Sió-Informatika Rendszerház

Több jelentős adatzsarolási művelethez köthető kiberbűnözők a passkeyekkel és az egyszeri bejelentkezési rendszerekkel kapcsolatos bizonytalanságot használják ki vállalati Microsoft-fiókok kompromittálására. A támadók tartós hozzáférést alakítanak ki, majd módszeresen érzékeny információkat lopnak a felhőszolgáltatásokból.

A támadások a jelek szerint nem törik fel a passkeyekbe épített kriptográfiai védelmet. A bűnözők ehelyett a passkey-regisztrációt, a többtényezős hitelesítés frissítését és a biztonsági migrációkat használják meggyőző social engineering ürügyként. Az áldozatokat olyan hitelesítési műveletek elvégzésére veszik rá, amelyek végül érvényes Microsoft-felhőmunkamenetet biztosítanak a támadóknak.

A Microsoft Security Research által közzétett vizsgálat szerint a tevékenységet 2026 májusa óta figyelik meg. A Microsoft egy visszatérő támadási folyamatot azonosított, amely gyanús bejelentkezéseket, támadók által ellenőrzött hitelesítési módszerek regisztrálását, automatizált Microsoft Graph-felderítést, valamint Microsoft 365-környezetekben tárolt fájlok és e-mailek tartós gyűjtését foglalja magában.

A kampány megmutatja, hogyan alkalmazkodnak a támadók a jelszó nélküli hitelesítés egyre szélesebb körű vállalati bevezetéséhez. A bűnözők nem feltétlenül magát a passkeytechnológiát támadják, hanem az alkalmazottaknak előadott történetet változtatják meg.

A támadók vállalati informatikai ügyfélszolgálatnak adják ki magukat

A behatolások gyakran a megcélzott szervezet és alkalmazottai részletes feltérképezésével kezdődnek. A támadók nyilvános weboldalakról, közösségi hálózatokról és szakmai profilozó platformokról gyűjthetnek neveket, munkaköröket, telefonszámokat, szervezeti alá-fölérendeltségi kapcsolatokat és a vállalat technológiai környezetére vonatkozó információkat.

Ezt követően az alkalmazott telefonhívást, szöveges üzenetet vagy Microsoft Teams-üzenetet kaphat egy olyan személytől, aki a szervezet informatikai részlegének vagy ügyfélszolgálatának munkatársaként mutatkozik be.

Az állítólagos technikus arra figyelmezteti az alkalmazottat, hogy sürgősen regisztrálnia vagy szinkronizálnia kell egy passkeyt, frissítenie kell az MFA-módszerét, vagy be kell fejeznie egy egyszeri bejelentkezési migrációt. Az áldozatnak azt mondhatják, hogy az együttműködés elmulasztása esetén felfüggesztik a fiókját, vagy megszakad a vállalati alkalmazásokhoz való hozzáférése.

A Microsoft elemzése szerint a rosszindulatú hivatkozásokat esetenként közvetlenül az alkalmazottak személyes mobiltelefonjára küldték el. Ezzel a módszerrel a támadók megkerülhetik a vállalati e-mailszűrést, hivatkozásellenőrzést, valamint a felügyelt üzleti eszközökön működő végpontbiztonsági ellenőrzéseket.

Ha az adathalász oldalt egy olyan személyes telefonon nyitják meg, amely nem tartozik a szervezet végpontkezelési vagy biztonsági platformjához, a nyomozók kevés vagy semmilyen végpont-telemetriát nem találhatnak az események rekonstruálásához. Egyes esetekben az alkalmazott emlékei a telefonhívásról vagy szöveges üzenetről jelenthetik a kompromittálás kezdetének legkorábbi bizonyítékát.

A támadók korábban kompromittált alkalmazotti fiókokat is felhasználtak passkey témájú üzenetek Microsoft Teamsen keresztüli terjesztésére. Egy ismert kollégától vagy belső fiókból érkezőnek látszó kérés lényegesen meggyőzőbb lehet egy kéretlen külső üzenetnél.

A Microsoft megfigyelte, hogy a bűnözők rendkívül gyorsan hoztak létre adathalász infrastruktúrát a következő témák köré:

• passkey-regisztráció;
• SSO-regisztráció;
• fiókaktiválás;
• személyazonosság-ellenőrzés;
• biztonsági kulcs szinkronizálása.

