Google Trust & Safety opisał w poradniku o oszustwach, opublikowanym w poniedziałek 8 czerwca, fałszywe powiadomienia o odnowieniu usług dodawane do zaproszeń kalendarza oraz kampanie AiTM kradnące tokeny sesji. Dla firm, które cały dzień pracują w poczcie i kalendarzu, to sygnał, że znana domena nadawcy albo usługi nie rozstrzyga o bezpieczeństwie wiadomości.

Wyobraź sobie recepcję biurowca, która wpuszcza każdego kuriera w kurtce znanej firmy przewozowej i nie zagląda do paczki. Kurtka mówi coś o przewoźniku, o zawartości przesyłki nie mówi nic. Filtr oparty na reputacji domeny działa podobnie: sprawdza, skąd przychodzi wiadomość albo gdzie leży plik, i na tej podstawie ufa. W materiale z 8 czerwca analitycy Google opisali złośliwe treści hostowane w zaufanych usługach, czyli właśnie paczkę w porządnej kurtce. Opisali też zaproszenia kalendarza z fałszywym powiadomieniem o odnowieniu usługi. Takie zaproszenie ląduje w kalendarzu pracownika obok prawdziwych spotkań i wygląda jak kolejny punkt dnia. Pytanie dla firmy brzmi więc: co poza reputacją nadawcy sprawdzamy, zanim ktoś kliknie?

Zaproszenie w kalendarzu niesie fałszywe odnowienie usługi

Jak podaje Google Trust & Safety, zbadane przez Google fałszywe powiadomienia o odnowieniu usług były dodawane do zaproszeń kalendarza. Kalendarz jest tu nośnikiem, bo wiadomość trafia w miejsce, które pracownik przegląda kilka razy dziennie i z którym kojarzy raczej spotkania niż oszustwa. Powiadomienie o odnowieniu dotyczy z kolei terminu i usługi, za którą ktoś w firmie odpowiada, więc łatwo uznać je za sprawę do załatwienia od ręki.

Drugi wątek poradnika dotyczy kampanii AiTM, czyli ataków z pośrednikiem wpiętym w proces logowania. Według Google ich celem była kradzież tokenów sesji. Token sesji to potwierdzenie, że użytkownik już się zalogował. Hasło i drugi składnik przeszły sprawdzenie wcześniej, a kto przejmie token, korzysta z gotowej sesji.

Trzeci wątek to złośliwe treści hostowane w zaufanych usługach. Link w takiej wiadomości prowadzi do domeny o dobrej reputacji, więc filtr oceniający przede wszystkim adres nie ma powodu, by go zatrzymać. Z dostępnych faktów nie da się ustalić, o jakie usługi chodziło, ilu użytkowników otrzymało takie zaproszenia ani jakie straty spowodowały opisane kampanie.

Reputacja domeny mówi, kto dostarczył wiadomość. Nie mówi, co w niej jest ani kto przejmie sesję po kliknięciu.

Instrukcja oparta na nadawcy przegrywa z kalendarzem

Nie wiemy, jakie procedury obowiązywały u odbiorców kampanii opisanych przez Google, i nie ma podstaw, by komukolwiek przypisywać ich złamanie. Zderzenie procedury z praktyką przeprowadźmy więc na własnym podwórku. Weźmy firmową instrukcję dotyczącą podejrzanych wiadomości i sprawdźmy, czego wymaga od pracownika.

Jeśli każe przede wszystkim patrzeć na nadawcę i domenę linku, opisane przypadki trafiają w jej słabe miejsce. Zaproszenie kalendarza z fałszywym odnowieniem i plik w zaufanej usłudze przejdą taki test. Jeśli instrukcja w ogóle nie wspomina o kalendarzu, pracownik nie ma powodu traktować zaproszenia jak wiadomości wymagającej sprawdzenia.

Druga luka dotyczy MFA. Szkolenie, które kończy się zdaniem „masz włączone uwierzytelnianie wieloskładnikowe, więc konto jest chronione”, nie przygotowuje na kradzież tokenu sesji. W ataku AiTM użytkownik loguje się poprawnie, a drugi składnik działa zgodnie z projektem. Problem zaczyna się po logowaniu, kiedy sesja trafia w niepowołane ręce.

