Brottslingar riktar attacker mot Microsoft 365-konton – företagare, läs anvisningarna

Cybersäkerhetscentret vid Traficom varnar företag för informationssäkerhetsrisker som gäller Microsoft 365-konton. Centret uppger att det som bäst cirkulerar ett stort antal nätfiske­meddelanden som försöker kapa M365-konton. Flera organisationer har utsatts för intrång och efterföljande nätfiskemeddelanden och inom en och samma organisation kan det inträffa flera, till och med tiotals kontointrång.

Kontointrången möjliggör obehörig åtkomst till e-post och dokument, vilket utsätter konfidentiell information för missbruk. I värsta fall kan kapade konton leda till störningar i affärsverksamheten, skada organisationens anseende och fungera som en inkörsport för mer omfattande angrepp.

Cybersäkerhetscentret får varje vecka kännedom om flera kapningar av M365-konton samt försök till sådana. Enligt myndigheten upptäcks kontokapningar i många fall först när någon utanför organisationen identifierar kontot som kapat till exempel på basis av ett mottaget nätfiskemeddelande. Offret är därför inte nödvändigtvis medvetet om att kontot har hamnat i brottslingarnas händer.

Angriparen kan återanvända e-postmeddelanden som offret tidigare har skickat och lägga till en länk till en nätfiskesida.

Varje organisation behöver vidta åtgärder för att skydda sina data och system från obehörig åtkomst och skadliga attacker. Organisationer bör satsa på att stärka skyddet och i mån av möjlighet införa avancerade autentiseringsmetoder och att endast ge användare den lägsta åtkomstnivå som krävs för att göra det de behöver göra. Varken mer eller mindre. Denna enkla men kraftfulla idé kan dramatiskt minska säkerhetsrisker. Principen om minsta möjliga privilegium är en hörnsten i moderna säkerhetsrutiner och ramverk.

Brottslingen strävar efter att förbli oupptäckt så länge som möjligt

Kapningen lyckas när användaren matar in sina uppgifter på brottslingens nätfiskesida. Om multifaktorautentisering inte är aktiverad blir M365-kontot omedelbart tillgängligt för angriparen. Därefter loggar brottslingen in i M365-miljön med de kapade inloggningsuppgifterna.

Syftet är att granska e-post, kontakter och filer för att få en uppfattning om användarens eller organisationens verksamhet. Efter detta skickar angriparen nätfiskemeddelanden från de kapade användarkontona till kontots kontaktuppgifter och försöker på så sätt kapa fler konton.

I vissa fall ändrar angriparen inställningarna för e-postkontot genom att modifiera e-postregler (till exempel vidarebefordran av meddelanden) eller installera skadliga applikationer för att behålla åtkomsten. Målet är att förbli oupptäckt så länge som möjligt. Angriparen kan även cirkulera e-postmeddelanden som offret tidigare skickat och foga en länk till nätfiskesidor.

Meddelandena maskeras

Bedrägerimeddelandet kan se ut som ett avtal eller en faktura där mottagaren uppmanas att vidta åtgärder. Meddelandet kan till exempel innehålla en länk till en fil med namnet faktura.pdf där användaren ombeds logga in för att öppna filen. I själva verket är det en blufflänk, och de inmatade uppgifterna dirigeras via en nätfiskesida till brottslingen enligt Cybersäkerhetscentret.

I några fall har myndigheten observerat att brottslingen har svarat på finska när mottagaren har svarat på nätfiskemeddelandet via e-post. I sitt svar har angriparen uppmanat mottagaren att öppna länken i nätfiskemeddelandet.

I vissa fall har angriparen försökt skapa en regel i e-postlådan som gör att offret inte ser svar på nätfiskemeddelandet utan svaren styrs i stället till en separat mapp. Från den här egenhändigt skapade mappen har angriparen fört en dialog med mottagarna och försökt övertyga dem samt få dem att agera enligt angriparens avsikt.

Cybersäkerhetscentret uppmanar användare att kontrollera meddelandets äkthet via en annan kommunikationskanal. E-postmeddelandets äkthet kan till exempel verifieras genom att ringa avsändaren.

Åtgärds- och begränsningsmöjligheter

1. Om du misstänker att Microsoft 365-kontot har kapats, kontrollera reglerna för vidarebefordranbåde i administratörens och i användarens vy.
2. Aktivera standardskyddsinställningar och multifaktorautentisering för Microsoft 365-kontot.

3. Lägg till och kontrollera multifaktorautentisering för användarkonton och administratörer.
4. Skapa ett ”kassaskåpskonto” för administratören. För nödsituationer är det bra att ha ett konto som inte används annat än när ingen annan kan logga in i dina Microsoft 365-tjänster.
5. Aktivera granskningsloggar. Med hjälp av loggarna får du bättre insyn i eventuella dataintrång. Logginformationen kan dessutom användas för att spåra när och eventuellt hur ett intrång har skett.
6. Kontrollera att varningar är aktiverade. Med hjälp av varningar får du bättre insyn i användarnas och administratörers aktiviteter samt notiser om hot och dataförluster.
7. Utbilda och informera personalen regelbundet om riskerna med nätfiske och kontokapningar.

Källa: Cybersäkerhetscentret vid Traficom

Är du redan medlem i Företagarna i Finland? Läs mer om nyttan och fördelarna med medlemskapet här!