Autentificarea multifactor nu mai este suficientă în toate situațiile

În ultimii ani, autentificarea multifactor (MFA) a devenit una dintre cele mai importante măsuri de securitate recomandate pentru protejarea conturilor Microsoft 365. În multe cazuri, implementarea MFA a redus considerabil riscul compromiterii conturilor prin parole furate sau reutilizate.

Cu toate acestea, atacatorii își adaptează constant metodele și caută modalități de a exploata funcționalități legitime ale platformelor utilizate zilnic de companii. Una dintre cele mai recente tehnici care a atras atenția comunității de securitate este Device Code Phishing, o metodă care nu încearcă să fure parola utilizatorului, ci să obțină acces autorizat la cont prin intermediul unui proces legitim oferit de Microsoft.

Mai multe campanii observate în ultimul an au demonstrat că această tehnică poate afecta organizații din multiple domenii, inclusiv servicii financiare, producție, sănătate, administrație și servicii profesionale.

Ce este Device Code Flow

Pentru a înțelege modul de funcționare al atacului, trebuie să înțelegem mai întâi mecanismul legitim pe care acesta îl exploatează.

Microsoft oferă un proces numit Device Code Flow, conceput pentru dispozitive care nu pot afișa cu ușurință o pagină de autentificare completă. De exemplu:

• televizoare inteligente;
• echipamente IoT;
• aplicații de tip terminal;
• dispozitive industriale;
• console și alte echipamente cu interfețe limitate.

În loc să introducă utilizatorul și parola direct pe dispozitiv, sistemul afișează un cod temporar. Utilizatorul accesează apoi pagina oficială Microsoft și introduce acel cod pentru a finaliza autentificarea.

Este o funcționalitate legitimă, utilă și utilizată de multe organizații.

Problema apare atunci când atacatorii folosesc acest mecanism în scopuri malițioase.

Cum funcționează atacul

Spre deosebire de atacurile clasice de phishing, în acest scenariu nu există neapărat un site fals.

Atacatorul generează un cod de autentificare utilizând infrastructura Microsoft și îl transmite victimei prin intermediul unui email, al unui mesaj Teams sau al unei pagini care pare legitimă.

Mesajul poate pretinde că:

• există un document important ce trebuie accesat;
• utilizatorul trebuie să vizualizeze o ofertă;
• este necesară aprobarea unui contract;
• există o notificare vocală nouă;
• este vorba despre o solicitare DocuSign sau Microsoft 365.

Victima este rugată să acceseze pagina oficială Microsoft: https://microsoft.com/devicelogin

Observați un aspect important: utilizatorul ajunge pe site-ul real Microsoft.

Acesta este unul dintre motivele pentru care atacul este atât de eficient.

Utilizatorul introduce codul primit, se autentifică normal și aprobă cererea. Din perspectiva sa, totul pare legitim. În realitate, autentificarea acordă acces dispozitivului controlat de atacator.

De ce MFA nu blochează atacul

Multe organizații cred că MFA reprezintă o protecție completă împotriva phishing-ului.

În cazul Device Code Phishing, utilizatorul efectuează personal procesul de autentificare și aprobă cererea MFA.

Practic, atacatorul nu încearcă să ocolească sistemul MFA. El îl folosește exact așa cum a fost proiectat.

După autentificare, Microsoft generează token-uri valide de acces pentru aplicația sau dispozitivul autorizat.

Aceste token-uri permit accesul la resursele companiei fără ca atacatorul să cunoască parola utilizatorului.

Acesta este unul dintre motivele pentru care resetarea parolei nu rezolvă întotdeauna imediat problema. În anumite situații, administratorii trebuie să revoce explicit sesiunile și token-urile active.

Ce urmăresc atacatorii după compromiterea contului

Odată obținut accesul, obiectivul rareori se limitează la citirea câtorva emailuri.

Atacatorii caută în general:

• informații financiare;
• contracte;
• corespondență internă;
• date despre clienți;
• documente confidențiale;
• oportunități pentru fraude ulterioare.

În multe incidente documentate, atacatorii au analizat structura organizației pentru a identifica persoane cu roluri financiare sau executive și au încercat să stabilească mecanisme de persistență în conturile compromise.

De asemenea, au fost observate situații în care au fost create reguli automate de redirecționare a emailurilor pentru colectarea discretă a informațiilor.

De ce companiile sunt principala țintă

Conturile Microsoft 365 oferă adesea acces la un volum impresionant de informații.

Prin compromiterea unui singur utilizator, atacatorii pot obține acces la:

• Exchange Online;
• OneDrive;
• SharePoint;
• Teams;
• documente interne;
• liste de contacte;
• informații despre proiecte și clienți.

În plus, multe companii folosesc Microsoft 365 ca punct central pentru autentificarea în alte aplicații de business. Astfel, compromiterea unei identități poate avea efecte în lanț asupra mai multor sisteme.

Semnale de alarmă care nu trebuie ignorate

Există câteva indicii care pot sugera o tentativă de Device Code Phishing:

• emailuri care solicită introducerea unui cod pe pagina Microsoft;
• solicitări neașteptate de autentificare;
• notificări privind accesarea unor documente necunoscute;
• aprobări MFA pe care utilizatorul nu le-a inițiat;
• autentificări din locații sau dispozitive neobișnuite.

Orice astfel de eveniment ar trebui investigat imediat.

Cum își pot proteja companiile conturile Microsoft 365

Nu există o singură măsură care să elimine complet riscul.

Protecția eficientă presupune combinarea mai multor controale:

1. Politici Conditional Access

Microsoft Entra ID permite definirea unor politici care restricționează metodele de autentificare și controlează accesul în funcție de contextul utilizatorului.

2. Auditarea Device Code Flow

Dacă organizația nu utilizează această funcționalitate, poate fi luată în calcul limitarea sau dezactivarea ei după o analiză atentă a impactului operațional.

3. Monitorizarea continuă

Logurile de autentificare reprezintă o sursă valoroasă de informații.

Monitorizarea activă a autentificărilor și a modificărilor de configurare poate permite identificarea rapidă a comportamentelor suspecte.

4. Conștientizarea utilizatorilor

Angajații trebuie să știe că simplul fapt că se află pe un site Microsoft legitim nu garantează că solicitarea este legitimă.

În prezent, multe atacuri se bazează pe manipularea utilizatorului și nu pe exploatarea unor vulnerabilități tehnice.

5. Revizuirea periodică a accesului

Conturile inactive, permisiunile excesive și aplicațiile autorizate inutil reprezintă factori care pot amplifica impactul unui incident de securitate.

Concluzie

Device Code Phishing demonstrează o schimbare importantă în peisajul amenințărilor cibernetice. Atacatorii nu mai încearcă întotdeauna să fure parole sau să compromită sisteme prin vulnerabilități tehnice. Din ce în ce mai des, ei exploatează funcționalități legitime și încrederea utilizatorilor.

Pentru companiile care utilizează Microsoft 365, securitatea identităților digitale trebuie să devină o prioritate strategică. Combinarea autentificării multifactor cu monitorizare continuă, politici de acces moderne și instruirea utilizatorilor oferă cel mai bun nivel de protecție împotriva acestor atacuri aflate în continuă evoluție.