A jelentett domainek között a következők szerepeltek:

passkeyhelpdesk[.]com
secure-passkey[.]com
setupmypasskey[.]com
integratedsso[.]com
oktasession[.]com
syncmykey[.]com

A támadók a megcélzott vállalat nevét is elhelyezhetik a cím elején, például:

company-name.secure-passkey[.]com

Egy ilyen cím szervezetspecifikus hitelesítési portálnak tűnhet, miközben az alapul szolgáló secure-passkey[.]com domaint valójában a bűnözők ellenőrzik.

Az infrastruktúra a domain regisztrációját követő néhány órán belül működőképessé válhat, és gyorsan lecserélhető, amikor a védelmi csapatok blokkolják. A Microsoft hangsúlyozta, hogy az adott szolgáltatón keresztül végzett domainregisztráció önmagában nem jelenti azt, hogy a regisztrátor tudatosan részt vett a rosszindulatú tevékenységben.

A passkey a csali, nem pedig a sérülékenység

Bár a támadásokat passkeyfrissítésként mutatják be az áldozatoknak, a rendelkezésre álló bizonyítékok nem utalnak arra, hogy a bűnözők feltörték volna a WebAuthn kriptográfiáját, vagy kinyerték volna a legitim passkeyekhez tartozó privát kulcsokat.

A passkeyeket úgy tervezték meg, hogy ellenálljanak a hagyományos adathalászatnak, mivel a hitelesítés kriptográfiailag kötődik a legitim webhely domainjéhez. Egy valódi Microsoft-szolgáltatáshoz regisztrált passkey nem hitelesítheti közvetlenül a felhasználót egy ettől független adathalász oldalon.

Ez az eredethez kötöttség az egyik legfontosabb oka annak, hogy a passkeyek és a FIDO2 biztonsági kulcsok erősebb védelmet nyújtanak a jelszavaknál, SMS-kódoknál és kézzel beírt egyszer használatos kódoknál. A privát kulcs a felhasználó eszközén marad, és a hitelesítés során nem továbbítják a webhelynek.

A támadók úgy kerülik meg ezt a védelmet, hogy másik hitelesítési folyamatba terelik az áldozatot. A Microsoft az adversary-in-the-middle adathalászatot és a device-code hitelesítést azonosította a kampány két legfontosabb módszereként.

Egy adversary-in-the-middle, vagyis AiTM-támadásban a rosszindulatú kiszolgáló a felhasználó és a legitim hitelesítési szolgáltatás közé ékelődik. A csalárd portál továbbítja az információkat a valódi szolgáltatónak, miközben megszerzi az áldozat hitelesítő adatait, gyengébb hitelesítési tényezők használata esetén pedig egy érvényes munkamenettokent is.

Ha az áldozat alkalmazás által generált kódot, SMS-kódot vagy push jóváhagyást használ, a támadó valós időben továbbíthatja a hitelesítést. Az ellopott munkamenettoken ezt követően lehetővé teheti, hogy a bűnöző a hitelesített alkalmazott nevében járjon el anélkül, hogy ismételten meg kellene adnia a jelszót vagy újabb MFA-ellenőrzést kellene teljesítenie.

A második módszer a Microsoft legitim OAuth device-code folyamatával él vissza. Ezt az eljárást olyan eszközökhöz és alkalmazásokhoz tervezték, amelyeken nehéz lehet a hitelesítő adatok közvetlen megadása.

Egy rosszindulatú device-code művelet során a támadó a saját ellenőrzése alatt álló kliensről indít hitelesítési kérést. Az áldozat kap egy kódot, amelyet az utasítás szerint a Microsoft valódi hitelesítési oldalán kell megadnia. Mivel maga az oldal legitim, a webcím és a tanúsítvány is megfelelőnek tűnik.

A kód beírása azonban nem passkeyt regisztrál az alkalmazott számára, hanem a támadó kliensét engedélyezi. Miután az áldozat befejezi a hitelesítést, a rendszer hozzáférési tokent ad ki a támadó által ellenőrzött munkamenetnek.

A Microsoft dokumentált egy olyan támadási folyamatot, amelyben egy passkey témájú csali device-code adathalászathoz vezetett. A támadó ezután újrajátszotta a megszerzett tokent, majd megkezdte a fiók és a környezet feltérképezését. A tevékenység teljes technikai leírása a Microsoft fenyegetéskutatási jelentésében olvasható.

