- มีการเข้าถึงฐานข้อมูล Salesforce ที่เชื่อมโยงกับ Google โดยไม่ได้รับอนุญาต แต่ไม่มีการรั่วไหลของรหัสผ่าน
- ShinyHunters/UNC6040 ใช้เทคนิคการหลอกลวงทางโทรศัพท์และการใช้กลวิธีทางสังคมเพื่อขอรับใบอนุญาต
- อาจมีที่อยู่อีเมล Gmail มากถึง 2.500 พันล้านรายการที่อาจตกเป็นเป้าหมายของการหลอกลวง
- คำแนะนำสำคัญ: ห้ามแบ่งปันรหัสผ่าน เปิดใช้งานการยืนยันตัวตนสองขั้นตอน (2FA) และตรวจสอบการเข้าถึงอย่างสม่ำเสมอ
การเข้าถึงฐานข้อมูลที่โฮสต์บน Salesforce โดยไม่ได้รับอนุญาต และการเชื่อมโยงกับ Google ทำให้เกิดความกังวลเกี่ยวกับการนำข้อมูลดังกล่าวไปใช้ในแคมเปญฉ้อโกงที่มุ่งเป้าไปที่กลุ่มเป้าหมาย บัญชี Gmail มากกว่า 2.500 พันล้านบัญชี คู่มือการกู้คืนบัญชีของคุณบริษัทตรวจพบการบุกรุก ปิดกั้นการบุกรุก และยืนยันว่าไม่มีรหัสผ่านหรือข้อมูลประจำตัวใดรั่วไหล
จากรายละเอียดที่ทีมข่าวกรองภัยคุกคามของ Google เปิดเผย เหตุการณ์ดังกล่าวเกิดขึ้นเมื่อ... เดือนมิถุนายน และมีการเปิดเผยรายละเอียดต่อสาธารณะในช่วงต้นเดือนสิงหาคมมีรายงานว่าปฏิบัติการดังกล่าวเกี่ยวข้องกับเทคนิคทางสังคมและการปลอมตัวเป็นฝ่ายสนับสนุนด้านเทคนิคเพื่อเข้าถึงข้อมูลและทำให้สามารถคัดลอกไฟล์ได้ ข้อมูลธุรกิจและข้อมูลติดต่อพื้นฐาน.
เกิดอะไรขึ้น และใครอยู่เบื้องหลังเรื่องนี้?
กลุ่มข่าวกรองภัยคุกคามของ Google (GTIG) ระบุสาเหตุของกิจกรรมว่าเป็น UNC6040 เกี่ยวข้องกับกลุ่ม ShinyHuntersเป็นที่รู้จักจากแคมเปญวิชชิ่ง (การหลอกลวงทางเสียง) ผู้โจมตีแอบอ้างเป็นเจ้าหน้าที่ฝ่ายสนับสนุนเพื่อแนะนำพนักงานและตรวจสอบการเชื่อมต่อจาก แอปพลิเคชันที่ถูกดัดแปลง เช่น เวอร์ชันปลอมของ Data Loader จาก Salesforce จึงทำให้สามารถดึงข้อมูลออกมาได้
บริษัทอ้างว่าสิ่งที่ถูกเข้าถึงนั้นคือ ข้อมูลพื้นฐานเกี่ยวกับบริษัท (ชื่อทางการค้าและรายละเอียดการติดต่อ) และข้อมูลที่ไม่ถูกละเมิด ข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่าน ข้อมูลประจำตัว หรือข้อมูลทางการเงินถึงกระนั้น ข้อมูลเหล่านั้นก็สามารถนำไปใช้เป็นวัตถุดิบในการสร้างกลยุทธ์หลอกลวงแบบใหม่ๆ ได้
ขอบเขตและตัวเลข: ทำไมจึงมีการพูดถึงตัวเลข 2.500 พันล้าน
สิ่งพิมพ์เฉพาะทางต่างๆ เช่น พาดหัว Androidพวกเขาระบุว่าข้อมูลที่ถูกขโมยไปนั้นถูกนำไปใช้เพื่อพยายามหลอกลวงผู้อื่น ที่อยู่อีเมล Gmail มากกว่า 2.500 พันล้านรายการในทางปฏิบัติ หมายความว่าอาจมีอีเมลและการโทรเข้ามาจำนวนมากภายใต้ข้ออ้างเรื่องความกังวลด้านความปลอดภัย ชักจูงให้ผู้ใช้เปิดเผยรหัสผ่านของตน.
