Интернет-фишеры пытаются использовать учетные записи администраторов Microsoft Office 365, используя эту умную аферу

Если ваша организация использует Office 365, вы, вероятно, уже видели фишинговые сообщения, нацеленные на ваше сообщество. Однако одно дело, когда фишинговые атаки направлены на обычных пользователей, и совсем другая история, когда преступники стремятся получить учетную запись администратора Microsoft Office 365. В конце концов, если учетная запись администратора скомпрометирована, последствия могут распространяться и на других пользователей на разных уровнях.

Мы будем использовать эту запись в блоге, чтобы рассказать вам больше о краже учетных данных Office 365, а затем рассмотрим рекомендации по защите от фишинга, предлагаемые Microsoft. Хотя рекомендуемые компанией параметры являются лишь первым шагом к созданию безопасной виртуальной среды, этот шаг крайне важен, если вы хотите защитить свою систему.

Фишинговая атака на учетные записи администраторов Microsoft Office 365

Попытки скомпрометировать учетные записи Office 365 предпринимаются каждый день. Более крупные фишинговые кампании обнаруживаются специалистами по безопасности, которые делятся этой важной информацией в своих блогах. Фишинговая атака, о которой мы хотим поговорить, была впервые обнаружена PhishLabs в ноябре 2019 года.

Согласно отчету, вредоносные электронные письма доставлялись нескольким учетным записям администраторов Microsoft Office 365. Эти электронные письма назывались «фишинговыми приманками», потому что их целью было заманить администраторов в выдачу конфиденциальной информации.

В то время как обычные пользователи довольно часто обманывают свои личные учетные данные, можно ожидать, что системные администраторы гораздо более осторожны с этим. Похоже, что так же думали и участники угрозы, потому что электронные письма с фишинг-приманкой маскировались под официальные уведомления от Microsoft, отправленные с различных проверенных доменов.

Что такое проверенный домен? Ну, подумайте о домене, который не будет выглядеть подозрительно. Например, если вы получили письмо с инициалами университета на своем доменном имени, вы, скорее всего, будете доверять этому письму? Именно так работает эта мошенничество: проверенные домены могут не принадлежать Microsoft, но они выглядят надежно, и, таким образом, администраторы могут быть заманчивы в облизывании ссылок в этих фишинговых приманках.

Однако в тот момент, когда они нажимают на ссылку, они перенаправляются на поддельную страницу входа в Office 365. Он выглядит так же, как обычный, и если администратор вводит свои учетные данные для входа в систему, мошенники могут украсть их и использовать для доступа к системе. Излишне говорить, что фишинговая атака на уровне администратора вызывает гораздо больше проблем с безопасностью.

Согласно отчету PhishLabs, в зависимости от конфигурации Office 365, взломанная учетная запись администратора может позволить киберпреступникам захватить другие учетные записи электронной почты в домене. Не говоря уже о том, что иногда права администратора позволяют им сбрасывать забытые пароли и настраивать параметры единого входа. Следовательно, если учетная запись администратора будет взломана, вся система может оказаться под угрозой серьезной кражи данных.

Помимо кражи информации с помощью этой фишинг-атаки, хакеры могут создавать новые учетные записи в взломанном домене. Кроме того, когда у преступников есть определенный домен под рукой, они могут использовать ресурсы домена, чтобы отправлять больше фишинговых приманок в другие системы. Таким образом, порочный круг фишинговых атак никогда не заканчивается. Фактически, тот факт, что кто-то получает эти фишинговые приманки, просто доказывает, что некоторые домены уже были взломаны. И это приводит нас к другому моменту.

Что такого особенного в этой фишинг-атаке?

Как мы уже упоминали, это мошенничество выделяется тем, что оно предназначено для учетных записей администратора. Тем не менее, есть еще одна вещь, которая делает его чрезвычайно хитрым. Это было бы использование инфраструктуры законной организации. Использование законного домена позволяет этим мошенникам избегать обычных почтовых фильтров, которые перенаправляют спам в папку нежелательной почты. Кроме того, когда такие сообщения достигают основного почтового ящика, даже администраторы с большей вероятностью считают их правдоподобными.

Еще один интересный момент заключается в том, что администраторы скомпрометированных доменов, которые используются для этой фишинг-атаки, не могут заметить вредоносную активность. Исследование показывает, что мошенники создают новые учетные записи в затронутых доменах для рассылки спама, поэтому ни один законный пользователь не заметит исходящую почту. Используются не учетные записи электронной почты, а сам домен.

Как избежать фишинговых атак

Специалисты по безопасности утверждают, что все должны быть осторожны с такими фишинговыми атаками, потому что не похоже, чтобы одно конкретное предприятие или отрасль были нацелены в данный момент. Администраторам просто следует остерегаться электронных писем с такими строками, как «Re: Требуется действие!» Или «Re: Мы заблокировали вашу учетную запись».

Вместо того, чтобы щелкать URL-адреса в сообщении, администратору рекомендуется немедленно связаться со своим ИТ-отделом. У вашего предприятия могут быть различные методы противодействия подобным инцидентам электронной почты, но двойная проверка содержимого электронной почты всегда является хорошей отправной точкой.

Microsoft предлагает эти рекомендации, которые должны помочь вам улучшить защиту Office 365 от фишинговых атак.

Как улучшить защиту Office 365

1. Войдите в центр администрирования и выберите Безопасность .
2. Перейдите в раздел «Управление угрозами» , выберите « Политика» и перейдите к разделу «Антифишинг ATP» .
3. Выберите « Политика по умолчанию» и выберите « Изменить» в разделе « Олицетворение ».
4. Откройте Добавить домены для защиты и выберите автоматическое включение ваших доменов.
5. Откройте действие , щелкните раскрывающийся список, если электронное письмо отправлено имитируемым пользователем .
6. Выберите действие, которое вы хотите, и выберите Включить подсказки по безопасности.
7. Выберите нужные советы и нажмите « Сохранить» .
8. Зайдите в Mailbox Intelligence и убедитесь, что он включен .
9. Выберите Добавить надежных отправителей и домены, чтобы добавить надежные домены и адреса электронной почты.
10. Перейдите в раздел «Просмотр настроек» и нажмите « Сохранить» .
11. Нажмите Закрыть и выйдите из меню.

Помимо применения самых основных мер безопасности, всегда настоятельно рекомендуется постоянно напоминать постоянным пользователям об опасностях фишинговых атак. Иногда серьезная проблема может начаться с одного блуждающего фишингового письма, с которым отвлеченный пользователь взаимодействует безо всякой мысли.

Администраторам следует рассмотреть вопрос об информировании пользователей о важности надежных паролей и многофакторной аутентификации Менеджеры паролей также настоятельно рекомендуется, и если вы хотите узнать, как это работает, вы можете убедиться в этом сами, нажав оранжевую кнопку БЕСПЛАТНАЯ 30-дневная пробная версия справа.