Ez a különbség alapvető fontosságú. A hasonló domainek blokkolása önmagában nem állítja meg a támadás minden változatát, mivel a device-code adathalászat a Microsoft valódi oldalára is irányíthatja az áldozatot. A szervezeteknek a hitelesítési kérelmek környezetét is meg kell vizsgálniuk, és meg kell állapítaniuk, valóban szükség van-e a device-code funkció használatára.

Az incidenseket ezért pontosabban passkey témájú adathalászatként lehet leírni. A bűnözők egy biztonsági migráció nyelvezetét, sürgősségét és ismeretlenségét használják ki annak érdekében, hogy a felhasználókat egy másik hitelesítési csatornán keresztüli hozzáférés jóváhagyására manipulálják.

Egyetlen sikeres hitelesítés megnyithatja az egész felhőkörnyezetet

Miután a támadó érvényes munkamenetet szerez, a művelet a kezdeti fiókhozzáféréstől rendkívül gyorsan eljuthat a felhőkörnyezet széles körű feltérképezéséig.

A Microsoft által vizsgált egyik esetben a gyanús tevékenység egy nem felügyelt eszközről indított bejelentkezéssel kezdődött egy olyan Microsoft 365-szolgáltatásba, amelyet az Entra ID naplói OfficeHome néven rögzítettek. Az MFA teljesítése után a támadó érvényes munkamenetet szerzett, majd megvizsgálta a kompromittált fiókhoz rendelt alkalmazásokat és erőforrásokat.

A munkamenet perceken belül elérte a következő szolgáltatásokat:

• My Apps;
• My Profile;
• Microsoft Approval Management;
• fiókkezelési szolgáltatások;
• My Sign-Ins;
• SharePoint Online;
• webes Outlook;
• Microsoft 365 együttműködési és keresési szolgáltatások;
• egy belső üzleti alkalmazás;
• virtuális asztalokhoz kapcsolódó hitelesítési folyamatok.

A munkamenet körülbelül egy órán keresztül aktív maradt. Ezalatt a behatoló feltérképezte a rendelkezésre álló alkalmazásokat, és potenciálisan érzékeny információkat keresett.

Egy kompromittált felhőidentitás sokkal többet fedhet fel az alkalmazott beérkező leveleinél. Ha a Microsoft Entra ID vagy más identitásszolgáltató a szervezet központi SSO-platformjaként működik, a támadó az áldozat meglévő jogosultságai alapján számos kapcsolódó szolgáltatást elérhet.

Ezek közé tartozhat például:

• Salesforce;
• Google Workspace;
• Dropbox;
• Slack;
• SAP;
• Adobe;
• Zendesk;
• Atlassian-termékek;
• belső fejlesztésű alkalmazások.

A pontos kitettség a felhasználóhoz rendelt szolgáltatásoktól, a jogosultságaitól, valamint a további eszközmegbízhatósági és feltételes hozzáférési ellenőrzések alkalmazásától függ.

Ez különösen veszélyessé teszi az identitás kompromittálását a felhőközpontú szervezetekben. A hagyományos hálózati végpontok közötti oldalirányú mozgás helyett a támadó egy megbízható identitástokennel járhat a jóváhagyott SaaS-platformok között.

A bűnözők saját hitelesítési módszereket regisztrálnak

A kezdeti hozzáférést követően a támadók gyakran megpróbálják a rövid élettartamú munkamenetet tartós jelenlétté alakítani egy általuk ellenőrzött hitelesítési módszer hozzáadásával.

A Microsoft olyan eseteket figyelt meg, amelyekben a bűnözők új telefonszámokat, hitelesítő alkalmazásokat és szoftveresen generált egyszer használatos jelszótokeneket regisztráltak a kompromittált identitásokhoz. A regisztrációt követően ezek a módszerek lehetővé tehetik, hogy a behatoló az áldozat közreműködése nélkül teljesítse a későbbi hitelesítési ellenőrzéseket.

Egy másik vizsgált támadási folyamatban a támadó korábban megszerzett hitelesítő adatokkal jelentkezett be, az MFA-követelményt pedig egy olyan authenticator módszerrel hagyták jóvá, amelyet látszólag több nappal korábban regisztráltak. A késleltetés arra utal, hogy egyes operátorok először tartós hozzáférést alakítanak ki, majd később térnek vissza a környezet feltérképezésére és az adatlopásra.