Google ระบุว่ามี ได้แจ้งให้องค์กรและบัญชีที่เกี่ยวข้องทราบแล้ว เขาเน้นย้ำว่าการบุกรุกไม่ได้เกี่ยวข้องกับรหัสผ่าน อย่างไรก็ตาม หากอาชญากรได้ชื่อบริษัทและอีเมล พวกเขาก็สามารถลงมือโจมตีได้ทันที แคมเปญฟิชชิ่งและการแอบอ้างตัวตน ด้วยความน่าเชื่อถือสูง รวมถึงการพยายามขู่กรรโชกทรัพย์ด้วย
หนึ่งในกลยุทธ์ที่สังเกตพบคือ ข้อความและการโทรที่จำลองว่ามาจาก พนักงานของ Google แจ้งเตือนผู้ใช้เกี่ยวกับการละเมิดความปลอดภัยที่ถูกกล่าวหาและคำขอเข้าสู่ระบบเร่งด่วน ในบางกรณี ผู้โจมตีได้เรียกร้องเงินค่าไถ่ด้วย สกุลเงินดิจิทัลในช่วงเวลาสั้นมาก (72 ชั่วโมง)ภายใต้การข่มขู่ว่าจะเปิดเผยข้อมูล
วิธีการหลอกลวง: การใช้เทคนิคทางสังคมทีละขั้นตอน
กลุ่มผู้โจมตีได้ติดต่อกับพนักงานของบริษัทโดยปลอมตัวเป็นพนักงานของบริษัท การสนับสนุนทางเทคนิคที่ถูกต้องตามกฎหมายหลังจากได้รับความไว้วางใจแล้ว พวกเขาก็นำทางเหยื่อไปยัง... อนุญาตการเชื่อมต่อแอปพลิเคชัน เห็นได้ชัดว่าจำเป็นสำหรับงานประจำวัน
การอนุญาตเหล่านั้นทำให้ผู้โจมตีสามารถเข้าถึงได้ คัดลอกข้อมูลจาก Salesforce โดยไม่ต้องเปิดเผยรหัสผ่าน แคมเปญนี้ส่งผลกระทบอย่างมากเป็นพิเศษต่อ... วิสาหกิจขนาดกลางและขนาดย่อม ที่ผสานรวมบริการของ Google เข้ากับระบบ CRM ของพวกเขา
ความเสี่ยงในปัจจุบันต่อผู้ใช้งานและสัญญาณเตือนภัย
อันตรายที่ร้ายแรงที่สุดในขณะนี้ไม่ใช่การรั่วไหลของรหัสผ่าน แต่คือ... การใช้ประโยชน์จากข้อมูลการติดต่อ เพื่อทดลองกลโกงรูปแบบใหม่ อีเมลที่ขอให้ล็อกอินอย่างเร่งด่วน สายโทรศัพท์ที่อ้างว่ามีรหัสยืนยัน ลิงก์ไปยังแผงควบคุมปลอมเป็นเหยื่อล่อที่พบได้บ่อยที่สุดในขณะนี้
เพื่อหลีกเลี่ยงการตกหลุมพราง โปรดจำไว้ว่า Google ไม่ขอรหัสผ่านหรือรหัสยืนยันตัวตนสองขั้นตอน (2FA) ผ่านทางอีเมลหรือโทรศัพท์ระวังเรื่องเวลาเร่งด่วน ตรวจสอบผู้ส่ง และ ตรวจสอบ URL เสมอ ก่อนป้อนข้อมูล
ขั้นตอนง่ายๆ ในการปรับปรุงความปลอดภัยของคุณ
การทำตามขั้นตอนง่ายๆ ก็สร้างความแตกต่างได้มากนี่คือมาตรการสำคัญที่ทีมรักษาความปลอดภัยแนะนำ และเป็นแนวปฏิบัติที่ดีที่สุดของอุตสาหกรรม
- ห้ามเปิดเผยรหัสยืนยัน Google ของคุณให้ใครทราบเด็ดขาด โดยไม่มีใครเกี่ยวข้อง ไม่ว่าจะผ่านช่องทางใดก็ตาม
