Wprowadzenie do problemu / definicja
Cyberprzestępcy coraz częściej wykorzystują rozpoznawalne marki technologiczne jako przynętę do ataków phishingowych. Najnowsza kampania bazuje na fałszywych wydarzeniach rzekomo organizowanych przez OpenAI, SpaceX i Anthropic, aby skłonić ofiary do logowania się służbowymi kontami Microsoft lub Google.
To nie jest klasyczny phishing ograniczony do kradzieży loginu i hasła. Atak łączy socjotechnikę z przechwytywaniem tokenów uwierzytelniających, sesji oraz danych logowania, co może umożliwiać obejście mechanizmów MFA i uzyskanie dostępu do firmowych usług opartych o SSO.
W skrócie
- Przestępcy podszywają się pod ekskluzywne wydarzenia związane z AI i branżą kosmiczną.
- Kampania wykorzystuje dwa modele ataku: device code phishing przeciwko kontom Microsoft oraz adversary-in-the-middle przeciwko kontom Google.
- Celem jest kradzież poświadczeń, tokenów i ciasteczek sesyjnych.
- Skutkiem może być dostęp do poczty, dokumentów, komunikatorów i innych usług firmowych.
- Atak został zaprojektowany tak, aby zwiększyć skuteczność mimo obecności wieloskładnikowego uwierzytelniania.
Kontekst / historia
Kampania wpisuje się w rosnący trend nadużywania zaufanych marek, legalnych usług i wiarygodnie wyglądających procesów rejestracji. Atakujący wiedzą, że użytkownicy chętniej klikają w zaproszenia związane z modnymi tematami, takimi jak sztuczna inteligencja, zamknięte webinary czy specjalne oferty dla profesjonalistów.
W tym przypadku wabik był szczególnie skuteczny, ponieważ obiecywał udział w atrakcyjnych wydarzeniach i czasowy dostęp do płatnych usług AI. Fałszywe strony rejestracyjne przypominały autentyczne serwisy eventowe, a cały proces wyglądał na profesjonalnie przygotowany. Dodatkową wiarygodność budowało użycie legalnych usług pośrednich i przekierowań.
Analiza techniczna
Najciekawszym elementem operacji jest połączenie różnych metod przejęcia tożsamości zależnie od tego, jakiego dostawcy logowania używa ofiara. Dzięki temu atakujący mogą maksymalizować skuteczność kampanii i dopasować scenariusz do wybranej platformy.
W przypadku kont Microsoft przestępcy nadużywają mechanizmu OAuth 2.0 device authorization grant, znanego również jako device code flow. Ofiara otrzymuje polecenie wprowadzenia kodu urządzenia na prawdziwej stronie logowania Microsoft. Ponieważ samo logowanie odbywa się w legalnym interfejsie dostawcy tożsamości, proces może wydawać się bezpieczny. Po zatwierdzeniu żądania napastnik uzyskuje tokeny powiązane z kontem użytkownika.
To podejście jest szczególnie niebezpieczne, ponieważ nie zawsze wymaga bezpośredniego wyłudzenia hasła. Jeśli atakujący zdobędzie ważne tokeny, może uzyskać dostęp do środowiska Microsoft 365, zasobów opartych o Entra ID oraz aplikacji zintegrowanych przez federację i SSO.
Kampania może zawierać również dodatkowy etap po udanym uwierzytelnieniu. Ofiara bywa przekierowywana do kolejnych ekranów, na których atakujący próbują przechwycić hasło i aktywną sesję. Taki model daje przestępcom kilka równoległych sposobów utrzymania dostępu i zmniejsza ryzyko, że pojedyncza blokada zatrzyma cały atak.
W przypadku kont Google wykorzystywany jest scenariusz adversary-in-the-middle. Użytkownik widzi pozornie poprawny formularz logowania, jednak komunikacja przechodzi przez infrastrukturę kontrolowaną przez napastnika. Pozwala to przechwycić login, hasło, odpowiedzi MFA, a nawet uwierzytelnioną sesję. Z perspektywy obrony jest to szczególnie groźne, ponieważ tradycyjne metody MFA oparte na kodach jednorazowych lub powiadomieniach push nie zawsze chronią przed kradzieżą sesji.
