Почему атаки с использованием подставных учётных данных могут стать следующей головной болью вашей компании

Microsoft Office 365 остаётся привлекательной целью для киберпреступников, поскольку продолжает использоваться бизнесом по всему миру. Растущее совершенствование инструментов на базе искусственного интеллекта вдохновляет злоумышленников повторить историю атак с использованием подставных учётных данных. В 2019 году Microsoft сообщила, что более 1,5 миллиона вредоносных и спам-сообщений были отправлены с тысяч скомпрометированных учётных записей Office 365 их клиентов.

В декабре 2022 года пользователи Norton были приведены в состояние повышенной готовности из-за атаки с использованием подставных учётных данных. Приложение безопасности было скомпрометировано, что привело к блокировке примерно 925 000 учётных записей. Подозрительный всплеск попыток входа пользователей Norton Password Manager спровоцировал блокировку. После расследования стало известно, что киберпреступникам удалось успешно взломать «тысячи учётных записей», поставив под угрозу личную информацию множества пользователей. Итак, к чему нам нужно подготовиться в 2023 году, чтобы защитить наши учётные записи от этого вида киберпреступности?

Механика атак с использованием подставных учётных данных

Атаки с использованием подставных учётных данных составляют 34% всех попыток входа, при этом злоумышленники стремятся захватить учётные записи пользователей. Но как работает этот процесс и какие меры могут противостоять таким кампаниям?

Подставные учётные данные — это распространённый метод кибератаки, при котором злоумышленники используют автоматизированное программное обеспечение для быстрой проверки украденных учётных данных входа в различные онлайн-аккаунты. Процесс включает:

1. Покупку или загрузку списка имён пользователей и паролей из даркнета, обычно доступного после утечки данных.

2. Настройку автоматизированных ботов для попыток входа в множество учётных записей пользователей, часто избегая обнаружения путём маскировки своих IP-адресов.

3. Получение доступа к учётным записям, когда боты находят совпадение, позволяет злоумышленникам красть личную информацию, такую как номера кредитных карт или номера социального страхования.

4. Мониторинг ботов при попытках успешных комбинаций паролей в других учётных записях. Поскольку 65% людей используют один и тот же пароль для нескольких учётных записей, высока вероятность взлома нескольких учётных записей с помощью одной пары учётных данных.

Подставные учётные данные против атак методом грубой силы

Атаки с использованием подставных учётных данных и атаки методом грубой силы — это два различных метода кибератак. При атаках с использованием подставных учётных данных злоумышленники используют утеченные или украденные данные паролей из реальных учётных записей для попыток входа. Напротив, атаки методом грубой силы включают угадывание часто используемых паролей и словарей распространённых паролей.

Злоумышленники, использующие подставные учётные данные, знают, что у них есть подлинные учётные данные, и им просто нужно найти соответствующую учётную запись. В отличие от них, те, кто пытается провести атаку методом грубой силы, не имеют контекста о правильных учётных данных своих целей, что делает эти атаки зависимыми от слепого везения или легко угадываемых паролей. Несмотря на это, будучи игрой чисел, использование подставных учётных данных может быть очень прибыльным при автоматизации.

Влияние атак с использованием подставных учётных данных

Жертвы атак с использованием подставных учётных данных сталкиваются с риском кражи конфиденциальных данных, ущерба финансовой репутации и потенциальной кражи личности. Последствия таких атак включают:

1. Скомпрометированные учётные записи: Злоумышленники могут установить шпионское ПО, украсть или уничтожить данные или выдать себя за владельца учётной записи для отправки спама или запуска фишинговых атак на другие цели.

2. Утечки данных: Атакующие часто стремятся взломать финансовые учреждения или высокоценные правительственные цели, продавая украденные данные на нелегальных онлайн-рынках мошенникам с личными данными и группам с политической мотивацией.

3. Блокировка учётных записей: Чрезмерное количество неудачных попыток входа может активировать систему безопасности вашей учётной записи, заблокировав вам доступ, что потенциально нарушит работу вашего бизнеса или ограничит доступ к важным учётным записям, таким как электронная почта или банковские счета.

4. Вымогательство: Группы хакеров, спонсируемые государствами, могут захватить контроль над объектом критической инфраструктуры или крупной корпорацией, чтобы потребовать выкуп.

5. Повышенные риски кибербезопасности: Украденные учётные данные пользователей могут быть использованы для будущих атак, подвергая жертв и любые тесно связанные стороны большему риску после первоначального взлома.

