Шахрайство із запрошеннями в календарі

Що таке Шахрайство із запрошеннями в календарі?

Календарні запрошення часто надходять каналом, який поштовий шлюз не перевіряє, а подія, що вже лежить у календарі, здається наперед схваленою. Зловмисники користуються обома прогалинами: надсилають запрошення з домену, що від справжнього домену постачальника відрізняється однією літерою, ставлять нагадування в останню мить, коли немає часу перевірити, і дають посилання для приєднання на сторінку, що збирає пароль. Ви читатимете адресу організатора, а не відображуване ім'я, звірятимете посилання для приєднання зі справжніми доменами платформ для зустрічей, підтверджуватимете зустріч іншим каналом і повідомлятимете про потенційний інцидент.

Що ви дізнаєтесь у Шахрайство із запрошеннями в календарі

• Розпізнавайте, як автоприйняття в календарі обходить поштовий шлюз безпеки: запрошення надходять протоколом, який шлюз не перевіряє.
• Читайте справжню електронну адресу організатора, а не відображуване ім'я, щоб помітити домени, схожі на справжні домени постачальників, але з однією зміненою літерою або іншим доменом верхнього рівня.
• Перевіряйте посилання для приєднання в кожному запрошенні й не вводьте облікові дані на жодному домені, який не є відомою платформою для зустрічей (zoom.us, teams.microsoft.com або власна корпоративна платформа).
• Сприймайте поспіх в останню мить і вимоги негайно приєднатися як тиск соціальної інженерії, покликаний обійти перевірку.
• Перевіряйте підозрілі запрошення на зустріч іншим каналом: за номером телефону, у чаті чи в довіднику, справжність яких підтверджена ще до підозрілого запиту, і ніколи не за контактами із самого запрошення.
• Якщо календарна подія виявилася ворожою, зберігайте її як доказ і спершу повідомляйте про неї SOC; видаляйте лише тоді, коли команда SOC має адресу організатора, URL для приєднання й часові позначки.
• Подавайте структурований звіт про інцидент із підробленою адресою організатора, фальшивим URL для приєднання та описом того, як ви виявили спробу, щоб SOC міг заблокувати їх на поштовому шлюзі та в резолвері DNS і шукати паралельні спроби.

Шахрайство із запрошеннями в календарі — Кроки навчання

1. Тихий вівторок удома

   Вівторок, по обіді, тихо. Аліса вдома, за робочим столом, закінчує оцінні картки постачальників. Наступну перевірку з Halcyon Insurance Group, постійним партнером Аліси з квартальних перевірок, заплановано лише на квітень, тож день іде як завжди.

2. Несподіване нагадування

   З області сповіщень виїжджає нагадування про зустріч: Перевірка постачальників на дотримання вимог за I квартал — початок через 5 хвилин . Організатор — якийсь Марко Рейес із Halcyon Insurance Group. Аліса цього запрошення не приймала: його автоматично додало в календар корпоративне налаштування.

3. Огляньте зустріч

   Перевірка постачальників на дотримання вимог за I квартал стоїть просто в сьогоднішньому розкладі, з позначками External («зовнішня») і Auto-accepted («прийнято автоматично»). Кнопка «Join meeting» («Приєднатися до зустрічі») — за один клік. Зараз 14:27. У нагадуванні сказано, що зустріч почнеться через три хвилини. Аліса хоче одразу натиснути «Join meeting»: календар уже прийняв запрошення, в імені організатора названо справжнього партнера, а запит виглядає звичайним. Але те, що запис є в календарі, не означає, що запрошення перевірене. Що найбезпечніше зробити, перш ніж натискати «Join meeting»?

4. Зупиніться, перш ніж натискати

5. Прочитайте адресу й посилання

   Аліса не поспішає й читає те, що зазвичай пропускає, — електронну адресу організатора та посилання для приєднання. Відображуване ім'я — лише декорація. Правду показує адреса.

6. Перевірте в постачальника

   Аліса бере телефон і телефонує Сарі Донован, своїй постійній контактній особі в Halcyon, за номером, який зберігає вже два роки. Не за номером із запрошення. Не електронною поштою. А каналом, справжність якого підтвердилася задовго до цієї історії.

7. Відкрийте портал безпеки

   Сара підтверджує те, що Аліса вже підозрювала. Марка Рейеса в Halcyon немає. Жодної перевірки за I квартал не призначено. Запрошення вороже, а посилання для приєднання — це пастка для викрадення облікових даних, замаскована під платформу для зустрічей. Аліса сказала Сарі, що видалить подію, але зупиняється й залишає її на місці. Тепер це доказ: SOC захоче бачити адресу організатора, URL для приєднання й часові позначки доставки просто на самому запрошенні. Спершу звіт; подію можна видалити, коли команда SOC отримає всі подробиці.

8. Увійдіть на портал

   Аліса входить на портал безпеки зі збереженими обліковими даними.

9. Подайте звіт про інцидент

   Аліса подає звіт, у якому спершу вказує те, що потрібно SOC: адресу спуфінгового організатора, підозрілий URL для приєднання та коротку розповідь про те, що сталося і як вона це помітила.

10. Що робить звіт корисним

    Портал показує Алісі її звіт, щоб вона могла його переглянути, перш ніж його підхопить аналітик SOC. Основну роботу для SOC виконують три розділи: спуфінговий організатор, підроблений URL для приєднання і розповідь про те, як Аліса виявила спробу й не дала їй вдатися.