Business Application Compromise & the Evolving Art of Social Engineering

Η κοινωνική μηχανική δεν είναι σχεδόν μια νέα έννοια, ακόμη και στον κόσμο της κυβερνοασφάλειας. Οι απάτες ηλεκτρονικού ψαρέματος από μόνες τους υπάρχουν εδώ και σχεδόν 30 χρόνια, με τους εισβολείς να βρίσκουν συνεχώς νέους τρόπους για να δελεάσουν τα θύματα να κάνουν κλικ σε έναν σύνδεσμο, να κατεβάσουν ένα αρχείο ή να παρέχουν ευαίσθητες πληροφορίες.

Οι επιθέσεις συμβιβασμού του επαγγελματικού ηλεκτρονικού ταχυδρομείου (BEC) επαναλήφθηκαν σε αυτήν την έννοια, ζητώντας από τον εισβολέα να αποκτήσει πρόσβαση σε έναν νόμιμο λογαριασμό ηλεκτρονικού ταχυδρομείου και να υποδυθεί τον ιδιοκτήτη του. Οι επιτιθέμενοι υποστηρίζουν ότι τα θύματα δεν αμφισβητούν ένα email που προέρχεται από αξιόπιστη πηγή — και πολύ συχνά, έχουν δίκιο.

Αλλά το email δεν είναι το μόνο αποτελεσματικό μέσο που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου για να εμπλακούν σε επιθέσεις κοινωνικής μηχανικής. Οι σύγχρονες επιχειρήσεις βασίζονται σε μια σειρά ψηφιακών εφαρμογών, από υπηρεσίες cloud και VPN μέχρι εργαλεία επικοινωνίας και χρηματοοικονομικές υπηρεσίες. Επιπλέον, αυτές οι εφαρμογές είναι αλληλένδετες, επομένως ένας εισβολέας που μπορεί να συμβιβάσει κάποιον μπορεί να συμβιβάσει και άλλους. Οι οργανισμοί δεν έχουν την πολυτέλεια να επικεντρωθούν αποκλειστικά σε επιθέσεις phishing και BEC — όχι όταν αυξάνεται ο συμβιβασμός επιχειρηματικών εφαρμογών (BAC).

Στόχευση Single Sign-on

Οι επιχειρήσεις χρησιμοποιούν ψηφιακές εφαρμογές επειδή είναι χρήσιμες και βολικές. Στην εποχή της απομακρυσμένης εργασίας, οι εργαζόμενοι χρειάζονται πρόσβαση σε κρίσιμα εργαλεία και πόρους από ένα ευρύ φάσμα τοποθεσιών και συσκευών. Οι εφαρμογές μπορούν να εξορθολογίσουν τις ροές εργασίας, να αυξήσουν την πρόσβαση σε κρίσιμες πληροφορίες και να διευκολύνουν τους εργαζόμενους να κάνουν τη δουλειά τους. Ένα μεμονωμένο τμήμα σε έναν οργανισμό μπορεί να χρησιμοποιεί δεκάδες εφαρμογές, ενώ τομέση εταιρεία χρησιμοποιεί περισσότερα από 200. Δυστυχώς, τα τμήματα ασφάλειας και πληροφορικής δεν γνωρίζουν πάντα - πόσο μάλλον εγκρίνουν - αυτές τις εφαρμογές, καθιστώντας την επίβλεψη πρόβλημα.

Ο έλεγχος ταυτότητας είναι ένα άλλο ζήτημα. Η δημιουργία (και η απομνημόνευση) μοναδικών συνδυασμών ονόματος χρήστη και κωδικού πρόσβασης μπορεί να είναι μια πρόκληση για όποιον χρησιμοποιεί δεκάδες διαφορετικές εφαρμογές για να κάνει τη δουλειά του. Η χρήση ενός διαχειριστή κωδικών πρόσβασης είναι μια λύση, αλλά μπορεί να είναι δύσκολο για το IT να επιβάλει. Αντίθετα, πολλές εταιρείες απλοποιούν τις διαδικασίες ελέγχου ταυτότητας μέσω λύσεων single sign-on (SSO)., που επιτρέπουν στους υπαλλήλους να συνδεθούν σε έναν εγκεκριμένο λογαριασμό μία φορά για πρόσβαση σε όλες τις συνδεδεμένες εφαρμογές και υπηρεσίες. Επειδή όμως οι υπηρεσίες SSO παρέχουν στους χρήστες εύκολη πρόσβαση σε δεκάδες (ή και εκατοντάδες) επιχειρηματικές εφαρμογές, αποτελούν στόχους υψηλής αξίας για τους εισβολείς. Οι πάροχοι SSO έχουν φυσικά χαρακτηριστικά και δυνατότητες ασφάλειας — αλλά το ανθρώπινο λάθος παραμένει ένα δύσκολο πρόβλημα προς επίλυση.

Social Engineering, Evolved

Πολλές εφαρμογές — και σίγουρα οι περισσότερες λύσεις SSO — διαθέτουν έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA). Αυτό καθιστά πιο δύσκολο για τους εισβολείς να παραβιάσουν έναν λογαριασμό, αλλά σίγουρα δεν είναι αδύνατο. Το MFA μπορεί να είναι ενοχλητικό για τους χρήστες, οι οποίοι μπορεί να χρειαστεί να το χρησιμοποιήσουν για να συνδεθούν σε λογαριασμούς πολλές φορές την ημέρα — οδηγώντας σε ανυπομονησία και, μερικές φορές, απροσεξία.

