CERT Polska opisał 12 maja wiadomości, które podszywają się pod dział HR i zapowiadają nowe zasady lub dokumenty w firmie. Kod QR z takiej wiadomości prowadził do strony imitującej Microsoft 365, na której wyłudzano hasło. Dla każdej organizacji rozsyłającej polityki kadrowe to sygnał, że pracownik potrzebuje sposobu na sprawdzenie komunikatu, który nie zależy od przesłanego linku ani kodu.

Skąd pracownik ma wiedzieć, że wiadomość o nowym regulaminie naprawdę wysłał dział kadr? Większość z nas zna złą odpowiedź: bo wygląda jak zwykły komunikat, ma znajomy temat i prosi o to, o co HR prosi regularnie. Zapoznanie się z dokumentem, potwierdzenie, podpis. Właśnie na tej rutynie opiera się kampania opisana przez CERT Polska. Oszuści nie musieli wymyślać pretekstu, bo pretekst dostarcza firmowa procedura: nowe zasady trzeba przeczytać, a obowiązek przeczytania przychodzi z góry. Z komunikatu nie wynika, ile osób otrzymało takie wiadomości ani ile z nich podało hasło. Wynika z niego jednak, gdzie leży słaby punkt. Jeśli jedyną drogą do dokumentu jest to, co przyszło w wiadomości, pracownik nie ma czym jej sprawdzić.

Kod QR przenosi pracownika z wiadomości na fałszywą stronę Microsoft 365

Według CERT Polska schemat składa się z dwóch kroków. Pierwszy to wiadomość, która podaje się za komunikat HR i zapowiada nowe zasady lub dokumenty. Drugi to kod QR, który zamiast do dokumentu prowadzi do strony udającej logowanie do Microsoft 365. Tam pada prośba o hasło.

Kod QR zmienia sytuację odbiorcy w prosty sposób. Adresu ukrytego w kodzie nie widać przed zeskanowaniem, więc pracownik nie ma okazji przyjrzeć się mu tam, gdzie zwykle czyta wiadomość. Prośba o zalogowanie się do Microsoft 365 nie budzi przy tym zdziwienia w firmie, która tam trzyma dokumenty. Fałszywa strona korzysta z tego samego nawyku co prawdziwa.

Komunikat CERT Polska nie podaje, co działo się z kontem po przejęciu hasła. Tego nie wiemy i nie ma potrzeby zgadywać. Wystarczy przyjąć, że hasło do Microsoft 365 otwiera dostęp do zasobów, którymi pracownik posługuje się na co dzień.

Polityka kadrowa uczy, że wiadomość od HR się wykonuje

Procedury bezpieczeństwa zwykle mówią pracownikom: nie klikaj w podejrzane linki. Procedury kadrowe mówią coś innego: zapoznaj się z nowym dokumentem w terminie. Obie są rozsądne osobno. Razem tworzą sytuację, w której to druga wygrywa, bo komunikat od HR z definicji nie wygląda podejrzanie. Oszuści z opisu CERT Polska podpisują się więc pod procedurą, którą pracownik zna.

W schemacie opisanym przez CERT Polska przynętą jest firmowa rutyna rozsyłania nowych zasad.

Zakaz klikania niewiele tu pomoże, jeśli prawdziwe komunikaty kadrowe też przychodzą z linkiem albo kodem. Pracownik nie odróżni wtedy po formie oryginału od podróbki, bo forma jest ta sama. Potrzebuje drugiej drogi, którą zna wcześniej i może z niej skorzystać bez otwierania przesłanego materiału: stałego miejsca, w którym HR publikuje dokumenty, albo kontaktu do osoby, która potwierdzi, że komunikat jest prawdziwy.

Nie znamy procedur firm, których pracownicy dostali opisane wiadomości. Nie ma podstaw, by twierdzić, że ktoś je zlekceważył. Zadajmy więc to pytanie we własnej organizacji: czy jest w niej kanał, który pozwala sprawdzić komunikat HR bez użycia tego, co komunikat sam podsuwa?

Właściciel komunikacji kadrowej odpowiada też za jej kanał

Dla zarządu ten przypadek przesuwa odpowiedzialność w miejsce, którego zwykle nie łączy się z bezpieczeństwem. Za treść polityk odpowiada HR, za konta Microsoft 365 dział IT, a za to, jak pracownik ma rozpoznać prawdziwy komunikat, często nikt. Tymczasem kampania z 12 maja trafia dokładnie w tę lukę.

Kto rozsyła polityki, powinien też ustalić, jak pracownik sprawdzi, że polityka pochodzi od niego.

Zarząd może tu sprawdzić trzy rzeczy. Czy jest wskazany właściciel komunikacji kadrowej, który decyduje o jej kanałach. Czy pracownicy wiedzą, gdzie znaleźć dokument bez klikania w wiadomość. I czy ktoś wie, co zrobić, gdy pracownik zgłosi, że podał hasło na stronie udającej Microsoft 365. Koszt tych ustaleń jest niewielki w porównaniu z sytuacją, w której pierwsza osoba szuka odpowiedzi dopiero po przejęciu konta. Skali strat w opisanej kampanii nie znamy, więc nie wyliczajmy jej na potrzeby budżetu.

Polskie firmy na Microsoft 365 powinny mieć znany adres dla dokumentów HR

Ostrzeżenie wydał CERT Polska, a wiadomości dotyczyły firmowych komunikatów kadrowych i logowania do Microsoft 365. Z komunikatu nie wynika, ilu polskich organizacji dotyczyła kampania. Dla polskiego działu HR to wystarczający powód, by przejrzeć własny sposób dystrybucji polityk, bez zakładania, że firma już padła ofiarą tej konkretnej akcji.

Najprostsze rozwiązanie jest organizacyjne. Jeśli dokumenty kadrowe zawsze trafiają w jedno stałe miejsce, którego adres pracownik zna z wdrożenia, każdy komunikat da się sprawdzić przez samodzielne wejście pod ten adres. Wiadomość z kodem QR, który prowadzi gdzie indziej, staje się wtedy podejrzana sama przez się. Taka zasada zadziała tylko, jeśli HR będzie jej przestrzegać również wtedy, gdy wygodniej byłoby wkleić link.

Co z tym zrobić w poniedziałek

  1. Ustal stałe miejsce na dokumenty HR. W 30 minut zapisz z działem kadr jeden adres, pod którym HR publikuje polityki i regulaminy, i dopisz go do najbliższego komunikatu jako jedyne miejsce potwierdzenia.
  2. Wskaż kontakt do weryfikacji komunikatu kadrowego. W 30 minut wyznacz osobę lub skrzynkę w HR, która potwierdza autentyczność komunikatów, i przekaż pracownikom, że mogą o to pytać bez otwierania przesłanego linku ani kodu.
  3. Sprawdź reakcję na podanie hasła na fałszywej stronie. W 30 minut ustal z IT, komu pracownik zgłasza, że wpisał hasło do Microsoft 365 na podejrzanej stronie, i co dzieje się z kontem po takim zgłoszeniu. Zapisz brakujące odpowiedzi i przypisz osobę do ich uzupełnienia.

Komunikat kadrowy, którego nie da się sprawdzić inaczej niż przez załączony kod, uczy pracowników ufać formie. Opis CERT Polska pokazuje, że tę formę łatwo skopiować. Firma, która daje pracownikom drugi, znany wcześniej kanał potwierdzenia, odbiera oszustom ich najlepszy pretekst.

Źródła

Redakcja cyberinsight.pl.