Ez súlyos incidenskezelési kockázatot teremt. Az alkalmazott jelszavának visszaállítása nem feltétlenül távolítja el a támadó által regisztrált hitelesítési módszert. Egyetlen böngészős munkamenet megszüntetése pedig nem biztos, hogy érvényteleníti a behatoló rendelkezésére álló összes hozzáférési és frissítési tokent.

Az incidenskezelőknek a teljes identitást át kell vizsgálniuk, beleértve:

• a regisztrált hitelesítési módszereket;
• az aktív böngésző- és alkalmazás-munkameneteket;
• a frissítési és hozzáférési tokeneket;
• a regisztrált vagy csatlakoztatott eszközöket;
• az OAuth-engedélyeket és alkalmazásjóváhagyásokat;
• a postafiókszabályokat és delegált hozzáféréseket;
• a vállalati alkalmazások jogosultságait;
• a feltételezett behatolás során a fiókon végzett módosításokat.

A Microsoft szerint a támadó által hozzáadott MFA-módszer nem maradhat meg egy teljes körű hitelesítőadat- és munkamenet-visszaállítást követően, ha a szervezet a jogosulatlan módszert is eltávolítja. A hiányos incidenskezelés azonban megőrizhet egy olyan útvonalat, amelyen keresztül a bűnöző visszatérhet a környezetbe.

A Microsoft Graph segítségével térképezik fel a szervezetet

A tartós hozzáférés létrehozása után a támadók a Microsoft Graph és a kapcsolódó felhős interfészek segítségével mérik fel a kompromittált környezetet.

A Microsoft Graph legitim API, amelyen keresztül az alkalmazások Microsoft 365- és Entra ID-adatokkal dolgozhatnak. A kompromittált identitás jogosultságaitól függően munkavállalókra, csoportokra, alkalmazásokra, fájlokra, üzenetekre és szervezeti kapcsolatokra vonatkozó információkat tehet elérhetővé.

A Microsoft vizsgálata szerint a támadók Graph-kérésekkel többek között a következőket térképezték fel:

• a tenant adatai, licencei és engedélyezett szolgáltatásai;
• az alkalmazottak, csoportok és csoporttagságok;
• a címtárszerepkörök és privilegizált identitások;
• a regisztrált hitelesítési módszerek;
• az alkalmazások és service principalok;
• az OAuth-jogosultságok és alkalmazásszerepkör-hozzárendelések;
• a SharePoint-webhelyek és dokumentumtárak;
• a OneDrive-mappák és fájlok;
• a levélmappák, üzenetek és mellékletek.

Az olyan végpontokra irányuló kérések, mint a /users, /groups vagy /sites, önmagukban nem rosszindulatúak. A jóváhagyott vállalati alkalmazások rendszeresen generálnak hasonló forgalmat.

Az erősebb észlelési lehetőséget az események egymásutánja jelenti. Lényegesen gyanúsabb jelzés, ha egy újonnan hitelesített fiók egy nem felügyelt eszközről csatlakozik, új hitelesítési módszert regisztrál, gyorsan feltérképezi a felhasználókat és a jogosultságokat, majd dokumentumokat kezd letölteni, mint bármely önálló Graph-kérés.

A Microsoft bizonyítékot talált arra, hogy a tevékenység egy részét Node.js-alapú eszközökkel automatizálták. Egyes nagy volumenű SharePoint- és OneDrive-hozzáférések során a python-httpx user-agentet is megfigyelték.

Egy user-agent karakterlánc önmagában nem bizonyítja a rosszindulatú tevékenységet. Akkor válik relevánssá, ha szokatlan bejelentkezésekkel, proxyinfrastruktúrával, rendellenes kérésmennyiséggel, a hitelesítési módszerek változásaival és az alkalmazott megszokott feladataihoz nem kapcsolódó felhőalapú munkaterhelések elérésével együtt jelenik meg.

SharePoint-, OneDrive- és e-mail-adatokat lopnak

A felderítés befejezése után a támadók áttérnek a SharePoint Online-ban, a OneDrive for Businessben és az Exchange Online-ban tárolt adatok összegyűjtésére.

