Korzystasz z Microsoft Teams? Uważaj na rosyjskich hakerów

Nawet jeśli przed pandemią nie wiedzieliście, czym jest Teams, to teraz trudno nie znać tej aplikacji – chyba każdy spotyka się czasem za jej pośrednictwem w internetowym pokoju, o czym świadczyć może również imponująca liczba 280 milionów aktywnych użytkowników. Z tego powodu Teams to świetny cel dla hakerów: jak podaje Reuters, specjaliści z Microsoftu ostrzegają, że rosyjscy cyberprzestępcy przeprowadzili za pośrednictwem Teamsa ataki na ok. 40 światowych organizacji.

Mowa o organizacji hakerskiej Midnight Blizzard (znanej również pod nazwą APT29), która, jak twierdzą wywiady Stanów Zjednoczonych i Wielkiej Brytanii, ma powiązania z rosyjskim rządem. Już od 2018 r. przeprowadza ona cyberataki na europejskie i amerykańskie organizacje. Tym razem jednak wykorzystała do nich Teamsa.

Mechanizm działania hakerów był dość skomplikowany. Najpierw szukali konta na Microsoft 365, które należało do małej firmy i którego dane pojawiły się już kiedyś w wycieku. Następnie, przy pomocy przejętego konta, zakładali oni witrynę, która udawała wsparcie techniczne Microsoftu. Następnie hakerzy kontaktowali się z użytkownikiem danej organizacji i prosili go o włączenie uwierzytelniania wielopoziomowego, a później przy jego pomocy dostawali się na konto, przekonując użytkownika, by ten podał zaproponowany przez hakera kod do swoje aplikacji Microsoft Authenticator.

Konto należące do hakerów (źródło: Microsoft)

To niepokojąca metoda: oznacza bowiem, że hakerzy znaleźli sposoby, by obchodzić zazwyczaj dokładne uwierzytelnianie wielopoziomowe, dotąd postrzegane jako dobra metoda zabezpieczenia konta.

Nie wiadomo, jakie organizacje padły ofiarą ataków, mowa jednak o wielu rodzajach podmiotów: Microsoft twierdzi, że Midnight Blizzard próbowało dostać się na konta organizacji rządowych i NGO-sów, firm informatycznych i medialnych.

Microsoft podchodzi do sprawy poważnie, o czym świadczy fakt, że firma opublikowała opis metody działania hakerów i informację o zagrożeniu na swoim blogu. Korporacja prawdopodobnie będzie starała się ograniczyć możliwość ataku przez uwierzytelnianie wielopoziomowe.