הבוקר: Microsoft באזהרת סייבר דרמטית - האקרים מנצלים את התקלה העולמית ומנסים לגנוב פרטי התחברות של משתמשים

החדשות של PassportNews בערוץ ה-WhatsApp

חברת Microsoft מפרסמת היום (שבת, 14 בנובמבר) אזהרת סייבר בעקבות זיהוי קמפיין פישינג פעיל המנצל את התקלה שהתרחשה בשירותי Microsoft 365 ב-12 בנובמבר.

בהודעה רשמית שפרסמה חטיבת מודיעין האיומים של החברה, Microsoft Threat Intelligence, נמסר כי תוקפים מפיצים הודעות דואר אלקטרוני המתחזות להתרעות רשמיות על מצב השירות של Microsoft 365, תוך שימוש בפרטים אמיתיים של התקלה כדי להטעות משתמשים ולגרום להם ללחוץ על קישורים חשודים.

הודעות ההתחזות כוללות את מספר האירוע EX1550543, הקשור לשיבושים בשירות Exchange Online, במטרה ליצור רושם שמדובר בהודעה אמינה מטעם החברה.

“המיילים שלכם יימחקו בתוך 24 שעות”

על פי מיקרוסופט, הודעות הפישינג שזוהו החל מ-13 בנובמבר טוענות כי הודעות דואר אלקטרוני נתקעו בעקבות התקלה וכי הן יימחקו בתוך 24 שעות אם המשתמש לא יפעל לשחרורן.

באחת ההודעות שפרסמה החברה מופיעה הכותרת באנגלית:

“Action required: (4) messages held after the outage”

כלומר, נדרשת פעולה לשחרור ארבע הודעות שנתקעו בעקבות התקלה.

בגוף ההודעה נטען כי השיבושים בשירות Exchange Online מנעו את העברת ההודעות לתיבת הדואר של המשתמש.

בהמשך מופיע כפתור צהוב ובולט עם הכיתוב “RESTORE MESSAGES” (שחזור הודעות), המזמין את הנמען ללחוץ עליו כדי למנוע לכאורה את מחיקת ההודעות.

החברה מזהירה כי מדובר בניסיון לנצל את החשש מאובדן הודעות חשובות, דווקא לאחר תקלה אמיתית בשירותי החברה.

Microsoft חושפת את כתובות האינטרנט המעורבות במתקפה

במסגרת הבדיקה זיהתה חטיבת מודיעין האיומים של Microsoft שלושה דומיינים ששימשו לשליחת הודעות הפישינג:

• moments-notice[.]com
• planetmaison[.]com
• newbooker[.]com

בנוסף, החברה זיהתה כי ההודעות כוללות קישורים ייחודיים לנמענים באמצעות שירות המעקב אחר לחיצות SendGrid, המפנים לדומיין נוסף:

reallifeaccounting[.]com

אחד מנתיבי האינטרנט שזוהו במסגרת הקמפיין הוא:

/themelist0.html

לפי Microsoft שורות הנושא של הודעות ההתחזות כוללות את המילה “Outage” בצירוף קוד בן שש תווים.

גם שמות השולחים מותאמים לארגונים שאליהם נשלחות ההודעות, ומשלבים ביטויים כמו “Outage Notification” או “Service Health”, כדי לחזק את הרושם שמדובר בהתראות רשמיות.

החברה מציינת כי הודעות דומות נשלחו לארגונים ממגזרים שונים.

החשש המרכזי: גניבת פרטי התחברות

החברה מדגישה כי דפוס הפעילות תואם לניסיונות פישינג שמטרתם להשיג פרטי הזדהות של משתמשים.

החשש הוא שמשתמש שילחץ על הקישור יופנה לעמוד שנועד להטעות אותו ולגרום לו למסור מידע רגיש, לרבות פרטי התחברות לחשבונות ארגוניים.

עם זאת, החברה מבהירה כי בשלב זה לא אומתה בפועל גניבת פרטי התחברות או הפצת נוזקות במסגרת הקמפיין הספציפי.

כלומר, מדובר במתקפת פישינג פעילה שזוהתה על ידי Microsoft, אך החברה אינה מאשרת בשלב זה כי התוקפים הצליחו לגנוב סיסמאות או להשתלט על חשבונות.

Microsoft מפרסמת הנחיות אבטחה

בעקבות זיהוי הקמפיין ממליצה Microsoft לצוותי אבטחת מידע להשתמש בכלי Microsoft Defender for Office 365 Threat Explorer וביכולות החקירה של Microsoft Defender XDR כדי לאתר הודעות חשודות, לבדוק את הקישורים המופיעים בהן ולחקור לחיצות שביצעו משתמשים.

החברה מדגישה גם את חשיבות השימוש במנגנון Safe Links, המספק הגנה מפני כתובות אינטרנט זדוניות בזמן הלחיצה, כאשר הוא מוגדר כראוי.

בנוסף, מומלץ לארגונים לבדוק את מדיניות ההגנה שלהם, לחקור אינטראקציות חשודות של משתמשים ולאמת מידע על תקלות ושיבושים ישירות דרך מרכז הניהול הרשמי של Microsoft 365.

משתמשים המקבלים הודעות הדורשות מהם לשחזר מיילים בעקבות התקלה מתבקשים להימנע מלחיצה על קישורים לא מוכרים ולא למסור פרטי התחברות.

ברקע הדברים, ב-12 בנובמבר התרחשה תקלה בשירותי Microsoft 365, ובהם Exchange Online. האירוע תועד במערכות החברה תחת מספר EX1550543. על פי הודעת Microsoft Threat Intelligence שפורסמה היום (שבת, 14 בנובמבר), כבר ב-13 בנובמבר זוהו הודעות פישינג שניצלו את התקלה והתחזו להתראות רשמיות של החברה. ההודעות כללו פרטים אמיתיים על השיבוש כדי לשכנע משתמשים ללחוץ על קישורים חשודים. מיקרוסופט מזהירה כעת מפני הקמפיין הפעיל ומפרסמת פרטים טכניים והנחיות לזיהויו.

האזהרה החדשה ממחישה כיצד אירוע טכנולוגי אמיתי, שפגע בשירותים המשמשים ארגונים ומשתמשים רבים, הופך במהירות להזדמנות עבור עברייני סייבר להפיץ הודעות התחזות משכנעות ולנסות להשיג גישה לחשבונות ולמידע רגיש.