Der Anruf, der die Tür öffnet: Phishing adaptive, die den SSO-Zugang stiehlt und die Cloud Ihres Unternehmens freigibt

In den letzten Tagen hat sich eine Taktik wiedererscheint, die zeigt, wie Social Engineering auch die anspruchsvollsten Sicherheitsbarrieren weiterhin verletzen kann: kriminelle Gruppen nutzen falsche Telefonanrufe an dumme Mitarbeiter und erhalten Zugang zu unternehmenseigenen Single-Start-Konten (SSO). Diese Konten dienen als Hauptschlüssel für die Cloud-Anwendungen einer Organisation, so dass ihr Engagement zu Informationsdiebstahl, späteren Intrusionen und Erpressungsanforderungen führen kann.

Die Mechanik ist einfach und effektiv durchdrungen: ein Angreifer stellt als technische Unterstützung, kontaktiert einen Arbeiter und leitet ihn, um seine Anmeldeinformationen auf einer Seite, die imitiert das Portal des Unternehmens. Mittlerweile ermöglicht ein Phishing Kit Control Panel den Angreifer, sich in Echtzeit anzupassen, was der Benutzer sieht, auch MFA-Codes anfordern oder Push-Benachrichtigungen bei Bedarf passieren. Das Ergebnis: Zugriff auf SSO und die von diesem Panel verknüpften Anwendungen, von Mail- und CRM-Lösungen bis hin zu Kollaborations- und Speicherplattformen.

Unternehmen, die SSO bieten, wie Okta, Microsoft (Enter) und Google, erleichtern es Unternehmen, viele Anwendungen mit einem einzigen Authentifizierungsstrom zu verbinden, der die Produktivität verbessert, aber auch das Risiko konzentriert. Diese Panels umfassen in der Regel Anwendungen verknüpft - Corporate Mail, CRM, Support-Tools und Dokument-Repositories - so dass ein Kompromiss-Konto kann eine direkte Tür zu sensiblen Vermögenswerten werden.

Okta veröffentlichte eine technische Analyse von Phishing Kits, die helfen, diese Kampagnen auszuführen. In seinem Bericht beschreibt das Unternehmen, wie diese Tools es ermöglichen, die Dialoge auf der Supplanting-Seite dynamisch zu ändern, um den Benutzer Schritt für Schritt während des Anrufs zu führen, auch wenn die Überprüfung zusätzlichen Faktor wie Push oder TOTP fordert. Sie können Oktas Analyse auf ihrem technischen Blog lesen: Okta Threat Intelligence.

Die journalistische Untersuchung, die über die Welle der Angriffe warnte, zitierte Unternehmen, die Zahlungsanforderungen erhielten, die von der Erpressungsgruppe namens ShinyHunters unterzeichnet wurden. Die Gruppe selbst erklärte den Medien, dass sie hinter einigen dieser Kampagnen steht und dass ihr Hauptinteresse die auf CRM-Plattformen wie Salesforce gehosteten Daten ist; sie sorgte auch dafür, dass sie Infrastrukturen zur Durchführung von betrügerischen Anrufen und Seiten hat. Weitere Informationen zur Nachrichtenübermittlung finden Sie in BlepingComputer, die dem Fall gefolgt ist.

Eine besonders gefährliche Praxis bei diesen Intrusionen ist die Verwendung von zuvor gefilterten Daten, um die Glaubwürdigkeit von Anrufen zu erhöhen: Telefonnummern, Gebühren, Namen und Unternehmensdaten, die aus früheren Lücken extrahiert wurden, ermöglichen es dem Angreifer, jemanden aus dem IT-Team besser zu personalisieren und die Zweifel des kontaktierten Mitarbeiters zu reduzieren. Angreifer extrahieren nach dem Eindringen oft Dokumente und Datenbanken und drohen, sie zu veröffentlichen oder zu verkaufen, wenn sie kein Lösegeld erhalten.

Die jüngsten Vorfälle wurden mit Unternehmen verbunden, deren Daten in früheren Lecks erschienen oder unberechtigten Zugang zu ihren Netzwerken bestätigt haben. Einige von den jüngsten Lecks betroffenen Dienstleistungen - nach öffentlichen Berichten - umfassen Plattformen wie SoundCloud oder Crunchbase; diese Organisationen haben Berichte herausgegeben und untersuchen den Umfang der Vorfälle. Lesen Sie die offiziellen Notizen der Unternehmen, um ihre Version und Maßnahmen zu kennen: zum Beispiel, Crunchbases Presseseite und Mitteilungen oder SoundClouds Veröffentlichungen, wenn angemessen.

