Týká se vás to?
- Týká se: firem, jejichž zaměstnanci se přihlašují účty Microsoft 365 (Entra ID) nebo Google Workspace. Podle BleepingComputer může token získaný přes kód zařízení otevřít přístup k uživatelovým prostředkům a napojeným aplikacím s jednotným přihlášením, například Microsoft 365, Salesforce, Slack nebo Atlassian.
- Netýká se vás, pokud: vaše firma nemá pracovní účty Microsoft ani Google.
Co udělat
- Zjistěte, kdo přihlašování kódem zařízení používá: v centru pro správu Microsoft Entra vyfiltrujte přihlašovací logy podle protokolu ověřování na device code flow.
- Kde ho nikdo nepotřebuje, zablokujte ho, jak doporučuje Microsoft (vyžaduje Entra ID P1 nebo Microsoft 365 Business Premium): Entra ID > Conditional Access > Policies > New policy; všichni uživatelé kromě nouzových (break-glass) účtů; All resources; Conditions > Authentication Flows > Device code flow; Grant > Block access. Začněte v režimu Report-only, pak politiku přepněte na On.
- Řekněte kolegům: kód z nějakého webu se do přihlašovací stránky Microsoftu nikdy nezadává, a akce, která za AI předplatné zdarma chce přihlášení pracovním účtem, je varovný signál.
- Cesta přes Google funguje únosem relace; proti němu doporučuje BleepingComputer vícefázové ověření odolné proti phishingu, například bezpečnostní klíče FIDO2.
- Už se to stalo? Hledejte přihlášení kódem zařízení u lidí, kteří tento způsob nikdy nepoužívají, tak daleko do minulosti, jak vaše logy sahají. Podle nás pak tomu uživateli odvolejte relace, resetujte heslo a projděte napojené aplikace.
- Jiný případ, zveřejněný 2. listopadu: Microsoft popsal průniky, kdy útočníci vydávající se za IT podporu v Teams přemluvili zaměstnance, aby otevřeli Quick Assist. Omezte, které cizí organizace mohou vaše lidi v Teams kontaktovat, a nečekané hovory „podpory“ si ověřujte známým interním kanálem.
Co víme – a co ne
- Při cestě přes Microsoft zadá oběť kód na skutečnou stránku Microsoftu pro přihlášení zařízení a žádost schválí; Microsoft pak vydá token relaci útočníka v Kali365 a vícefázové ověření tomu nezabrání. Falešné přihlášení VoidProxy pak může získat i heslo a cookie.
- Při cestě přes Google VoidProxy přeposílá skutečné přihlášení Googlu a zachytí heslo, odpověď vícefázového ověření i cookie relace.
- Push Security neví, jak se odkazy šíří. Vedou přes zkracovače URL od Googlu a Zapieru a stránky jsou schované za CAPTCHA od Cloudflare, přes kterou se skenery nedostanou. Podobné dřívější kampaně využívaly stránky akcí na Zoomu (ANY.RUN) a e-maily z GoTo Webinar (Cofense).
- Žádná zpráva neuvádí, kolik účtů útočníci získali.
- U průniků přes Teams Microsoft nejmenuje útočníka a neuvádí, kdy k nim došlo.
Proč na tom záleží
Lidé se učí kontrolovat adresní řádek – a tady v něm opravdu je adresa Microsoftu. Podvod prozradí až kód, který přišel odjinud.