצמו כאיש התמיכה הטכנית של החברה, ומסביר שצריך לעדכן עכשיו את ה-passkey בחשבון, אחרת הגישה למערכות תיחסם בסוף היום. מיד אחר כך נכנסת הודעת SMS עם קישור לעמוד התחברות של מיקרוסופט. העמוד נראה נכון לגמרי, והוא לא של מיקרוסופט.

מה קרה

מיקרוסופט פרסמה ב-9 בספטמבר תיאור של קמפיין שהיא עוקבת אחריו מאז מאי, ומייחסת אותו לשני אשכולות תוקפים שהיא מסמנת Storm-3121 ו-Storm-3032. הראשון מקושר לקבוצת גניבת המידע ShinyHunters ולמבצעי סחיטה בשם Falcon, והשני נולד מפיצול של קבוצת BlackFile ופועל היום תחת השם Helix. גוגל תיארה קודם פעילות חופפת תחת הכינוי UNC6671.

הפרט החשוב בדוח הוא דווקא מה שהתוקפים לא עושים. passkey הוא אמצעי כניסה בלי סיסמה, שבו המכשיר שלכם מאשר את הזהות בטביעת אצבע או בזיהוי פנים, והוא הגנה טובה נגד התחזות. לפי מיקרוסופט, התוקפים לא ניסו לרשום passkey לאף קורבן. הדיבור על passkey הוא רק התירוץ לשיחה, כי הוא נשמע טכני, דחוף ולגיטימי.

מה שקורה בפועל הוא אחד משניים. באפשרות הראשונה העמוד המזויף מתווך בזמן אמת, כלומר כל מה שמקלידים בו נשלח מיד לאתר האמיתי של מיקרוסופט והתשובות חוזרות חזרה, כך שגם אישור באפליקציית האימות לא עוצר את זה: מה שנתפס בדרך הוא כרטיס הכניסה לחשבון, ה-session token שנוצר אחרי האימות המוצלח. לטכניקה הזאת קוראים adversary in the middle. באפשרות השנייה מכתיבים לקורבן קוד בטלפון ומבקשים ממנו להקליד אותו בעמוד אמיתי לגמרי של מיקרוסופט, ובכך הוא מאשר בעצמו לאפליקציה שבשליטת התוקף להיכנס לחשבון שלו.

את שמות הדומיינים הם מרכיבים ממילים כמו passkey, sso וסנכרון מפתחות, ומכניסים לתוכה את שם החברה המותקפת, כך שהעובד רואה את שם מקום העבודה שלו בשורת הכתובת ונרגע. אחרי הכניסה הם רשמו לעצמם אמצעי אימות נוסף בחשבון, בדקו לאילו מערכות הוא מורשה להיכנס, ועברו על SharePoint, על OneDrive ועל הדואר. במקרה אחד שמיקרוסופט חקרה ה-session נשאר פעיל כשעה, ובכל שעה נגעו התוקפים בפחות מ-1,000 קבצים או הודעות. המספר נשמע שרירותי עד שמבינים שהוא נבחר כדי לא להדליק התראות.

למה זה חשוב לכם

Microsoft 365 הוא סביבת העבודה של רוב הארגונים בישראל, מחברות הייטק ועד משרדי רואי חשבון וקליניקות. המתקפה הזאת לא עוברת דרך חולשה בתוכנה אלא דרך שיחת טלפון, ולכן אין עדכון שיגן עליה. היא גם לא מגיעה לטלפון של העבודה אלא למספר הפרטי, ומיקרוסופט מעריכה שהתוקפים אוספים מספרים, שמות ותפקידים מפרופילים מקצועיים פומביים. מי שכתוב עליו ברשת איפה הוא עובד ומה הוא עושה שם הוא מטרה נוחה במיוחד.

מה עושים?

שיחה או הודעה שמבקשת להתחבר מחדש, לאשר משהו או "לעדכן passkey" היא סיבה לנתק ולחזור לתמיכה דרך מספר שאתם כבר יודעים שהוא שלה. לא המספר שהתקשר ולא מספר מההודעה.

אל תקלידו קוד שמישהו הכתיב לכם בשיחה, גם אם העמוד שאתם עומדים מולו הוא של מיקרוסופט באמת. קוד כזה מאשר גישה למכשיר של מי שהכתיב אותו.

passkey אמיתי נרשם מתוך הגדרות החשבון שאתם פותחים בעצמכם, ולא דרך קישור שהגיע ב-SMS.

התחברתם בעמוד כזה? דווחו לארגון באותו רגע, גם אם כבר החלפתם סיסמה. כרטיס הכניסה שנתפס ממשיך לעבוד עד שמבטלים אותו, וצריך לבדוק גם אילו אמצעי אימות נוספו לחשבון בינתיים.

התוקפים לא רשמו passkey לאף אחד. הם רק דיברו על זה, וזה הספיק.