A Microsoft jelentős számú FileAccessed és FileDownloaded eseményt figyelt meg, amelyek a vállalati dokumentumok módszeres letöltésére utaltak. Egyes behatolásokban REST API-kon keresztül az e-maileket is elérték, így a bűnözők interaktív webböngésző kizárólagos használata nélkül gyűjthettek üzeneteket és mellékleteket.

A támadók nem minden esetben hajtottak végre látványos és rendkívül gyors adatlopást. Az adatgyűjtés néha több órán vagy napon keresztül folytatódott, és a bűnözők általában óránként kevesebb mint 1000 fájlt vagy e-mailt értek el.

A szabályozott tempó segíthet abban, hogy a rosszindulatú tevékenység beleolvadjon a normál üzleti forgalomba, és elkerülje az egyszerű, adatmennyiségen alapuló észlelési szabályokat. A támadók azonban még ilyen sebesség mellett is jelentős mennyiségű információt lophatnak el, ha a kompromittált alkalmazott megosztott dokumentumtárakhoz vagy részlegszintű postaládákhoz fér hozzá.

A Google Threat Intelligence Group kapcsolódó kutatása hasonló, az UNC6671 fenyegetési csoporthoz tartozó műveleteket dokumentált. A Google szerint a csoport telefonos adathalászatot és az áldozat vállalati arculatához igazított hitelesítőadat-gyűjtő oldalakat kombinált az SSO-fiókok kompromittálásához és az MFA elfogásához.

A hozzáférés megszerzése után az UNC6671 kompromittált identitásokon keresztül Microsoft 365-, Okta- és kapcsolódó SaaS-környezeteket ért el. A kutatók olyan kifejezésekre indított kereséseket figyeltek meg, mint a „confidential” és az „SSN”. Ez arra utal, hogy a támadók szabályozási, pénzügyi vagy reputációs nyomásgyakorlásra alkalmas információkat kerestek.

A Google azt is megfigyelte, hogy a támadók Python- és PowerShell-eszközökkel automatizáltan nyertek ki információkat a SharePointból és a OneDrive-ból, mielőtt az áldozatok megkapták volna a zsarolási követelést.

A Google vizsgálatának fontos következtetése szerint az incidenseket nem a Microsoft 365, az Okta vagy a kapcsolódó SaaS-termékek sérülékenységei okozták. A kezdeti hozzáférést identitásközpontú social engineering módszerekkel szerezték meg.

A tevékenység egy szélesebb adatzsarolási ökoszisztémához kapcsolódik

A Microsoft a kezdeti hozzáférést biztosító tevékenység egyes részeit egy változékony adatzsarolási ökoszisztémában működő több szereplőhöz, köztük a Storm-3121 és Storm-3032 néven követett csoportokhoz kötötte.

A Microsoft Security Research szerint a Storm-3121 olyan kezdeti hozzáférési műveleteket hajt végre, amelyek később a ShinyHunters és Falcon nevek alatt végzett zsaroláshoz vezethetnek. A Storm-3032 a BlackFile csoporthoz kapcsolódó szereplőket jelöli, akik később Helix néven folytatták működésüket.

A Google az átfedést mutató tevékenységet UNC6671 néven követi. Kutatása az ebben az ökoszisztémában dolgozó operátorokat többek között a BlackFile, Helix, Falcon, Pink és Redact elnevezésekkel hozza összefüggésbe.

Ebben a bűnözői környezetben óvatosan kell kezelni az attribúciót. A zsarolócsoportok gyakran nevet változtatnak, kisebb csapatokra válnak szét, kezdeti hozzáférést biztosító brókerekkel működnek együtt, ugyanazt az infrastruktúrát használják, vagy ismert csoportok nevét veszik fel, hogy fenyegetéseiket hitelesebbnek tüntessék fel.

A visszatérő cél az adatok ellopása, majd fizetés kikényszerítése, nem pedig hagyományos, fájlokat titkosító zsarolóvírus telepítése. Ez azonban nem feltétlenül csökkenti a támadás hatását.

A személyes adatok, szerződések, pénzügyi dokumentumok, szellemi tulajdon és belső kommunikáció ellopása szabályozói vizsgálatokhoz, jogi követelésekhez, működési zavarokhoz és tartós reputációs károkhoz vezethet.

Miért kell a szervezeteknek továbbra is bevezetniük a passkeyeket?

A kampány azt a téves benyomást keltheti, hogy a passkeyek már nem biztosítanak érdemi védelmet. A bizonyítékok azonban más következtetést támasztanak alá.

