Vigyázat a hamis IT hívásokra a Co-op és M&S hackek után, figyelmeztet a brit kibervédelmi központ

Az Egyesült Királyság kiberbiztonsági helyzete aggasztó fordulatot vett az utóbbi hetekben, mivel a Nemzeti Kiberbiztonsági Központ (NCSC) figyelmeztetett, hogy a kiberbűnözők IT-ügyfélszolgálatnak álcázva magukat próbálnak behatolni brit kiskereskedőkhöz. Az utóbbi két hétben a Marks & Spencer, a Co-op és a Harrods vált a támadások célpontjává, és a támadó csoport a BBC-nek azt nyilatkozta, hogy a közeljövőben további támadások várhatóak. Az NCSC, amely a kormány kiberbiztonsági ügynöksége, most útmutatást adott ki a szervezetek számára, amelyben arra kérik őket, hogy vizsgálják felül IT-ügyfélszolgálatuk jelszó-visszaállítási folyamatait, hogy csökkentsék a hackerek áldozatává válás kockázatát.

A központ hangsúlyozta, hogy a legjobb gyakorlatok követésével minden vállalat és szervezet minimalizálhatja annak esélyét, hogy támadás áldozatává váljon. Különösen fontos, hogy a cégek újraértékeljék, hogyan azonosítják az IT-ügyfélszolgálaton dolgozó munkatársakat, mielőtt jelszót állítanak vissza, különösen a magasabb pozícióban lévő alkalmazottak esetében, akik érzékeny információkhoz férnek hozzá a vállalat hálózatában. Az NCSC az „szociális manipulációval” kapcsolatos sajtóspeculációk körüli aggodalmát is megemlítette, amely a hackerek által alkalmazott módszerek egyike lehet a fiókokhoz való hozzáférés megszerzésére. A bűnözők szociális manipulációs technikákat használnak, hogy az emberek megbízzanak bennük, amikor e-mailt, üzenetet küldenek vagy telefonálnak, mintha a cég IT-ügyfélszolgálatát képviselnék, és végül rávesszék a munkatársakat, hogy átadják a belépési jelszavaikat és biztonsági kódjaikat. Ez a módszer fordítva is működik – a segélyvonalat hívó embereknek álcázva magukat a munkatársak előtt, akik nem tudnak belépni a fiókjukba.

A kiberbiztonsági szakértők most további biztonsági rétegeket javasolnak az ilyen jellegű támadások kezelésére. Lisa Forte, a Red Goat kiberbiztonsági cég képviselője elmondta, hogy a kódnevek használata, amelyeket akkor használnak, amikor egy munkatárs felhívja őket az azonosítóik megváltoztatása érdekében, mint például a „KékPingvin”, egy olyan lehetőség, amelyet a kiber közösség vizsgál. Az alapvető probléma a belépési adatokkal mindig is az volt, hogy többféle módot kell biztosítani, hogy elkerülhető legyen a könnyű megkerülés. Az NCSC tanácsai azt jelzik, hogy a hackerek olyan taktikákat használnak, amelyek a Scattered Spider néven ismert angol nyelvű kiberbűnöző csoporthoz köthetők. Ez a név abból fakad, hogy a „pókok” elnevezést a pénzügyi motivációjú kiberbűnözők számára alkalmazzák, míg a „szétszórt” azt jelenti, hogy nem egy kohézív, szervezett bandáról van szó.

Az elmúlt két évben ezek a különböző hacker csoportok, akik többsége tinédzser vagy húszas éveik elején jár, összehangolt támadásokat terveztek a Discord és a Telegram platformokon, hogy megsértsenek több tucat céget, adatokat lopjanak vagy zavarjanak, hogy zsarolják áldozataikat. Az NCSC nem nevezi meg kifejezetten a Scattered Spider-t, mint a jelenlegi támadások felelősét, de elismeri, hogy ez a csoport a hasonló típusú hackekről ismert. További NCSC tanácsok között szerepel, hogy a kibervédelmi szakemberek figyeljenek a „kockázatos bejelentkezésekre”. Ez azt jelenti, hogy figyelniük kell arra, mikor és honnan jelentkeznek be az alkalmazottak – például késő este vagy szokatlan helyekről.

Bár a kiberbűnözők bárhol a világban lehetnek, az Egyesült Királyságban és az Egyesült Államokban fiatal angolul beszélő hackerek egyre ügyesebbé váltak a szociális manipuláció alkalmazásában. A Scattered Spider hackerek felelősek voltak olyan magas szintű támadásokért is, mint a Las Vegas-i kaszinók ellen irányuló összehangolt akciók, ahol az MGM Grand és a Caesar’s Palace kaszinók gyors egymásutánban váltak áldozattá. Az elmúlt évben hat letartóztatás történt a Scattered Spider csoporthoz kapcsolódó hackerek ügyében az Egyesült Államokban és az Egyesült Királyságban, amelyek között a MGM hackjével kapcsolatos FBI nyomozás keretein belül egy 17 éves fiút is letartóztattak Walsallban. A rendőrség nem árulta el, hogy a letartóztatott hacker ugyanaz-e, mint aki egy másik Londoni közlekedési hackkel összefüggésbe hozható.

Pénteken a támadásokért felelős hackerek nyilatkoztak a BBC-nek, és többször tagadták, hogy ők lennének a Scattered Spider hackerek, csupán DragonForce néven említették magukat, amely a kiberbűnözéshez kapcsolódó szoftverek és zsarolási szolgáltatások neve. A hackerek, akik folyékonyan beszéltek angolul, elmondták, hogy kompromittálták a Co-op rendszereit és nagy mennyiségű ügyfél- és munkavállalói adatot loptak el. Az M&S hackekről nem kívántak beszélni, de feltételezhető, hogy DragonForce zsarolóvírust használtak a cég IT szerverének zavarására. Az NCSC közölte, hogy „látásmóddal rendelkeznek”, de hozzátették, hogy „még nem tudják megmondani, hogy ezek a támadások összefüggésben állnak-e egymással”. Jelenleg a támadott cégekkel és a rendvédelmi szervekkel dolgoznak, hogy ezt pontosan megállapítsák. Az M&S esetében az online rendelések leálltak, az üzletek polcain élelmiszerek hiányoznak, és a támadás hatással volt az oktatási hálózatra is, a tanárok pedig szakértőkkel együtt dolgoznak a probléma megoldásán. Az M&S nyilatkozata szerint a „folytatódó rosszindulatú támadások” befolyásolják az IT rendszereiket, és a helyzet kezelése folyamatban van.

Forrás: https://www.bbc.com/news/articles/c4grn878712o