Атака через лист із OneNote

Що таке Атака через лист із OneNote?

Зловмисники зламали пошту ділового партнера й тижнями читали її, перш ніж діяти. Ви чекаєте на підписані договори, і тут надходить лист від генерального директора партнера з посиланням на OneNote, надісланий з домену з однією кириличною літерою. Посилання веде на фальшиву сторінку входу OneDrive, яка перехоплює ваш пароль. Ви простежите наступні шість хвилин, повідомите про атаку й дізнаєтеся, які перевірки її зупинили б.

Що ви дізнаєтесь у Атака через лист із OneNote

• Розпізнавайте, як зловмисники використовують зламану пошту партнера, щоб обрати слушний момент для переконливого фішингового листа
• Помічайте гомографічні домени, у яких літеру замінено схожою з іншого алфавіту
• Ніколи не входьте в обліковий запис за посиланням з листа — відкривайте сервіс безпосередньо
• Негайно повідомляйте службу ІТ-безпеки, якщо підозрюєте, що облікові дані скомпрометовано
• Поясніть, як злам партнера перетворюється на атаку на його ділових контактів

Атака через лист із OneNote — Кроки навчання

1. Вступ: очікування ключових документів за договором

   Ви вже два місяці працюєте з Бобом Ченом, генеральним директором DataFlow Analytics, над продовженням річного договору на 500 000 доларів. Цього тижня Боб обіцяв надіслати підписані документи, але їх досі немає. Юридичний відділ і ваша керівниця щодня питають про ці документи: без підпису Боба угоду не закрити. Зараз п'ятниця, 16:45. Перед вихідними ви востаннє заглядаєте в пошту — може, Боб нарешті надіслав договори.

2. Надходить довгоочікуваний лист

   Угорі вхідних з'являється нове повідомлення від Боба Чена! Тема: «Підписані документи до договору — остаточна версія». Після багатьох тижнів очікування Боб нарешті надіслав документи. За вихідні можна завершити угоду, а в понеділок оголосити про продовження договору. У листі є посилання на файл OneNote. Компанія Боба часто ділиться документами через OneDrive, тож це здається звичайною справою.

3. Перехід за посиланням на договір

   Ви не вагаєтеся. Лист здається цілком справжнім: він надійшов з адреси Боба в DataFlow Analytics, у ньому йдеться про затримку через схвалення правління, про яку Боб вам казав, а тема точно збігається з тією, на яку ви чекали. Ви натискаєте посилання. У браузері відкривається сторінка, схожа на OneDrive, із попереднім переглядом документа OneNote. Сторінка точно копіює інтерфейс Microsoft: той самий фірмовий стиль, ті самі кольори й розташування елементів. У попередньому перегляді — договір із підписами на фірмовому бланку компанії.

4. Запит на вхід

   На сторінці з'являється форма входу Microsoft. Це звична річ: щоб відкрити документи від зовнішніх партнерів, часто доводиться входити в обліковий запис. Сторінка оформлена у фірмовому стилі Microsoft і нічим не відрізняється від сторінки автентифікації, яку ви бачите десятки разів на тиждень, коли клієнти діляться файлами.

5. Введення облікових даних

   Форма входу виглядає знайомо, у стилі Microsoft. За спільними посиланнями OneDrive ви входили вже сотні разів. Ви без вагань вводите робочу електронну адресу й пароль: ці договори потрібні юридичному відділу в понеділок зранку. Зараз п'ятниця, 16:50, і ви хочете переглянути документи за вихідні.

6. Щось пішло не так

   Після введення облікових даних сторінка показує індикатор завантаження, а потім повідомлення «Час очікування з'єднання минув». Ви намагаєтеся відкрити робочу пошту — і раптом вас знову просять увійти. «Неправильні облікові дані». У вас усе обривається всередині. Ви пробуєте OneDrive — те саме. Вас заблоковано. І тут до вас доходить жахлива правда: це був не справжній OneDrive. Це була вишукана підробка, створена, щоб викрадати облікові дані. Ви щойно віддали зловмисникам робочу електронну адресу, пароль і доступ до всієї системи Microsoft 365 вашої компанії. Вони одразу увійшли у ваш справжній обліковий запис і змінили пароль, а вас заблокували.

7. Терміново: дзвінок до служби ІТ-безпеки

   Ви одразу телефонуєте на гарячу лінію служби ІТ-безпеки. Після кількох гудків ви залишаєте на голосовій пошті термінове повідомлення: ви попалися на фішинг і не можете ввійти. Поки чекаєте, у вас тремтять руки. Зловмисники мають доступ до чутливої інформації про клієнтів, фінансових даних і внутрішніх документів. Через дві хвилини дзвонить телефон на вашому столі — служба ІТ-безпеки передзвонює.

8. Відповідь служби ІТ-безпеки

   Служба ІТ-безпеки передзвонює, щоб допомогти заблокувати ваш обліковий запис і оцінити збитки. Діяти треба швидко, щоб обмежити наслідки зламу.

9. Оцінка збитків: шість критичних хвилин

   За дві хвилини служба ІТ-безпеки примусово скинула пароль і вигнала зловмисників з облікового запису. Але шкоди вже завдано. Скомпрометовано підписані договори з цінами, фінансові прогнози, PII клієнтів, закриту технічну документацію компанії та конфіденційні перемови. Ці дані можуть продати конкурентам, оприлюднити або використати для нових атак.

10. Повідомлення про фішинговий лист

    Коли ситуацію взято під контроль, повідомте про шкідливий лист. Кнопка «Повідомити» допомагає службі ІТ-безпеки проаналізувати заголовки, заблокувати домени відправників, виявити інших працівників, яких атакували, і поділитися даними про загрозу.