Злам MGM Resorts

Що таке Злам MGM Resorts?

Злам MGM Resorts у вересні 2023 року почався з дзвінка до служби ІТ-підтримки, який, за словами самих зловмисників, тривав близько десяти хвилин. Угруповання Scattered Spider знайшло працівника у LinkedIn, зателефонувало в ІТ-підтримку, видаючи себе за нього, і попросило скинути MFA. Цього вистачило, щоб зловмисники проникли в мережу. Далі група розгорнула в ній програму-вимагач ALPHV/BlackCat: перестали працювати бронювання, цифрові ключі до номерів та ігрові автомати. Згодом MGM оцінила наслідки приблизно в 100 млн доларів. Ви пройдете кожен етап, а потім перевірите власну процедуру перевірки особи в службі ІТ-підтримки: чи спрацював би такий самий дзвінок проти вашої команди?

Що ви дізнаєтесь у Злам MGM Resorts

• Простежте весь ланцюг атаки на MGM: від розвідки у LinkedIn через вішинг до розгортання програми-вимагача
• Розпізнавайте, як зловмисники використовують загальнодоступні дані про працівників у соцмережах, щоб вигадувати переконливі легенди для дзвінків до служби ІТ-підтримки
• Оцініть, наскільки слабка перевірка особи за контрольними запитаннями, коли персональні дані доступні онлайн
• Розробіть багатофакторні процедури перевірки особи для звернень до служби ІТ-підтримки та запитів на скидання пароля, стійкі до соціальної інженерії
• Оцініть, наскільки ваша організація вразлива до вішингу, спрямованого на службу ІТ-підтримки, порівнявши чинні процедури з прогалинами, якими скористалися в цьому випадку

Злам MGM Resorts — Кроки навчання

1. Вступ: напружений понеділок у службі ІТ-підтримки MGM

   Сьогодні понеділок, 11 вересня 2023 року, ви щойно почали зміну. Ранок видався гарячий: звичайні скидання паролів, проблеми з VPN і заявки на доступ, з яких починається кожен новий тиждень. Це такий самий понеділок, як і всі: у черзі вже 15 відкритих заявок. Ви працюєте в MGM вже два роки і пишаєтеся якістю обслуговування: найважливіше для вас — щоб працівники якнайшвидше повернулися до роботи.

2. Перевірка черги заявок

   Сьогодні вранці черга заявок повна: на вас чекають 15 відкритих заявок. Здебільшого вони типові: скидання паролів, проблеми з підключенням до VPN і заявки на доступ. Щоб узятися до роботи, треба ввійти на портал підтримки. Увесь ранок ви швидко справляєтеся із заявками. Показники роботи заохочують швидке вирішення, і ви пишаєтеся тим, що допомагаєте працівникам повертатися до роботи якнайшвидше.

3. Вхідний дзвінок

   О 10:23 дзвонить телефон на вашому столі. На екрані — внутрішній номер 4429. Це цілком звично: працівники часто телефонують у службу ІТ-підтримки напряму, коли самі не можуть зайти в систему заявок. Ви ось-ось приймете дзвінок до служби підтримки — на перший погляд, звичайний. Той, хто телефонує, говоритиме схвильовано, але по-діловому — так само, як десятки інших працівників, яким ви допомагаєте щотижня.

4. Початок розмови

   Ви відповідаєте, як належить, і чуєте в слухавці голос молодого чоловіка. Він, схоже, по-справжньому нервує, але говорить ввічливо. Англійська в нього бездоганна: чітка американська вимова, жодних вагань, і він користується тими самими внутрішніми термінами, що й працівники, які звертаються до вас постійно. Він називає себе Бобом Річардсоном із відділу операцій Bellagio й пояснює, що не може увійти до своїх облікових записів, а через 20 хвилин у нього важлива зустріч із віцепрезидентом. Коли ви просите назвати ідентифікатор працівника, він зізнається, що не пам'ятає його напам'ять і залишив бейдж у машині, тож просить знайти його за іменем та прізвищем. Таке прохання — не рідкість. Багато хто не пам'ятає свого ідентифікатора й забуває бейдж. Жодних тривожних ознак у цьому дзвінку одразу не видно.

5. Пошук запису про працівника

   За стандартною процедурою ви маєте перевірити особу Боба: знайти його запис про працівника в системі. Він назвав своє ім'я та прізвище — Роберт Річардсон — і сказав, що працює у відділі операцій з обслуговування гостей у Bellagio. Ви шукаєте його в базі працівників, щоб переконатися, що він справжній працівник MGM, перш ніж вносити будь-які зміни в обліковий запис. Таку перевірку ви виконуєте десятки разів на день.

6. Перевірка особи Боба

   У системі є Роберт Річардсон, ідентифікатор працівника MG-47832: у травні 2020 року його прийняли на посаду менеджера з обслуговування гостей у Bellagio. Усе збігається. Тепер ви ставите стандартні контрольні запитання, а Боб пояснює, чому в нього перестала працювати MFA. Він відповідає на все без вагань, роздратований, але тримається по-діловому: таких дзвінків ви опрацювали вже чимало.

7. Звіряємо відомості

   Ви звіряєте те, що розповів Боб, із даними на порталі працівників. Дата народження, SSN, ім'я керівниці та відділ збігаються. Усе, що сказав Боб, правильно. Він знає внутрішні проєкти, називає справжніх людей, і його роздратування звучить щиро. Усю потрібну інформацію він дає з першого разу, перепитувати не доводиться. Явних тривожних ознак, які викликали б підозру, немає. Схоже, це справжній працівник, якому потрібна допомога, щоб повернутися до роботи перед важливою зустріччю.

8. Прохання скинути MFA

   Ви розглядаєте з Бобом стандартні варіанти відновлення доступу, і для кожного з них, крім простого скидання MFA, у нього є причина, чому той йому не підійде. Це входить у ваші повноваження. Такі скидання ви робили сотні разів. Система показує, що він справжній працівник, а його дані підтверджено. Показники роботи заохочують швидке вирішення, а в Боба очевидна, справжня службова потреба.

9. Ухвалення рішення

   Ви ухвалили рішення. Боб підтвердив, що він справжній працівник: назвав точні персональні дані й дав розумне пояснення. Саме такі скидання MFA ви робили сотні разів, і жодного разу нічого не траплялося. Боб нервує через цілком реальну робочу потребу — зустріч із віцепрезидентом за кілька хвилин. Ваше завдання — допомагати працівникам швидко повертатися до роботи. Підстав відмовляти або передавати це на розгляд керівникові немає. Усе збігається, а Боб чекає на лінії, готовий одразу заново зареєструвати застосунок для автентифікації.

10. Перехід до налаштувань облікового запису

    Ви відкриваєте на порталі профіль Боба. На сторінці — його основні дані, історія роботи й поточний статус. Щоб скинути MFA, спершу треба зайти в налаштування його облікового запису. Профіль підтверджує те, що він сказав: менеджер з обслуговування гостей у Bellagio, прийнятий на роботу в травні 2020 року. Усе збігається з тим, що Боб розповів вам телефоном.