Prevzatie firemného e-mailu a podvodná faktúra

Firma používa e-mail v Microsofte 365. Prihlásenie chráni iba meno a heslo, druhý faktor zapnutý nie je. Faktúry od dodávateľov chodia e-mailom a účtovníčka ich uhrádza bankovým prevodom.

Microsoft 365 zaznamenáva prihlásenia a zmeny nastavení do jednotného auditného logu. Ten je predvolene zapnutý, ale bez nastavených upozornení si zmeny nikto nevšimne, kým sa niečo nestane.

Dodávateľ sa telefonicky spýtal, prečo firma neuhradila faktúru. Účtovníčka pritom deň predtým dostala e-mail z tej istej korešpondencie, ktorý žiadal úhradu na nové číslo účtu. E-mail vyzeral ako pokračovanie rozhovoru s dodávateľom.

Ukázalo sa, že schránku jedného zamestnanca ovládol útočník. Predtým poslal zamestnancovi phishingový e-mail s odkazom na falošné prihlásenie do Microsoftu 365, kam zamestnanec zadal heslo. Bez druhého faktora stačilo heslo na plný prístup k schránke.

Útočník si prečítal korešpondenciu s dodávateľom, vložil sa do nej a napísal účtovníčke zmenu čísla účtu. Zároveň si v schránke vytvoril skryté pravidlo, ktoré odpovede od dodávateľa a účtovníčky presúvalo mimo dohľadu, aby sa výmena neprezradila. Ide o klasické prevzatie e-mailu (business email compromise).

Predpoklad útoku: útočník potrebuje iba heslo obete, ktoré získa phishingom, a schránku bez druhého faktora. Nič iné.

Prvá príčina je prihlásenie iba na heslo. Bez druhého faktora sa z jedného hesla zachyteného phishingom stáva plný prístup k schránke.

Druhá príčina je, že schránka dovolila vytvoriť pravidlo, ktoré ticho presúva a maže poštu. To útočníkovi umožnilo skryť svoju činnosť pred majiteľom schránky.

Tretia príčina je v procese platieb: zmena čísla účtu prebehla iba na základe e-mailu, bez overenia iným kanálom. Práve to premieňa prevzatú schránku na peniaze.

V jednotnom auditnom logu Microsoftu 365 sa hľadali prihlásenia k danej schránke: zdrojová IP a krajina, čas a nemožné cestovanie, teda dve prihlásenia z miest, medzi ktorými sa človek za ten čas nedostane. Jedno prihlásenie zo zahraničia nesedelo na zamestnanca.

Connect-ExchangeOnline

# the hidden rule an attacker leaves to bury the supplier's replies
Get-InboxRule -Mailbox user@firma.sk |
  Select-Object Name, Enabled, MoveToFolder, DeleteMessage, ForwardTo

# sign-ins and rule changes, from the unified audit log (auditing must be on)
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) `
  -Operations New-InboxRule,Set-InboxRule,UserLoggedIn `
  -UserIds user@firma.sk |
  Select-Object CreationDate, Operations, AuditData

Audit ukázal aj vytvorenie pravidla schránky v čase cudzieho prihlásenia. Pravidlo presúvalo správy od dodávateľa a účtovníčky do málo sledovaného priečinka.

Prešli sa odoslané správy, či útočník nepísal aj iným, a ostatné schránky, či nešlo o viac účtov. Overilo sa, či nejaká platba skutočne odišla.

Za obdobie, ktoré audit nepokrýva, sa nedá preukázať, čo všetko útočník čítal. Záznam o incidente to uvádza takto.

Okamžite: zmena hesla napadnutého účtu a zrušenie všetkých aktívnych relácií a tokenov, aby prihlásený útočník vypadol. Samotná zmena hesla ho totiž z už otvorenej relácie nevyhodí.

Skryté pravidlo schránky sa odstránilo a schránka sa prešla, či útočník nenechal ďalšie pravidlá alebo presmerovanie.

Druhý faktor sa zapol pre všetkých, spolu s podmieneným prístupom. Zablokovalo sa staršie prihlasovanie (legacy authentication), ktoré druhý faktor obchádza.

Do procesu platieb pribudlo pravidlo: každú zmenu čísla účtu overí účtovníčka spätným telefonátom na známe číslo dodávateľa, nikdy nie na číslo z e-mailu.

Zapli sa upozornenia na vytvorenie nového pravidla schránky a na presmerovanie pošty von z firmy.

Dodávateľa firma informovala a s jeho účtovníctvom si potvrdili správne číslo účtu.

Druhý faktor mení ukradnuté heslo z plného prístupu na neúplný pokus: samotné heslo prihlásenie nedokončí.

Zablokovanie staršieho prihlasovania zavrie protokoly, ktoré druhý faktor ignorujú, inak by bol obídený.

Zrušenie relácií vyhodí útočníka, ktorý je práve prihlásený, čo samotná zmena hesla neurobí.

Odstránenie pravidla vráti majiteľovi schránky prehľad o jeho pošte.

Overenie zmeny účtu spätným telefonátom zastaví podvod aj vtedy, keď je e-mail v rukách útočníka, lebo peniaze už nezávisia len od e-mailu.

Čo to nerieši: MFA nezastaví útočníka, ktorý heslo aj druhý faktor vyláka v reálnom čase alebo ukradne už otvorenú reláciu. Preto je dôležité upozornenie na pravidlá a overenie platieb.