phishing łańcuchowy

Phishing łańcuchowy to atak rozprzestrzeniający się z konta na konto w obrębie powiązanych organizacji.

Jak działa phishing łańcuchowy

Phishing łańcuchowy to kampania, w której napastnik wykorzystuje przejęte konto jednej osoby lub organizacji do kierowania kolejnych wiadomości do podmiotów pozostających z nią w relacji. Może chodzić o pracowników tej samej firmy, klientów, dostawców, partnerów handlowych albo użytkowników wspólnej platformy. Pierwsze konto staje się punktem wejścia do następnych ataków, ponieważ wiadomości wysłane z prawidłowego adresu i istniejącej historii korespondencji wyglądają wiarygodniej niż masowy spam z przypadkowej domeny.

W praktyce atak nie musi polegać wyłącznie na wysłaniu jednego linku. Napastnik może odpowiedzieć w istniejącym wątku, skopiować styl komunikacji właściciela skrzynki, wykorzystać załącznik z dokumentem biurowym albo przekierować odbiorcę do strony logowania podszywającej się pod usługę pocztową. Jeżeli kolejna osoba poda hasło lub zatwierdzi nieoczekiwane żądanie uwierzytelnienia wieloskładnikowego, jej konto również może zostać przejęte i użyte do dalszego rozpowszechniania wiadomości.

Łańcuch zaufania i przejmowanie kolejnych kont

Skuteczność tego schematu wynika z przenoszenia zaufania między uczestnikami komunikacji. Odbiorca może znać nadawcę osobiście, rozpoznawać domenę organizacji i widzieć prawidłowy podpis w stopce, ale te elementy nie potwierdzają, że wiadomość została napisana przez właściciela konta. Szczególne znaczenie ma analiza adresu odpowiedzi, domeny zawartej w odnośniku, prośby o pilne działanie oraz zgodności treści z wcześniejszą korespondencją. Sama obecność wiadomości w istniejącym wątku również nie jest dowodem bezpieczeństwa, ponieważ przejęte konto pozwala napastnikowi odczytywać i kontynuować wcześniejsze rozmowy.

Do przejęcia konta może dojść po wyłudzeniu hasła, ponownym użyciu hasła ujawnionego w innym wycieku, kradzieży aktywnej sesji przeglądarki albo zaakceptowaniu nieautoryzowanej aplikacji korzystającej z dostępu OAuth. Po uzyskaniu dostępu napastnik często przeszukuje skrzynkę pod kątem faktur, danych kontaktowych, podpisów i tematów trwających projektów. Może też utworzyć regułę automatycznie przenoszącą określone wiadomości do ukrytego folderu lub przekazującą pocztę na zewnętrzny adres. Takie działania utrudniają właścicielowi zauważenie ataku i zwiększają czas, w którym konto może służyć do atakowania następnych organizacji.

Rozpoznawanie śladów w poczcie i systemie

Analiza podejrzanego przypadku powinna obejmować nagłówki wiadomości, a nie tylko nazwę wyświetlaną przy nadawcy. Warto sprawdzić domenę nadawcy, wynik mechanizmów SPF, DKIM i DMARC, adresy serwerów przekazujących wiadomość oraz zgodność pola Reply-To z właściwą domeną. SPF służy do sprawdzania, czy serwer wysyłający jest uprawniony dla domeny, DKIM pozwala zweryfikować podpis kryptograficzny wiadomości, a DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli tożsamości. Pomyślne przejście tych kontroli nie wyklucza przejęcia legalnego konta, dlatego nie zastępuje oceny treści i zachowania nadawcy.

W środowisku, które rejestruje zdarzenia logowania, należy porównać czas wysłania wiadomości z historią uwierzytelnień, adresami IP, lokalizacjami, używanymi przeglądarkami i typami urządzeń. Sygnałami ostrzegawczymi są logowania z nietypowego kraju, nagła zmiana klienta pocztowego, masowe odczytywanie korespondencji, utworzenie reguł przekazywania oraz wysyłka do wielu nowych odbiorców. Po potwierdzeniu przejęcia trzeba unieważnić aktywne sesje i tokeny, zmienić hasło, usunąć obce reguły i aplikacje, sprawdzić metody odzyskiwania konta oraz ostrzec osoby, które mogły otrzymać wiadomości z zaatakowanej skrzynki. Jeżeli wiadomość zawierała złośliwy załącznik, należy dodatkowo zweryfikować urządzenia odbiorców.

Ograniczanie rozprzestrzeniania ataku

Podstawową ochroną jest uwierzytelnianie wieloskładnikowe odporne na przejęcie samego hasła oraz stosowanie unikalnych, odpowiednio długich haseł przechowywanych w menedżerze haseł. Użytkownik powinien otwierać stronę usługi z własnej zakładki lub ręcznie wpisanego adresu, zamiast logować się przez link z wiadomości. Nieoczekiwaną prośbę o przelew, zmianę rachunku, przesłanie dokumentu albo zatwierdzenie logowania należy potwierdzić innym kanałem, korzystając z wcześniej znanego numeru telefonu lub adresu, a nie z danych podanych w podejrzanej wiadomości.

Organizacja może zmniejszać zasięg phishingu przez ograniczenie automatycznego przekazywania poczty na zewnętrzne adresy, monitorowanie reguł skrzynek, blokowanie znanych domen phishingowych i szkolenie użytkowników na podstawie rzeczywistych scenariuszy. Administratorzy powinni utrzymywać aktualne mechanizmy SPF, DKIM i DMARC, rejestrować zdarzenia logowania oraz przygotować procedurę szybkiego odcięcia przejętego konta. W przypadku komputera lub laptopa, na którym otwarto podejrzany załącznik albo stronę, wskazane jest sprawdzenie rozszerzeń przeglądarki, aktywnych sesji, procesów uruchamianych przy starcie i stanu ochrony systemu. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki urządzenia można również ustalić, czy problem z jego działaniem nie towarzyszy podejrzanej aktywności po incydencie phishingowym.