- ระบุอีเมลและการโทรหลอกลวงควรระแวงหากมีข้อความเร่งด่วนปรากฏขึ้น ตรวจสอบตัวตนของผู้ส่ง และอย่าคลิกลิงก์ที่น่าสงสัย
- เปิดใช้งานการยืนยันตัวตนสองขั้นตอน (2FA/MFA) เพื่อเพิ่มเลเยอร์พิเศษให้กับบัญชีของคุณ
- ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำใคร และแจ้งให้พวกเขาทราบหากคุณสงสัยว่ามีกิจกรรมผิดปกติใดๆ เกิดขึ้น
- ตรวจสอบกิจกรรมและเซสชัน ในบัญชี Google ของคุณ ให้ปิดการเข้าถึงที่ไม่รู้จัก
- หมั่นอัปเดตระบบและแอปพลิเคชันให้ทันสมัยอยู่เสมอ พร้อมอัปเดตความปลอดภัยล่าสุด
คำแนะนำสำหรับบริษัทและผู้บริหาร
ในสภาพแวดล้อมขององค์กร การลดพื้นที่เสี่ยงต่อการโจมตีและการจำกัดผลกระทบนั้นจำเป็นต้องใช้มาตรการต่างๆ การควบคุมทางเทคนิคและการฝึกอบรมอย่างต่อเนื่อง ต่อต้านการวิศวกรรมทางสังคม
- หลักการของสิทธิพิเศษน้อยที่สุดจำกัดสิทธิ์การเข้าถึงเฉพาะสิ่งที่จำเป็นอย่างยิ่งเท่านั้น รวมถึงการใช้เครื่องมือต่างๆ เช่น Data Loader
- การจัดการแอปที่เชื่อมต่อตรวจสอบว่าแอปพลิเคชันใดบ้างที่มีสิทธิ์เข้าถึง และใครบ้างที่สามารถให้สิทธิ์การเข้าถึงได้
- ข้อจำกัดตามที่อยู่ IP และตำแหน่งที่ตั้ง: กำหนดการควบคุมการเข้าถึงให้กับเครือข่ายและสถานที่ที่กำหนดไว้
- การฝึกอบรมเป็นระยะ เกี่ยวกับการหลอกลวงทางโทรศัพท์ การหลอกลวงทางอีเมล และสุขอนามัยดิจิทัลสำหรับพนักงานทุกคน
- การติดตามและตรวจสอบตรวจสอบโปรไฟล์ สิทธิ์การเข้าถึง และการดาวน์โหลดข้อมูลปริมาณมาก
- การแจ้งเตือนอัตโนมัติ เพื่อให้สามารถตอบสนองต่อพฤติกรรมที่ผิดปกติได้ทันท่วงที
- ระเบียบปฏิบัติต่อต้านการรีดไถอย่าจ่ายเงิน เก็บหลักฐาน และแจ้งเรื่องผ่านช่องทางราชการ
กรณีนี้แสดงให้เห็นถึงผลกระทบที่การวิศวกรรมทางสังคมสามารถก่อให้เกิดได้ แม้ว่าจะไม่มีการรั่วไหลของรหัสผ่าน แต่หากมีข้อมูลติดต่อ ผู้โจมตีก็สามารถปลอมแปลงตัวตนได้ในวงกว้าง การระมัดระวัง การใช้ระบบยืนยันตัวตนสองขั้นตอน (2FA) และการตรวจสอบความถูกต้องของการสื่อสารที่น่าสงสัยใดๆ จึงเป็นวิธีที่ดีที่สุดในการปกป้องตนเองในปัจจุบัน รักษาความปลอดภัยบัญชี Gmail ของคุณ และสภาพแวดล้อมขององค์กรที่ขึ้นอยู่กับสิ่งเหล่านั้น