MFA kończy pracę w chwili wydania tokenu sesji

Dla zarządu poradnik Google jest dobrym pretekstem do zmiany pytania. „Czy mamy MFA?” zamyka rozmowę zbyt szybko. Pytania warte odpowiedzi brzmią inaczej: czy zauważymy użycie sesji z nietypowego miejsca, kto może ją unieważnić i ile to zajmie. Odpowiedzi należą do osoby odpowiedzialnej za konta pracowników, a zarząd powinien wiedzieć, kto nią jest.

Pytanie „czy mamy MFA” zamyka się zbyt łatwo. Lepiej zapytać, co zrobimy, gdy ktoś przejmie już wydaną sesję.

Podobnie z treścią wiadomości. Jeśli ochrona poczty opiera się głównie na ocenie reputacji, złośliwa treść hostowana w zaufanej usłudze ominie ją z definicji. Analiza treści i linków oznacza dodatkowy koszt albo dodatkową konfigurację, której zakresu nie da się wyliczyć z opisu Google. Nie znamy też kosztów strat w opisanych kampaniach, więc budżet zmian oprzyjmy na przeglądzie własnych narzędzi, nie na cudzych liczbach.

Odpowiedzialność rozpiszmy na trzy role: kto ustala, jak zaproszenia z zewnątrz trafiają do kalendarzy, kto przyjmuje zgłoszenia podejrzanych zaproszeń i kto unieważnia sesje. W wielu firmach to jedna osoba, co jest w porządku, pod warunkiem że ta osoba o tym wie.

Polska firma pracuje w tym samym kalendarzu

Dostępne fakty nie wskazują polskich ofiar ani danych dla Polski. Nie ma też danych ilościowych o wzroście takich kampanii w ostatnim kwartale. Opis pochodzi z dokumentu pierwotnego Google i nie ma jeszcze niezależnego potwierdzenia medialnego. To powód, by nie straszyć skalą, ale nie powód, by temat odłożyć.

Poczta i kalendarz są narzędziami codziennej pracy niezależnie od kraju. Polska firma dostaje zaproszenia od klientów, dostawców i organizatorów wydarzeń, a jej pracownicy pilnują odnowień usług, za które odpowiadają. Mechanizm opisany przez Google nie wymaga niczego, czego w zwykłym biurze brakuje. Przegląd można więc zacząć od własnej instrukcji i własnych ustawień, bez założenia, że firma była celem którejkolwiek z opisanych kampanii.

Co z tym zrobić w poniedziałek

  1. Sprawdź drogę zaproszeń z zewnątrz. W 30 minut ustal z administratorem, czy zaproszenia od nadawców spoza organizacji trafiają do kalendarzy pracowników automatycznie, kto może to zmienić i czy ktoś kiedykolwiek o tym decydował. Zapisz odpowiedź i właściciela ustawienia.
  2. Dopisz kalendarz do instrukcji. W 30 minut uzupełnij instrukcję dla pracowników o jedną zasadę: odnowienie usługi sprawdzamy w panelu dostawcy otwartym z ręcznie wpisanego adresu, nigdy z linku w zaproszeniu lub wiadomości. Wskaż, komu zgłosić podejrzane zaproszenie.
  3. Zapytaj o unieważnianie sesji. W 30 minut zapytaj osobę odpowiedzialną za konta, jak unieważnia sesje wybranego użytkownika, ile to trwa i czy procedurę ktoś przećwiczył. Zapisz czas, nazwisko odpowiedzialnej osoby i brakujące odpowiedzi.

Zaufana domena i włączone MFA to dwa zabezpieczenia, które kończą działanie wcześniej, niż sugeruje ich opis w polityce. Opisane przez Google zaproszenia kalendarza i kampanie AiTM pokazują, gdzie dokładnie. Firma, która potrafi przejrzeć treść wiadomości i odebrać przejętą sesję, ma kontrolę w tych miejscach, w których reputacja nadawcy przestaje cokolwiek mówić.

Źródła

Redakcja cyberinsight.pl.