Как AI-фишинг-наборы обходят MFA в аккаунтах Microsoft

Microsoft заявила, что возглавила отраслевую операцию по ликвидации платного фишингового сервиса EvilTokens, с помощью которого были скомпрометированы 12 000 аккаунтов в 10 000 организаций — об этом сообщает Ars Technica. Бизнесу здесь стоит обратить внимание не на масштаб, а на метод: злоумышленники не взламывали пароли и не крали одноразовые коды, а получив доступ к почтовому ящику, разведку, на которую раньше уходили дни человеческой работы, за них выполнял AI-чат-бот.

Что изменилось на самом деле

EvilTokens продавался как обычное ПО. Сервис появился в Telegram-канале в феврале, стоил $1500 на старте и $500 в месяц далее, и упаковывал большинство шагов массового взлома почты в единую панель управления.

Точкой входа стала аутентификация по device code. Это легитимный поток OAuth, созданный для телевизоров и других устройств, где неудобно вводить логин и пароль: устройство показывает короткий код, вы вводите его в браузере на телефоне или ноутбуке, и устройство входит в систему. EvilTokens рассылал массовый спам; жертвы, кликнувшие по ссылке, попадали на страницу со скрытым скриптом, который в реальном времени связывался с провайдером идентификации Microsoft и генерировал device code для устройства, контролируемого злоумышленником. Затем жертве показывали этот код с инструкцией ввести его на официальной странице входа Microsoft для устройств. Поскольку страница входа настоящая, а жертва сама завершает вход, такой «согласительный» сценарий не похож на кражу пароля.

После получения доступа за дело брался чат-бот. По словам Microsoft, платформа умела анализировать почтовый ящик жертвы, чтобы найти доверенные контакты, выяснить, кто имеет право на платежи, и определить, где мошенничество сработает с наибольшей вероятностью, а затем составлять сообщения от имени известных контактов. Система обрабатывала по 5000 скомпрометированных ящиков одновременно и выстраивала карту того, какие сотрудники могут переводить деньги и кому из руководителей они подчиняются.

Больше всего жертв оказалось в США, за ними следуют Канада, Великобритания, Австралия, Индия и Франция; пострадали компании из сфер оптовой торговли, строительства, финансовых услуг, недвижимости, высшего образования и здравоохранения. Microsoft через судебный процесс изъяла 50 сайтов и ещё 150 доменов, а лондонская полиция (Metropolitan Police Service) арестовала двух мужчин по подозрению в причастности к этим преступлениям.

Почему это важно для малого бизнеса

Два допущения, на которые опирались многие небольшие компании, теперь работают хуже.

Первое — что многофакторная аутентификация является финальным рубежом. В данном случае MFA обошли не кражей кода у пользователя. Жертву провели через настоящий вход в Microsoft, который подключил устройство злоумышленника. Если ваша стратегия безопасности сводится к «мы включили MFA», в ней теперь есть пробел.

Второе — что взлом даёт вам запас времени. Собственный вывод Microsoft из этой истории прямой: считайте, что после компрометации почты преступники способны разобраться в её содержимом за минуты, а не дни. Прежнее спокойствие — мол, злоумышленнику придётся прочитать тысячи писем, прежде чем он поймёт, кто подписывает платежи — больше не работает. Компания из десяти человек с одним бухгалтером и одним директором — это очень небольшой граф для модели, которую нужно построить.

Это особенно важно там, где платёжные данные передаются по почте: счета от поставщиков, изменение банковских реквизитов, инструкции по депозитам для клиентов. А это практически любой малый бизнес, работающий с внешними подрядчиками.

Что с этим делать

• Попросите администратора вашего рабочего пространства Microsoft или Google ограничить или заблокировать вход по device code для сотрудников, которые никогда им не пользуются. Почти никому из офисных работников он не нужен ни на ноутбуке, ни на телефоне.
• Пропишите правило подтверждения по второму каналу и сделайте его максимально скучным: любой запрос на изменение банковских реквизитов, перенаправление платежа или одобрение необычного перевода подтверждается звонком на уже известный номер из ваших записей — никогда на номер из письма.
• Проверьте подключённые приложения и зарегистрированные устройства в консоли администратора. Удалите всё незнакомое и назначьте дату, чтобы повторить проверку в следующем квартале.
• Расскажите команде, как именно выглядит этот трюк: страница, которая выдаёт вам код и просит ввести его на настоящем экране входа Microsoft. Легитимные рабочие логины редко требуют такого.
• Убедитесь, что кто-то действительно следит за журналами входа и изменениями правил в почтовых ящиках. Злоумышленники, получившие доступ, обычно быстро добавляют правила пересылки писем.

Техническая защита здесь — это одна настройка администратора и одна привычка. Организационная защита — заранее решить, что ни одна платёжная инструкция никогда не подтверждается в том же канале, откуда пришла. Обе стоят недорого. И обе стоит внедрить до того, как кто-то из вашего финансового отдела получит очень убедительное письмо от поставщика, с которым вы работаете уже много лет.