Die Antworten der großen Lieferanten waren vorsichtig. Microsoft gab an, dass es zu dieser Zeit keine zusätzlichen Aussagen hatte, und Google stellte fest, dass es keine Beweise für direkten Missbrauch seiner Produkte in dieser Kampagne zum Zeitpunkt des Berichts hatte. Wenn Angriffe, die den menschlichen Faktor nutzen, statt technische Fehler auftreten, ist die öffentliche Kommunikation oft allmählich, während sie Vektoren untersucht und Risiken abmildern.

Was können Organisationen tun, um dieses Risiko zu reduzieren? Die erste Verteidigungslinie ist zu erkennen, dass die sogenannte "Menschenbestätigung" keine absolute Garantie ist: kontinuierliches Training bei der Erkennung von Suplantationen, Phishing-Übungen durch das Sicherheitsteam selbst und interne Telefon-Verifikationsprotokolle helfen, sind aber nicht allein genug. Es ist wichtig, das Bewusstsein mit technischen Kontrollen zu kombinieren, die den Missbrauch erschweren, auch wenn die Anmeldeinformationen den Angreifer erreichen.

Die technischen Empfehlungen, die Unternehmen bewerten sollten, umfassen die Bereitstellung von phishing-resistenten Authentifizierungsmechanismen wie FIDO2-Schlüssel und andere physische Authentisierungen; die Umsetzung von bedingten Zugriffsrichtlinien, die die Sitzung begrenzen und eine Neuauthentifizierung auf abnormes Verhalten erfordern; die Segmentierung von Privilegien, so dass ein Konto keinen unmissverständlichen Zugriff auf alle Anwendungen hat; und die frühzeitige Überwachung und Reaktion auf die Erkennung von verdächtigen Mustern in SSO-Sitzungen. Microsoft und Google veröffentlichen Leitlinien für gute Praktiken im Zugriffs- und Identitätsmanagement, die als Ausgangspunkt dienen können: Microsoft Conditioning Access und Google Workspace Security Guides.

Es ist auch wichtig, die Angriffsfläche zu reduzieren. Beschränken Sie die den Benutzerkonten erteilten Berechtigungen, deaktivieren Sie die Wiederherstellungsmethoden, die von Angreifern kooptiert werden können und kontrollieren Sie die Erstellung von Drittanbieter-Anwendungen innerhalb des SSO sind operative Entscheidungen, die die Massenausbeutung nach einem anfänglichen Engagement schwierig machen.

Aus einer regulatorischen und Compliance-Perspektive, halten Sie Audit-Tracks, haben aktualisierte Notfall-Reaktionspläne und arbeiten mit Sicherheitskräften, wenn die Exfiltration festgestellt wird, sind Schritte, die nicht nur den Schaden enthalten, sondern auch Beweise und rechtliche Verpflichtungen zu bewahren. Organisationen, die massive Datendiebstahl leiden, benötigen oft eine Koordination zwischen technischen, rechtlichen und Kommunikationsteams, um die Krise zu bewältigen.

Die zentrale Lektion ist, dass Angreifer nicht immer Dienstversagen suchen: sie weisen oft auf den schwächsten Link, der in der Regel eine Person in Eile und ein überzeugender Ruf ist. Die Kombination von Ausbildung, robusten technischen Kontrollen und Politiken, die die Auswirkungen des engagierten Zugangs begrenzen, ist heute die praktischste Verteidigung.. Das Institut für phishing-resistente Authentifizierung, die Aushärtung der Zugriffskontrolle und das Halten von klaren Prozeduren für Support-Anrufe kann den Unterschied zwischen einem gescheiterten Versuch und einem Eindringen machen, der schließlich empfindliche Informationen überträgt.

Wenn Sie neben der Analyse und Medienberichterstattung von Okta in die technische Frage gehen möchten, bieten Dokumente wie NISTs Authentifizierungsführer die Grundlage für die Gestaltung sicherer Zugangsarchitekturen: NIST SP 800-63B. Und wenn Ihr Unternehmen SSO verwendet, wird empfohlen, die bedingten Zugriffseinstellungen und das Sitzungsmanagement in der offiziellen Dokumentation Ihres Lieferanten zu überprüfen.

Das Phänomen ist nicht neu, aber seine Skala und Technik haben sich entwickelt: ferngesteuerte Phishing Kits und die Wiederverwendung von Daten aus früheren Lücken haben diese Kampagnen überzeugender und schwer zu erkennen. Der Schutz hoch zu halten und Verteidigung in der Tiefe anzuwenden bleibt das beste Rezept vor einem Gegner, der das menschliche Vertrauen nutzt, um digitale Türen zu öffnen.