A passkeyek számos hagyományos hitelesítőadat-adathalász támadást megakadályozhatnak, mert a felhasználó nem ír be újrafelhasználható titkot egy weboldalon, a privát kulcs pedig nem kerül nyilvánosságra a hitelesítés során. A hitelesítő adat emellett a legitim szolgáltatás eredetéhez kötődik.

A szervezetek azonban nem kezelhetik a passkeyek bevezetését az identitáskompromittálás elleni teljes körű védelemként.

A támadók gyengébb tartalék hitelesítési módszerek felé terelhetik az áldozatokat, visszaélhetnek legitim eszközengedélyezési folyamatokkal, ellophatják a meglévő munkameneteket, kompromittálhatják a már hitelesített végpontokat, vagy meggyőzhetik az ügyfélszolgálat munkatársait a biztonsági ellenőrzések visszaállításáról.

Az inkonzisztens szabályzatokat is kihasználhatják, ha egyes alkalmazások adathalászat-álló hitelesítést követelnek meg, más szolgáltatások azonban továbbra is elfogadják a gyengébb módszereket.

A védelmi csapatoknak ezért a hitelesítés teljes életciklusát biztosítaniuk kell, beleértve:

• a regisztrációt;
• a fiók-helyreállítást;
• az ügyfélszolgálati személyazonosság-ellenőrzést;
• az eszközök megbízhatóságát;
• a tokenek kiadását;
• a régi hitelesítési módszereket;
• a kapcsolódó SaaS-alkalmazásokhoz való hozzáférést.

Ha a támadó képes rávenni az alkalmazottat egy rosszindulatú eszköz engedélyezésére, vagy meggyőzni az ügyfélszolgálatot egy új hitelesítési tényező regisztrálásáról, előfordulhat, hogy a folyamat más részén használt passkey nem akadályozza meg a kompromittálást.

Ajánlott védelmi intézkedések

A Microsoft azt javasolja, hogy a szervezetek az identitással és felhőalapú munkaterhelésekkel kapcsolatos eseményeket összefüggő eseménysorozatként vizsgálják, ne pedig egymástól elkülönítve értékeljék az egyes szolgáltatásokat.

A biztonsági csapatoknak kiemelten kell kezelniük azokat az eseteket, amelyekben egy szokatlan bejelentkezést új MFA-módszer regisztrálása, Microsoft Graph-felderítés, gyanús tokentevékenység, valamint rendellenes SharePoint-, OneDrive- vagy Exchange Online-hozzáférés követ.

A szervezeteknek Conditional Access segítségével kell korlátozniuk a biztonsági adatok regisztrációját. Egy új interaktív hitelesítés, felügyelt és megfelelő állapotú eszköz, valamint adathalászat-álló MFA megkövetelése csökkentheti annak esélyét, hogy a támadó tartós hitelesítési módszert adjon a fiókhoz.

A device-code és authentication-transfer folyamatokat blokkolni kell, ha nincs dokumentált üzleti igény a használatukra. Ha ezeknek a képességeknek elérhetőnek kell maradniuk, használatukat jóváhagyott felhasználókra, alkalmazásokra és eszközfeltételekre kell korlátozni, egyúttal szorosan figyelemmel kell kísérni a kapcsolódó eseményeket.

A nem felügyelt eszközökről érkező hozzáférést kizárólag böngészős munkamenetekre lehet korlátozni, a fájlletöltés és a szinkronizálás letiltásával. A SharePoint és a OneDrive névtelen, illetve külső megosztási beállításait is felül kell vizsgálni.

A Microsoft Graph tevékenységnaplóit, a postaláda-auditálást és az Entra ID bejelentkezési nyilvántartásait engedélyezni kell, és azokat a vizsgálatok támogatásához elegendő ideig meg kell őrizni.

A védelmi csapatok ezután riasztásokat állíthatnak be az olyan gyanús kombinációkra, mint:

• kockázatos bejelentkezést követő hitelesítésimódszer-változás;
• váratlan alkalmazást érintő device-code hitelesítés;
• felhasználók, csoportok és címtárszerepkörök gyors feltérképezése;
• több SharePoint- vagy OneDrive-tárhelyre kiterjedő keresések;
• fájlokhoz, üzenetekhez és mellékletekhez való tartós hozzáférés;
• proxyinfrastruktúráról vagy ismeretlen user-agentekkel végzett automatizált tevékenység.