Atakujący zadbali także o utrudnienie detekcji. Strony wabików były poprzedzane mechanizmami przypominającymi kontrolę antybotową, co ograniczało skuteczność automatycznych analizatorów. Do dystrybucji wykorzystywano również skracacze linków oraz renomowane usługi pośredniczące, aby podnieść wiarygodność i zmniejszyć szansę wykrycia przez filtry reputacyjne.
Konsekwencje / ryzyko
Skutki skutecznego ataku mogą być bardzo poważne dla organizacji korzystających z Microsoft 365, Google Workspace oraz aplikacji firmowych zintegrowanych przez SSO. Przejęcie tokenów lub sesji może oznaczać dostęp do skrzynek pocztowych, plików, kalendarzy, komunikatorów, systemów CRM i innych krytycznych usług biznesowych.
Największe zagrożenie wynika z faktu, że kampania celuje nie tylko w hasła, lecz także w warstwę tożsamości i aktywnej sesji. Jeśli napastnik przejmie ważną sesję lub uzyska tokeny w legalnym przepływie autoryzacji urządzenia, standardowe MFA może nie wystarczyć do zatrzymania incydentu. W efekcie możliwy staje się dalszy ruch boczny, eskalacja dostępu, kradzież danych i wykorzystanie przejętych kont do kolejnych oszustw.
Dodatkowym czynnikiem ryzyka jest bardzo wysoka wiarygodność przynęty. Tematy związane ze sztuczną inteligencją, ekskluzywnymi wydarzeniami oraz darmowym dostępem do popularnych usług są atrakcyjne zarówno dla użytkowników biznesowych, jak i technicznych. To zwiększa szansę, że ofiara pominie podstawowe sygnały ostrzegawcze.
Rekomendacje
Organizacje powinny traktować podobne kampanie jako zagrożenie tożsamościowe, a nie wyłącznie klasyczny phishing e-mailowy. Ochrona musi obejmować użytkowników, procesy uwierzytelniania i mechanizmy monitorowania sesji.
- Ograniczyć lub wyłączyć device code flow tam, gdzie nie jest niezbędny biznesowo.
- Wdrożyć phishing-resistant MFA, w szczególności klucze bezpieczeństwa FIDO2.
- Monitorować nietypowe żądania autoryzacji urządzeń oraz anomalie w logowaniach.
- Analizować użycie tokenów, sesji i nowe zgody aplikacyjne w systemach tożsamości.
- Objąć dodatkową kontrolą przekierowania i skrócone linki pochodzące z zaufanych usług.
- Szkolić pracowników, aby nie wpisywali kodów urządzeń otrzymanych z nieznanych stron i nie logowali się służbowym kontem do podejrzanych „wydarzeń”.
Z punktu widzenia zespołów SOC i IAM warto wdrożyć reguły wykrywające:
- nietypowe logowania z wykorzystaniem device authorization,
- nagłe zmiany kontekstu sesji, geolokalizacji lub środowiska przeglądarki,
- kampanie wykorzystujące motywy AI, webinarów i zamkniętych wydarzeń,
- krótkotrwałe domeny służące jako strony rejestracyjne.
Warto również przeglądać polityki dostępu warunkowego i tam, gdzie to możliwe, silniej wiązać sesje z urządzeniem oraz kontekstem logowania.
Podsumowanie
Opisana kampania pokazuje, że nowoczesny phishing coraz częściej koncentruje się na przejmowaniu tożsamości, tokenów i aktywnych sesji, a nie wyłącznie na kradzieży haseł. Połączenie device code phishingu dla Microsoft oraz ataku AiTM dla Google znacząco zwiększa skuteczność działań przestępców.
Dla firm oznacza to konieczność wyjścia poza tradycyjne myślenie o ochronie kont. Samo MFA nie gwarantuje bezpieczeństwa, jeśli przeciwnik przechwytuje sesję lub wykorzystuje legalne przepływy autoryzacyjne. Kluczowe stają się więc odporne mechanizmy uwierzytelniania, monitoring tożsamości i stała edukacja użytkowników.