Μια εκτεταμένη εκστρατεία phishing, η οποία αξιοποιεί πλαστές ειδοποιήσεις απομαγνητοφώνησης φωνητικών μηνυμάτων, εντόπισαν οι ερευνητές της Check Point. Στόχος των επιτιθέμενων είναι η υποκλοπή εταιρικών διαπιστευτηρίων, μέσα από μηνύματα που θυμίζουν συνηθισμένη εσωτερική επικοινωνία. Αντί να χρησιμοποιούν ένα εντυπωσιακό ή απειλητικό πρόσχημα, επιχειρούν να εκμεταλλευτούν την εξοικείωση των εργαζομένων με τις αυτοματοποιημένες υπηρεσίες, μετατρέποντας μια καθημερινή ειδοποίηση σε πιθανή αφετηρία παραβίασης λογαριασμών.
Στο διάστημα από τις 17 έως τις 31 Αυγούστου, η Check Point κατέγραψε περισσότερα από 58.000 σχετικά email, με στόχους πάνω από 7.800 οργανισμούς. Η εκστρατεία χρησιμοποίησε περισσότερες από 38.400 πλαστογραφημένες διευθύνσεις αποστολέων, οι οποίες εμφάνιζαν περισσότερα από 9.300 διαφορετικά domains. Τα μεγέθη αποτυπώνουν την κλίμακα της διανομής και της στόχευσης, χωρίς να συνεπάγονται αντίστοιχο αριθμό επιτυχημένων παραβιάσεων. Η πλαστογράφηση της ταυτότητας αποστολέα επίσης δεν σημαίνει απαραίτητα ότι έχει παραβιαστεί ο οργανισμός που εμφανίζεται να στέλνει το μήνυμα.
Η προσεκτικά επιλεγμένη εμφάνιση αποτελεί βασικό στοιχείο της επίθεσης. Οι γραμμές θέματος αρχίζουν με τη φράση «Automated transcript» και περιλαμβάνουν έναν μερικώς καλυμμένο αριθμό τηλεφώνου, μαζί με έναν τυχαίο κωδικό παρακολούθησης. Το περιορισμένο περιεχόμενο και η τυποποιημένη μορφοποίηση παραπέμπουν σε ειδοποίηση που παράγεται αυτόματα. Παράλληλα, ο εμφανιζόμενος αποστολέας χρησιμοποιεί το domain του παραλήπτη, ενισχύοντας την εντύπωση ότι πρόκειται για μήνυμα από εσωτερικό εταιρικό σύστημα.
Το επόμενο βήμα βρίσκεται στο συνημμένο. Η ονομασία του παραπέμπει σε καταγραφή κλήσης, ακόμη και με ένδειξη διάρκειας, ώστε να ενθαρρύνει το άνοιγμα. Ωστόσο, το αρχείο είναι SVG, δηλαδή μορφή διανυσματικών γραφικών, και περιέχει ενσωματωμένο script. Στη συγκεκριμένη επίθεση, ο κώδικας ανακατευθύνει τον χρήστη σε ιστοσελίδα υποκλοπής διαπιστευτηρίων όταν το αρχείο ανοίξει σε περιβάλλον που επιτρέπει την εκτέλεσή του. Η κατάληξη μιας εικόνας επομένως δεν αποτελεί από μόνη της ένδειξη ασφάλειας.
Η διεύθυνση email του παραλήπτη είναι ήδη κωδικοποιημένη στο URL προορισμού. Έτσι, η πλαστή φόρμα σύνδεσης μπορεί να εμφανίζεται με συμπληρωμένο το πεδίο του λογαριασμού, ζητώντας ουσιαστικά από τον χρήστη να συνεχίσει τη διαδικασία. Η εξατομίκευση περιορίζει τις απαιτούμενες ενέργειες και δημιουργεί την εντύπωση ότι η υπηρεσία αναγνωρίζει τον εργαζόμενο. Στην πραγματικότητα, η προσυμπληρωμένη διεύθυνση λειτουργεί ως στοιχείο παραπλάνησης και δεν πιστοποιεί τη νομιμότητα της σελίδας.
Αυτή η διαδρομή δυσκολεύει την αξιολόγηση του μηνύματος με μια γρήγορη ματιά. Ο κακόβουλος προορισμός δεν παρουσιάζεται ως ένας συνηθισμένος ορατός σύνδεσμος στο σώμα του email, αλλά αποκαλύπτεται μέσα από τη συμπεριφορά του συνημμένου. Ο συνδυασμός πλαστογραφημένου αποστολέα, οικείου θέματος και ενεργού περιεχομένου αναδεικνύει τους περιορισμούς μιας άμυνας που στηρίζεται αποκλειστικά στη φήμη διευθύνσεων, σε γνωστά κακόβουλα URL ή στον αποκλεισμό εκτελέσιμων αρχείων.
