מה קרה, צעד אחרי צעד
- השינוי: כדי להקל על המשתמשים, איפוס הסיסמה העצמי בארגון הוגדר כך שקוד למייל מספיק כדי לאפס סיסמה.
- הרישום: עובדת במחלקת הכספים רשמה כמייל לאיפוס את כתובת ה-Gmail הפרטית שלה. ההגדרה איפשרה את זה.
- הקמפיין: התוקפים בחרו מטרה ברורה, מחלקת הכספים, ושלחו פישינג ממוקד לעובדים בה.
- הפריצה: הם פרצו דווקא לחשבון ה-Gmail הפרטי של העובדת, שלא היה מוגן כמו החשבון הארגוני.
- האיפוס: מה-Gmail הם ביקשו איפוס סיסמה לחשבון Microsoft 365 שלה, קיבלו את הקוד, וקבעו סיסמה חדשה.
- השהייה: בחשבון הארגוני, בלי MFA חזק שיעצור אותם, הם ראו את התכתובת של מחלקת הכספים במשך חודשים.
- הגניבה: מתוך ההתכתבויות, התוקפים ידעו מי הספקים ומתי משלמים להם. הם זייפו עדכון של פרטי הבנק של אחד הספקים, והתשלומים לספק עברו לחשבון שלהם. הארגון גילה את זה רק אחרי כמה חודשים.
למה זו טעות אנוש, לא מתקפה מתוחכמת
שום רכיב כאן לא נפרץ בדרך יוצאת דופן. היו שלוש החלטות קטנות, וכל אחת מהן נראתה סבירה בזמנה:
- אדמין הפעיל איפוס דרך מייל כדי להוריד עומס מהתמיכה.
- ההגדרה דרשה רק אמצעי אימות אחד לאיפוס, אז קוד למייל הספיק.
- העובדת רשמה את המייל שהכי נוח לה.
החיבור של השלוש הפך את האבטחה של החשבון הארגוני לשווה בדיוק לאבטחה של חשבון Gmail פרטי, שהארגון לא מנהל, לא רואה ולא יכול לאכוף עליו שום מדיניות.
חשוב לדעת: Microsoft מחייבת אדמינים להשתמש בשני אמצעים לאיפוס סיסמה, ואי אפשר לשנות את זה. משתמשים רגילים מקבלים את המדיניות שהארגון הגדיר. ובמחלקת הכספים, החשבונות ה"רגילים" הם בדיוק אלה שהתוקפים מחפשים.
למה סקר שנתי לא היה תופס את זה
ההגדרה שונתה בין שני סקרים. הרישום של ה-Gmail קרה עוד יותר מאוחר, כשהעובדת התחברה. סקר אבטחה מצלם את הטננט ביום אחד. הסיכון כאן נוצר בהדרגה, מהשילוב של הגדרה ושל מה שמשתמשים עשו איתה, ונשאר פתוח חודשים.
מה לבדוק אצלכם עכשיו
- האם קוד למייל מותר לאיפוס סיסמה? ב-Entra admin center, תחת Authentication methods, בדקו את Email OTP. לחברי הארגון עדיף לכבות אותו לאיפוס סיסמה, ולהעדיף את Microsoft Authenticator או passkeys.
- כמה אמצעים נדרשים לאיפוס? אם התשובה היא אחד, שקלו לדרוש שניים, לפחות לקבוצות רגישות כמו כספים ושכר.
- אילו כתובות רשומות לאיפוס? עברו על פרטי האימות של המשתמשים וחפשו כתובות בדומיינים פרטיים כמו gmail.com.
- מי יכול לרשום אמצעי אימות, ומאיפה? מדיניות Conditional Access על הפעולה Register security information יכולה לחייב שהרישום יקרה רק ממכשיר מנוהל או ממיקום מוכר.
- האם החשבונות בכספים מוגנים ב-MFA עמיד לפישינג? מחלקת הכספים היא מטרה מוגדרת. היא צריכה את ההגנה החזקה ביותר שיש לכם.
- האם יש נוהל אימות לשינוי פרטי בנק? כל עדכון של פרטי בנק של ספק מאומת בטלפון למספר שכבר מוכר לכם, לא למספר שמופיע במייל. זה הצעד שהיה עוצר את הגניבה גם אחרי שהחשבון נפרץ.
איך Griffin31 עוזר
Griffin31 בודק את הגדרות האבטחה בטננט Microsoft 365 שלכם באופן רציף, כולל מדיניות איפוס הסיסמה ואמצעי האימות, ומראה מה לתקן קודם, עם ההוכחה מאחורי התוצאות. כשהגדרה שנבדקת משתנה, Griffin31 מסמן את זה אחרי הסריקה הבאה, ולא מגלים את זה חודשים אחר כך.
רוצים לדעת מה מוגדר אצלכם באיפוס הסיסמה? Griffin31 בודק את הגדרות האבטחה ב-Microsoft 365 באופן רציף ומראה מה לתקן קודם.