CERT-IS varar við vefveiðaherferð þar sem yfirteknir aðgangar eru misnotaðir til að senda út vefveiðapósta sem innihalda excel skjal í viðhengi.
Skjalið leiðir inn á svika innskráningarsíðu í nafni Microsoft og reynt er að stela aðgangsupplýsingum. Póstarnir eru trúverðugir þar sem þeir koma frá traustum sendanda.
Hvernig virka svikin?
1. Viðtakandi fær vefveiðapóst frá traustum sendana (Yfirtekinn aðgangur).
2. Í vefveiðapóstinum má sjá excel skjal í viðhengi og efni póstsins (e. subject) er sagt vera „reikning“ eða „invoice“.
3. Viðtakandi opnar skjalið og ýtir á hlekk til að fá aðgang að skjalinu.
4. Þá opnast svika innskráningarsíða í nafni Microsoft.
5. Viðtakandinn slær inn netfang og lykilorð.
6. Þessi svika innskráningarsíða stelur aðgangsupplýsingum viðkomandi.
7. Ógnaraðili notar þessar upplýsingar til að komast yfir aðganginn.
8 Þessi sami aðgangur er síðan notaður til að viðhalda keðjunni og er nýttur til að senda vefveiðapósta á nýja viðtakendur.
Ráðleggingar CERT-IS
Vekja athygli starfsfólks á þessari svikaherferð og auka varúð
-
Ítreka við starfsfólk að skoða vandlega slóðina á innskráningarsíðum
-
Helsta innskráningssíða Microsoft er t.d. login.microsoftonline.com, þó önnur lén séu mögulega notuð.
Fólk ætti alltaf að spyrja ráða ef það er í vafa
-
-
Skoða hvort „Perfect Data“ frá Perfect Data Solutions sé tengt við M365 aðganga starfsfólks
Þetta er ekki spillihugbúnaður en gerir kleift að exporta öllum gögnum úr pósthólfinu
-
Fylgjast með fjölda IP erlendra tala sem eru að skrá sig inn á aðganga starfsfólks.
Árásaraðilar í þessari herferð eru oft að tengjast frá mörgum (4-8) erlendum IP tölum inn á sama aðgang innan við 24 tíma
Hvað þarf að gera ef fallið er fyrir svikum?
Skrá út öll tæki sem skráð inn á viðkomandi reikning
Endursetjið lykilorð
Endursetjið tveggja þátta auðkenningu
Fara yfir aðra aðganga
Skoða innskráningarsögu (e. login history)
Skoða IP tölu árásaraðila og athuga hvort að hún finnist í öðrum innskráningar upplýsingum
Tilkynna atvik
CERT-IS minnir á að hægt sé að senda tilkynningar um öryggisatvik til CERT-IS.
Tilkynningaformið er aðgengilegt í gegnum tilkynningahnappinn á forsíðu CERT-IS.