Phishingové e-maily už většina uživatelů dokáže alespoň základně rozpoznat. Podezřelá adresa odesílatele, podivný odkaz nebo nečekaná příloha často vzbudí pozornost. Kybernetičtí útočníci proto hledají nové cesty, jak získat důvěru svých obětí. A stále častěji využívají nástroje, které zaměstnanci považují za běžnou součást své každodenní práce, například Microsoft Teams.
Právě důvěra v zavedené komunikační platformy se stává novým cílem sociálního inženýrství.
Když útok nevypadá jako útok
Představte si, že obdržíte zprávu do Microsoft Teams. Nepřichází z neznámé adresy, ale z legitimní služby Microsoftu. Název týmu upozorňuje na problém s fakturací, neuhrazenou platbu nebo údajné pozastavení služby. Součástí zprávy je telefonní číslo, na které máte zavolat a situaci rychle vyřešit.
Na první pohled nejde o nic podezřelého. Pozvánka byla skutečně vygenerována službou Microsoft Teams, prošla všemi standardními kontrolami a neobsahuje škodlivou přílohu ani odkaz. Právě v tom spočívá nebezpečí tohoto typu útoku.
Útočníci totiž nevyužívají technickou zranitelnost platformy. Využívají její legitimní funkce.
Jak útok probíhá?
Microsoft Teams umožňuje organizacím spolupracovat s externími uživateli. A právě tato funkce se stává nástrojem útočníků.
Ti vytvoří tým s manipulativním názvem a pozvou do něj vybraného uživatele. Oběť následně obdrží standardní notifikaci z Microsoft Teams, která působí zcela důvěryhodně. Cílem není přimět uživatele ke kliknutí na škodlivý odkaz, ale vyvolat reakci na obsah samotného sdělení.
Typickým scénářem bývá výzva k zavolání na uvedené telefonní číslo. Jakmile uživatel kontaktuje údajnou technickou podporu nebo zástupce poskytovatele služby, začíná druhá fáze útoku.
Útočník se snaží získat přihlašovací údaje, jednorázové ověřovací kódy, citlivé firemní informace nebo přesvědčit oběť k instalaci nástroje pro vzdálený přístup. Celá komunikace přitom probíhá mimo Teams, což dále komplikuje její odhalení.
Proč jsou tyto útoky tak úspěšné?
Z pohledu bezpečnostních nástrojů se nejedná o klasický phishing ani malware. Chybí škodlivý soubor, podezřelá URL adresa i známé technické indikátory kompromitace.
Útočníci se zaměřují na nejslabší článek bezpečnostního řetězce, kterým je lidský faktor.
Zaměstnanci totiž často vnímají Microsoft Teams, Slack nebo jiné kolaborační platformy jako interní a důvěryhodné prostředí. Zprávy přijaté prostřednictvím těchto nástrojů proto nevyhodnocují se stejnou opatrností jako e-maily.
Komunikace ale i tady bývá formulována tak, aby vyvolala pocit naléhavosti. Hrozba zablokování účtu, problém s platbou nebo údajná bezpečnostní událost vytváří časový tlak, který výrazně snižuje schopnost kritického vyhodnocení situace.
Na co si dát pozor?
Tento trend ukazuje, že samotná technická ochrana již nestačí. Moderní útoky často neútočí na technologie, ale na uživatele.
Organizace by proto měly:
- pravidelně školit zaměstnance v oblasti sociálního inženýrství,
- nastavit jasná pravidla pro komunikaci s externími subjekty,
- kontrolovat externí komunikaci,
- upozorňovat uživatele na nové typy hrozeb,
- zavést proces ověřování neobvyklých požadavků prostřednictvím jiného komunikačního kanálu.
Důležité je také zdůrazňovat jednoduché pravidlo: žádná legitimní organizace nebude vyžadovat okamžité sdělení hesla, MFA kódu nebo instalaci vzdáleného přístupu pouze na základě neočekávaného telefonátu.
Závěr
Zneužívání Microsoft Teams je ukázkou trendu v kybernetické bezpečnosti. Útočníci stále častěji opouštějí tradiční phishingové kampaně a přesouvají se tam, kde uživatelé očekávají legitimní komunikaci.
Najít rozdíly mezi běžnou komunikací a kybernetickým útokem je čí další těžší. Bezpečnost proto dnes nezávisí pouze na kvalitě technologií, ale i na schopnosti zaměstnanců kriticky vyhodnocovat kontext každé přijaté zprávy, a to i v prostředí, které považují za bezpečné.
Máte-li zájem o více informací z oblasti kybernetické bezpečnosti, ozvěte se nám zde.
