Фишинг через фальшивый планировщик Teams похитил сессионный токен у строителей
Злоумышленники использовали поддельный планировщик встреч Microsoft Teams, чтобы склонить сотрудника строительной компании подтвердить вход по коду устройства. В результате они получили действительный сессионный токен раньше, чем центр мониторинга Huntress обнаружил инцидент.
Главное в цифрах
- Инцидент выявлен центром мониторинга безопасности Huntress
- Атака использовала настоящую процедуру входа Microsoft по коду устройства
Атака построена на фишинге с кодом устройства. Это реальная процедура входа Microsoft: атакующий инициирует вход и получает короткий код. Затем жертву убеждают ввести этот код на официальной странице входа Microsoft. Сотрудник проходит многофакторную аутентификацию сам, поэтому для него всё выглядит законно.
Код вводился не на подставной сайте, а на настоящей странице Microsoft. Именно поэтому привычные признаки фишинга, вроде поддельного домена, здесь не срабатывают.
Как сработала схема
Жертве прислали приглашение на встречу, оформленное через фальшивый планировщик Teams. Сотрудник строительной компании подтвердил вход по коду, и атакующие получили действительный сессионный токен. Инцидент выявил центр мониторинга безопасности Huntress, однако уже после того, как токен оказался у злоумышленников.
Из источника неизвестно, какие системы были затронуты и какой ущерб нанесён.
Что важно для защиты
По словам авторов материала, защита строится на двух вещах: контроле запросов на вход по коду устройства и обучении сотрудников. Сотрудникам стоит не вводить такие коды по ссылкам из неожиданных приглашений, даже если страница выглядит официальной.