Σύμφωνα με την Check Point, το Email Security αξιοποιεί το ThreatCloud AI και περισσότερες από 60 μηχανές τεχνητής νοημοσύνης για την πολυεπίπεδη εξέταση τέτοιων απειλών. Η ανάλυση συνδυάζει τη συμπεριφορά του αποστολέα, το πλαίσιο του μηνύματος, τα χαρακτηριστικά των συνημμένων, τις ανακατευθύνσεις και τις ενδείξεις υποκλοπής διαπιστευτηρίων στον τελικό προορισμό. Η προσέγγιση αποσκοπεί στον εντοπισμό της συνολικής αλυσίδας της επίθεσης, ακόμη και όταν τα επιμέρους στοιχεία της μοιάζουν συνηθισμένα.
Στη συγκεκριμένη περίπτωση, η συσχέτιση των ενδείξεων μπορεί να οδηγήσει σε αποτροπή παράδοσης του μηνύματος, καραντίνα του κακόβουλου συνημμένου ή αποκλεισμό πρόσβασης στη σελίδα phishing, ανάλογα με τις διαθέσιμες λειτουργίες προστασίας και την εγκατεστημένη διαμόρφωση. Η αξιολόγηση του περιεχομένου πριν φτάσει στα εισερχόμενα έχει ιδιαίτερη σημασία, καθώς μειώνει την εξάρτηση της άμυνας από τη δυνατότητα κάθε εργαζομένου να αναγνωρίζει σωστά μια προσεκτικά κατασκευασμένη απάτη.
Η εκστρατεία θέτει παράλληλα ένα ευρύτερο ζήτημα για την αυτοματοποίηση της εταιρικής επικοινωνίας. Βοηθοί τεχνητής νοημοσύνης αναλαμβάνουν ταξινόμηση email, σύνταξη περιλήψεων και επεξεργασία συνημμένων. Εφόσον έχουν δικαίωμα να ανοίγουν αρχεία, να ακολουθούν συνδέσμους ή να εκκινούν επόμενες ενέργειες, το κακόβουλο εισερχόμενο περιεχόμενο μπορεί να επηρεάσει και αυτές τις διαδικασίες. Ο δυνητικός αυτός κίνδυνος απαιτεί σαφή δικαιώματα πρόσβασης και έλεγχο των ενεργειών που εκτελούνται χωρίς άμεση ανθρώπινη παρέμβαση.
Για τις επιχειρήσεις, η προστασία ξεκινά από σαφείς κανόνες επαλήθευσης. Η εμφάνιση του εταιρικού domain και μιας γνώριμης ειδοποίησης δεν αρκεί για να θεωρηθεί ένα μήνυμα έμπιστο. Τα συνημμένα SVG χρειάζονται αξιολόγηση ως δυνητικά ενεργό περιεχόμενο, ενώ οι εργαζόμενοι πρέπει να έχουν εύκολο τρόπο αναφοράς ύποπτων μηνυμάτων. Η εκπαίδευση αποκτά μεγαλύτερη αξία όταν περιλαμβάνει παραδείγματα που μοιάζουν με πραγματικές καθημερινές εργασίες και όχι μόνο προφανείς απόπειρες εξαπάτησης.
Ιδιαίτερη προσοχή χρειάζεται όταν η ανάγνωση μιας υποτιθέμενης απομαγνητοφώνησης καταλήγει σε απαίτηση εισαγωγής κωδικού. Η πρόσβαση στη γνωστή εταιρική υπηρεσία από την καθιερωμένη διαδρομή επιτρέπει ανεξάρτητο έλεγχο της ειδοποίησης. Η αναφορά προς την ομάδα ασφαλείας βοηθά να εντοπιστούν παρόμοια μηνύματα σε άλλους λογαριασμούς και να εφαρμοστούν κοινά μέτρα αποκλεισμού, πριν η ίδια τεχνική παραπλάνησης βρει περισσότερους αποδέκτες μέσα στον οργανισμό.
Αντίστοιχα, οι αυτοματοποιημένοι βοηθοί χρειάζονται συγκεκριμένα όρια πρόσβασης σε τύπους αρχείων, ιστοσελίδες και εταιρικούς πόρους. Η ανθρώπινη επιβεβαίωση για ευαίσθητες ενέργειες, η καταγραφή δραστηριότητας και ο έλεγχος των δικαιωμάτων τους υποστηρίζουν την ασφαλέστερη λειτουργία. Η υπόθεση υπενθυμίζει ότι η αξιοπιστία μιας διαδικασίας δεν προκύπτει από την οικεία εμφάνισή της. Απαιτεί συνδυασμό τεχνικής ανάλυσης, ενημερωμένων χρηστών και ελεγχόμενης αυτοματοποίησης, ώστε μια απλή ειδοποίηση να μην εξελιχθεί σε απώλεια εταιρικής πρόσβασης.
