Скоро беше идентифицирана нова фишинг кампания, която злоупотребява с Microsoft Entra guest user invitations за да насочи жертвите към телефонни измами.
Тези атаки представляват TOAD (Telephone Oriented Attack Delivery) тактика, като комбинират облачни системи за управление на идентичности с класически телефонни измами за компрометиране на организационна сигурност.
Механизмът на атака
-
Атакуващите изпращат гост-покани от легитимния адрес
invites@microsoft.com, което им позволява да заобиколят имейл филтрите и да спечелят доверието на получателите. -
Създават се фалшиви организационни tenants с имена като Unified Workspace Team, CloudSync, Advanced Suite Services, имитиращи реални Microsoft услуги.
-
Поканите съдържат измислени съобщения за подновяване на Microsoft 365 план с фиктивни транзакционни данни, като номера на клиент, референтни кодове и суми (~$446.46).
-
Потребителите се инструктират да се обадят на посочен номер, представен като Microsoft Billing Support, който всъщност е контролирана от атакуващите линия за кражба на идентификационни данни.
Защо е трудно за откриване
-
Ползването на легитимна инфраструктура на Microsoft прави имейлите почти невидими за стандартни системи за защита.
-
Полето Message в поканата позволява вмъкване на дълги текстове, включително пълни фишинг сценарии, без да се активират сигнали за подозрителен съдържание.
-
Атакуващите регистрират множество фалшиви tenant домейни (напр.
x44xfqf.onmicrosoft.com,woodedlif.onmicrosoft.com,xeyi1ba.onmicrosoft.com) за постоянна инфраструктура и многократни кампании.
Препоръчителни мерки за защита
Организациите трябва да приложат следните стъпки незабавно:
-
Проверка на имейл логове
-
Търсене по
invites@microsoft.com -
Ключови думи в subject като “invited you to access applications within their organization”
-
Фалшиви tenant имена, използвани от атакуващите
-
-
Блокиране на телефонни номера, свързани с кампаниите.
-
Обучение на служители
-
Никога да не се обаждат на номера от покани без потвърждение от официална Microsoft поддръжка.
-
Проверка на всички Microsoft комуникации чрез официалните канали, а не чрез автоматизирани покани.
-