Ορισμένες λύσεις MFA απαιτούν από τον χρήστη να εισαγάγει έναν κωδικό ή να δείξει το δακτυλικό του αποτύπωμα. Άλλοι απλώς ρωτούν: «Εσύ είσαι αυτός;» Το τελευταίο, αν και πιο εύκολο για τον χρήστη, δίνει στους επιτιθέμενους περιθώρια λειτουργίας. Ένας εισβολέας που έχει ήδη αποκτήσει ένα σύνολο διαπιστευτηρίων χρήστη μπορεί να προσπαθήσει να συνδεθεί πολλές φορές, παρόλο που γνωρίζει ότι ο λογαριασμός προστατεύεται από MFA. Με την αποστολή ανεπιθύμητης αλληλογραφίας στο τηλέφωνο του χρήστη με αιτήματα ελέγχου ταυτότητας MFA, οι επιτιθέμενοι αυξάνουν την εγρήγορση του θύματος. Πολλά θύματα, μόλις λάβουν ένα κατακλυσμό αιτημάτων, υποθέτουν ότι το ΙΤ προσπαθεί να αποκτήσει πρόσβαση στον λογαριασμό ή κάνουν κλικ στο "έγκριση" απλώς για να σταματήσει τη ροή ειδοποιήσεων. Οι άνθρωποι ενοχλούνται εύκολα και οι επιτιθέμενοι το χρησιμοποιούν αυτό προς όφελός τους.

Με πολλούς τρόπους, αυτό κάνει το BAC πιο εύκολο να επιτευχθεί από το BEC. Οι αντίπαλοι που εμπλέκονται στο BAC πρέπει απλώς να ενοχλούν τα θύματά τους ώστε να πάρουν μια κακή απόφαση. Και στοχεύοντας παρόχους ταυτότητας και SSO, οι εισβολείς μπορούν να αποκτήσουν πρόσβαση σε δυνητικά δεκάδες διαφορετικές εφαρμογές, συμπεριλαμβανομένων των υπηρεσιών HR και μισθοδοσίας. Οι εφαρμογές που χρησιμοποιούνται συνήθως, όπως η Workday, είναι συχνά προσβάσιμες μέσω SSO, επιτρέποντας στους εισβολείς να συμμετέχουν σε δραστηριότητες όπως η απάτη απευθείας κατάθεσης και μισθοδοσίας που μπορούν να διοχετεύουν χρήματα απευθείας στους δικούς τους λογαριασμούς.

Αυτό το είδος δραστηριότητας μπορεί εύκολα να περάσει απαρατήρητο — γι' αυτό είναι σημαντικό να υπάρχουν εργαλεία ανίχνευσης εντός δικτύου που μπορούν να εντοπίσουν ύποπτη συμπεριφορά, ακόμη και από έναν εξουσιοδοτημένο λογαριασμό χρήστη. Επιπλέον, οι επιχειρήσεις θα πρέπει να δώσουν προτεραιότητα στη χρήση του Κλειδιά ασφαλείας Fast Identity Online (FIDO) ανθεκτικά στο phish
όταν χρησιμοποιείτε MFA. Εάν οι παράγοντες που αφορούν μόνο το FIDO για MFA δεν είναι ρεαλιστικοί, το επόμενο καλύτερο πράγμα είναι να απενεργοποιήσετε τους κωδικούς πρόσβασης email, SMS, φωνής και χρόνου (TOTP) υπέρ των ειδοποιήσεων ώθησης και, στη συνέχεια, να διαμορφώσετε τις πολιτικές MFA ή παρόχου ταυτότητας για να περιορίσετε την πρόσβαση σε διαχειριζόμενες συσκευές ως πρόσθετο επίπεδο ασφάλειας.

Δίνοντας προτεραιότητα στην πρόληψη BAC

Πρόσφατος δείχνει η έρευνα
ότι οι τακτικές BEC ή BAC χρησιμοποιούνται στο 51% όλων των περιστατικών. Αν και λιγότερο γνωστό από το BEC, το επιτυχημένο BAC παρέχει στους εισβολείς πρόσβαση σε ένα ευρύ φάσμα επιχειρηματικών και προσωπικών εφαρμογών που σχετίζονται με τον λογαριασμό. Η κοινωνική μηχανική παραμένει ένα εργαλείο υψηλής απόδοσης για τους σημερινούς εισβολείς — ένα εργαλείο που έχει εξελιχθεί παράλληλα με τις τεχνολογίες ασφαλείας που έχουν σχεδιαστεί για να το σταματήσουν.

Οι σύγχρονες επιχειρήσεις πρέπει να εκπαιδεύουν τους υπαλλήλους τους, διδάσκοντάς τους πώς να αναγνωρίζουν τα σημάδια μιας πιθανής απάτης και πού να την αναφέρουν. Καθώς οι επιχειρήσεις χρησιμοποιούν περισσότερες εφαρμογές κάθε χρόνο, οι εργαζόμενοι πρέπει να συνεργάζονται με τις ομάδες ασφαλείας τους για να βοηθήσουν τα συστήματα να παραμείνουν προστατευμένα από ολοένα και πιο δόλιους εισβολείς.