A harmadik féltől származó alkalmazásokhoz adható felhasználói hozzájárulásokat korlátozni kell, a magas kockázatú engedélykérésekhez pedig adminisztrátori jóváhagyást kell megkövetelni. Rendszeresen felül kell vizsgálni az olyan nagy jogosultságú Graph-engedélyekkel rendelkező service principalokat és vállalati alkalmazásokat, mint:

Mail.Read
Files.Read.All
Directory.Read.All

Az ügyfélszolgálati eljárások hasonló védelmet igényelnek. A munkatársak nem hagyhatnak jóvá hitelesítés-visszaállítást vagy regisztrációs módosítást kizárólag olyan információk alapján, amelyeket egy támadó közösségi médiából, kompromittált adatbázisból vagy belső alkalmazotti címtárból is megszerezhet.

A magas kockázatú változtatásokhoz erős személyazonosság-ellenőrzést kell megkövetelni, és azokról azonnal értesíteni kell az érintett alkalmazottat, valamint a biztonsági csapatot.

Az alkalmazottaknak azt is meg kell tanítani, hogy a legitim informatikai munkatársak nem keresik meg őket váratlanul azzal, hogy egy ismeretlen hivatkozáson keresztül azonnali passkey-, MFA- vagy SSO-műveletet hajtsanak végre. A szervezetnek egyszerű és megbízható csatornát kell biztosítania, amelyen a munkavállalók egymástól függetlenül ellenőrizhetik a támogatási kérések hitelességét.

A Microsoft a kampányról szóló technikai jelentésében részletes vizsgálati, körülhatárolási és fenyegetésvadászati ajánlásokat – köztük Microsoft Defender-lekérdezéseket – is közzétett.

Az incidenskezelés nem merülhet ki a jelszó visszaállításában

Kompromittálás gyanúja esetén az adminisztrátoroknak azonnal vissza kell vonniuk az aktív munkameneteket és frissítési tokeneket, vissza kell állítaniuk az érintett hitelesítő adatokat, és meg kell vizsgálniuk a fiókhoz kapcsolódó valamennyi hitelesítési módszert.

A legitim felhasználóval történő ellenőrzés után minden ismeretlen telefonszámot, authenticator-regisztrációt, passkeyt, szoftvertokent vagy eszközt el kell távolítani.

Az incidenskezelőknek a következőket is meg kell vizsgálniuk:

• OAuth-jóváhagyások;
• vállalati alkalmazások hozzáférései;
• beérkező leveleket továbbító szabályok;
• postaláda-delegáltak;
• alkalmazásjelszavak;
• regisztrált eszközök;
• service principal jogosultságok.

Fel kell mérni az érintett alkalmazott SharePoint-, OneDrive-, Exchange- és külső SSO-alkalmazásokhoz való hozzáférését, hogy megállapítható legyen az incidens lehetséges kiterjedése.

A felhőnaplókban keresni kell a szokatlan Graph-kéréseket, a szerepkörök feltérképezését, a nagy léptékű vagy hosszan tartó fájlhozzáférést, az e-mailek begyűjtését és a proxyinfrastruktúráról érkező kapcsolatokat.

A nyomozók nem hagyatkozhatnak kizárólag a látványos letöltési kiugrásokra, mivel a bűnözők szándékosan több órára vagy napra oszthatják el az adatgyűjtést.

Érzékeny információk elérése esetén a szervezetnek be kell vonnia jogi, adatvédelmi és vezetői incidenskezelő csapatait a szabályozási, szerződéses és értesítési kötelezettségek felméréséhez.

Az általános tanulság az, hogy a vállalati hitelesítés ma már a bejelentkezési oldalnál jóval nagyobb támadási felületet jelent. A passkey eltávolíthatja az egyik legkönnyebben adathalászható titkot, a jelszót, a támadók azonban egyre inkább a regisztrációs folyamatokat, a tartalék mechanizmusokat, a felhasználói bizalmat, a hozzáférési tokeneket és a sikeres bejelentkezés mögött található felhőalkalmazásokat célozzák.

A jelszó nélküli hitelesítés terjedésével a szervezeteknek biztosítaniuk kell, hogy az identitáskezelés minden kapcsolódó folyamata legalább ugyanolyan biztonságos legyen, mint maga a passkey.