Японският медиен гигант Nikkei съобщи за два отделни случая на компрометирани служебни имейл акаунти, при които нападатели са получили достъп до чувствителна информация и са използвали един от акаунтите за мащабна фишинг кампания.
Последният инцидент е особено показателен, тъй като от компрометиран акаунт в Microsoft 365 са изпратени около 9000 фишинг съобщения до служители на компанията и нейни събеседници.
Първият пробив засяга 1646 души
Според Nikkei първият инцидент е започнал още в края на юли, когато нападатели са получили достъп до Google Workspace акаунта на служител.
Компанията е разбрала за компрометирането в началото на август след уведомление от Google и е променила паролата на засегнатия акаунт.
При пробива е могло да бъде изложена лична информация за 1646 служители и бизнес партньори, включително имена и електронни адреси.
Nikkei уточнява, че засегнатите данни не включват информация за читатели или интервюирани лица, което ограничава обхвата на пряко засегнатите информационни масиви.
Вторият акаунт е превърнат във фишинг инструмент
По-сериозният от двата случая е регистриран през септември, когато нападатели са получили достъп до Microsoft 365 акаунта на друг служител.
На 30 септември от него са били изпратени приблизително 9000 имейла с връзки към злонамерени сайтове. Получатели са били както служители на Nikkei, така и интервюирани лица, с които служители на компанията са комуникирали.
Този подход е особено опасен, защото съобщенията идват от легитимен служебен акаунт. За получателя това значително затруднява разграничаването между нормална бизнес комуникация и фишинг.
Nikkei е променил паролите на засегнатите акаунти и заявява, че след предприетите мерки не са установени нови неоторизирани влизания. Компанията е уведомила получателите поотделно и ги е призовала да изтрият получените съобщения.
Компрометираният акаунт е по-ценен от външен адрес
Случаят показва защо компрометирането на корпоративна идентичност остава ефективен механизъм за фишинг атаки.
Нападателят не е необходимо да създава убедителен външен адрес или да имитира домейна на компанията. Легитимният акаунт вече има доверие, история на комуникация и реална връзка с получателите.
При медийна организация това е още по-чувствително, тъй като журналистите и редакционните екипи ежедневно комуникират с голям брой външни лица, източници и партньори.
Затова компрометирането на един акаунт може да се превърне не само в проблем за неговия собственик, а в платформа за атака срещу цяла мрежа от доверени контакти.
Nikkei предупреждава за последващи атаки
Компанията е предупредила засегнатите лица да бъдат особено внимателни към съобщения, които изглеждат като изпратени от Nikkei или от нейни свързани дружества.
Това е важна мярка, тъй като след компрометиране на корпоративен акаунт нападателите могат да използват информацията от кореспонденцията за последващи, по-точно насочени атаки.
Особено рискови са съобщения, които съдържат връзки към външни сайтове, искания за вход, документи или действия, свързани с корпоративни услуги.
Това не е първият сериозен инцидент
Nikkei има история на други значими киберинциденти.
През миналата година компанията съобщи за компрометиране на своята Slack среда, при което са били засегнати над 17 000 служители и бизнес партньори.
През май 2022 г. ransomware атака засегна подразделението Nikkei в Сингапур, като нападателите са получили достъп до сървър, за който се предполага, че е съдържал клиентски данни.
Още по-сериозен финансов удар компанията понесе през 2019 г., когато атака тип business email compromise (BEC) доведе до загуба на приблизително 29 млн. долара.
Медийната инфраструктура има широк обхват
Nikkei е собственик на Financial Times и на The Nikkei и управлява над 40 свързани компании, работещи в областта на издателската дейност, радио- и телевизионното разпространение, събитията, базите данни и индексите.
Групата разполага с 37 чуждестранни редакционни бюра, над 1500 журналисти по света и повече от 3,7 милиона платени цифрови абонамента.
Този мащаб увеличава потенциалната стойност на компрометираните корпоративни акаунти. Те дават достъп не само до вътрешна комуникация, но и до голяма мрежа от външни контакти.
Двата инцидента показват, че защитата на служебната електронна поща трябва да се разглежда като защита на цялата комуникационна екосистема на организацията. Силната идентификация, многофакторната автентикация, наблюдението на необичайни входове и автоматизираното откриване на масово изпращане могат да ограничат възможността един компрометиран акаунт да бъде превърнат в инструмент за следваща атака.