6. Негативное влияние на репутацию бизнеса: Взлом компании может значительно подорвать доверие потребителей. Когда тысячи или миллионы пользователей воспринимают угрозу своим личным данным, это может стоить компании на фондовом рынке. Средняя стоимость утечки данных в 2022 году составила 4,35 миллиона долларов.

Недавние примеры атак с использованием подставных учётных данных

• Крупная компания по производству одежды для активного отдыха, июль 2022 года: Киберпреступники использовали подставные учётные данные для атаки на эту компанию, производящую одежду для активного отдыха, скомпрометировав почти 200 000 учётных записей клиентов и раскрыв такие детали, как имена, номера телефонов, пол, история покупок, адреса выставления счетов и баллы лояльности.

• Крупная компания по обработке платежей, декабрь 2022 года: Эта атака затронула почти 35 000 учётных записей пользователей, раскрыв имена, номера социального страхования и налоговые идентификационные номера, хотя несанкционированные транзакции не сообщались.

• Известная сеть фастфуда, январь 2023 года:** Сеть фастфуда подтвердила взлом, который затронул более 71 000 учётных записей клиентов. Злоумышленники проводили атаку с использованием подставных учётных данных в течение нескольких месяцев, получив доступ к балансам вознаграждений клиентов, потенциальным физическим адресам и последним четырём цифрам кредитных карт клиентов.

Контрмеры против атак с использованием подставных учётных данных

Финансовый сектор目睹л значительный рост атак с использованием подставных учётных данных, с ростом на 45% год к году, сообщённым в 2022 году. По мере расширения бизнеса и привлечения большей пользовательской базы они становятся всё более привлекательными целями для киберпреступников. Чтобы противостоять этой растущей угрозе, команды безопасности могут внедрить несколько контрмер.

Внедрение многофакторной аутентификации (MFA) может обеспечить дополнительный уровень безопасности, делая более сложным для злоумышленников получение несанкционированного доступа к учётным записям. Несмотря на недавние взломы, пережитые некоторыми популярными менеджерами паролей, эти инструменты остаются краеугольным камнем современной цифровой безопасности и должны использоваться.

Продвижение лучших практик использования паролей имеет решающее значение. Команды безопасности должны proactively действовать, устраняя повторное использование паролей, отговаривая от обмена кодами и советуя не записывать информацию для входа на бумаге. Эти меры могут значительно снизить вероятность внутренних атак.

Злоумышленники могут создать армию автоматизированных ботов

Исследователи безопасности из Microsoft раскрыли крупномасштабную фишинговую кампанию, которая использует техники проксирования HTTPS для захвата учётных записей Office 365. Атака способна обходить многофакторную аутентификацию (MFA) и с сентября 2021 года затронула более 10 000 организаций.

Постоянный мониторинг попыток входа может помочь выявить и предотвратить мошенническую деятельность. Если обнаруживается внезапный всплеск попыток входа или необычные паттерны, команда безопасности может заблокировать связанный IP-адрес и предупредить законных пользователей о попытке взлома.

Ещё одним эффективным защитным механизмом является ограничение скорости (rate-limiting). Эта стратегия предотвращает то, чтобы злонамеренные боты совершали чрезмерное количество попыток входа быстро, эффективно останавливая прогресс автоматизированных атак.

Мониторинг даркнета может держать команды безопасности на шаг впереди emerging киберугроз. Следя за коллекциями имён пользователей и паролей, доступными в даркнете, уязвимости можно усилить до того, как произойдёт атака.

Команды безопасности несут ответственность за защиту и обучение пользователей. Злоумышленники могут создать армию автоматизированных ботов, которые ежедневно выполняют тысячи или миллионы мошеннических запросов на вход. Чтобы противостоять этой растущей угрозе, пользователям необходимо поощрять принятие хороших практик использования паролей и использование надёжных менеджеров паролей. Однако основная ответственность за защиту данных лежит на командах безопасности веб-сайтов и поставщиках приложений. Многогранный подход сочетает в себе надёжный контроль доступа, мониторинг угроз и защитные механизмы ограничения скорости, чтобы нарушить цикл атаки и отвести злоумышленников. В конечном итоге, наиболее эффективная защита строится на образовании и формировании культуры безопасности.

Microsoft рекомендует организациям настроить политики для мониторинга правил входящей почты, которые могут иметь подозрительные цели, или для запуска оповещений о необычном количестве событий доступа к почте с незнакомых IP-адресов или устройств.