גל מתקפות אבטחת מידע חדש ונרחב מכוון נגד עובדים בארגונים שונים, תוך שילוב של הצפת תיבות דואר אלקטרוני והתחזות לצוותי תמיכה טכנית באמצעות פלטפורמת Microsoft Teams. חוקרי אבטחה מחברת Arctic Wolf זיהו יותר מ-400 אירועים שונים שבהם הייתה לפעולה תבנית זהה: יצירת עומס אדיר של הודעות זבל (Spam) בתיבת המייל של העובד, ולאחר מכן פנייה ישירה אליו בשיחה או בצ'אט ב-Teams כדי להציע סיוע בפתרון התקלה.
מטרת העל של התוקפים היא להשיג גישה מרחוק למחשב של העובד, לבסס אחיזה מתמשכת ברשת הארגונית, ולאסוף מודיעין פנימי - ככל הנראה כהכנה להשתלת נוזקות או פריסת תוכנת כופר (Ransomware). המתקפה אינה נשענת על חולשת אבטחה בקוד התוכנה, אלא מנצלת הגדרת ברירת מחדל המאפשרת תקשורת פתוחה עם גורמים חיצוניים.
השלבים של מתקפת ההנדסה החברתית
התרמית מתנהלת במספר שלבים עוקבים, אשר מיועדים להביא את העובד לשיתוף פעולה מבלי שיחשוד שמדובר בגורם עוין:
הצפת תיבת הדואר (Spam Flooding): בשלב הראשון, תיבת המייל של העובד מופצצת במאות ואף אלפי הודעות זבל בפרק זמן קצר מאוד. העומס הכבד גורם להסתרת הודעות חשובות ומייצר תסכול ובלבול אצל העובד.
פנייה יזומה ב-Microsoft Teams: זמן קצר לאחר מכן, העובד מקבל הודעת צ'אט או שיחת קול בחשבון ה-Teams שלו. השולח מופיע תחת שם שנראה לגיטימי לחלוטין, כגון "IT Service Desk", ולעיתים בצירוף שם פרטי כמו Liam, Ethan או Scott.
הצעת פתרון ודרישת גישה מרחוק: התוקפים מציינים כי הם מודעים לתקלה בתיבת הדואר של העובד ומציעים לפתור אותה. כדי לעשות זאת, הם מבקשים מהעובד לאפשר להם שליטה מרחוק במחשבו. כדי להקל על הביצוע, התוקפים מבקשים מהעובדים להשתמש בכלי המובנה Quick Assist - רכיב הכלול במערכת ההפעלה Windows של חברת מיקרוסופט, החתום דיגיטלית על ידי החברה ואינו דורש התקנה מיוחדת. העובד נדרש רק לספק קוד בן שש ספרות המופיע על המסך, ובכך הוא מעניק לתוקפים שליטה מלאה במחשבו.
ניצול הגדרות ברירת המחדל של Microsoft Teams
הגורם המרכזי שמאפשר את הצלחת התרמית אינו באג בתוכנה, אלא הגדרת ברירת המחדל של Microsoft Teams. כברירת מחדל, המערכת מופעלת עם גישה חיצונית פתוחה (Federation). פירוש הדבר הוא שכל משתמש בעל חשבון Microsoft 365 יכול ליצור קשר בצ'אט או בשיחה עם עובדים בארגונים אחרים, אלא אם כן צוות האבטחה של הארגון שינה את ההגדרות מראש.
התוקפים מנצלים תכונה זו כדי לפנות לעובדים מחוץ לארגון מתוך סביבת ענן שונה (Tenant), מבלי שהמערכת תחסום אותם או תציג אזהרה בולטת. מדובר בניצול לרעה של יכולת שיתוף פעולה לגיטימית שנועדה להקל על תקשורת בין-ארגונית.
משליטה מרחוק ועד לפריצה רחבה לרשת
לאחר שהתוקפים מקבלים את הגישה הראשונית באמצעות Quick Assist, הם פועלים במהירות כדי להבטיח שהאחיזה שלהם במחשב לא תנותק. לצורך כך, הם מתקינים רכיבי ניהול מרחוק מסחריים (RMM) כדוגמת AnyDesk או ScreenConnect. כלים אלו מספקים לתוקפים ערוץ שליטה נפרד וקבוע, שנשאר פעיל גם אם הקישור הראשוני באמצעות Quick Assist מסתיים.
| שלב במתקפה | כלי / שיטה | מטרת התוקפים |
|---|---|---|
| יצירת עומס ובלבול | הצפת מיילים (Spam Flood) | הסתרת הודעות לגיטימיות ויצירת מצוקה |
| יצירת קשר ראשוני | צ'אט או שיחה ב-Teams | התחזות לצוות התמיכה הטכנית (IT) |
| גישה ראשונית | Quick Assist (מובנה ב-Windows) | קבלת שליטה על המחשב באמצעות קוד בן 6 ספרות |
| ביסוס אחיזה קבועה | AnyDesk / ScreenConnect | שמירה על גישה מרחוק גם לאחר ניתוק Quick Assist |
| מיפוי וסריקת רשת | כלי סריקה פנימיים | הכנת הרשת למתקפת כופר או גניבת מידע |
לאחר ביסוס הגישה, התוקפים מבצעים מיפוי נרחב של רשת המחשבים הארגונית במטרה לזהות נכסים רגישים, שרתים מרכזיים והרשאות נוספות שניתן לנצל.
צעדי מנע והמלצות לארגונים
כדי להתגונן מפני דפוס מתקפה זה, מומלץ לארגונים ולמנהלי אבטחת מידע לנקוט מספר צעדים מיידיים:
שינוי הגדרות הגישה החיצונית ב-Teams: מעבר ממצב של גישה פתוחה לכל סביבה חיצונית למצב של רשימת מורשים בלבד (Allow-list), הכוללת רק ארגונים ושותפים עסקיים מהימנים.
הגבלת שימוש בכלי ניהול מרחוק: חסימת אפשרות ההפעלה או ההתקנה של כלי RMM בלתי מורשים ברמת תחנות הקצה.
הדרכות ומודעות עובדים: העלאת המודעות בקרב העובדים לכך שהודעת צ'אט או שיחת קול ב-Teams אינן מהוות אימות זהות מוחלט, וכי צוותי תמיכה פנימיים לא יבקשו קוד גישה ל-Quick Assist ללא אימות מוקדם בערוץ מוכר.
למה זה חשוב לך
ארגונים רבים בישראל משתמשים ב-Microsoft Teams ככלי תקשורת מרכזי, ורבים מהם כלל לא שינו את הגדרות ברירת המחדל שמאפשרות פנייה מגורמים חיצוניים. אם אתם עובדים בארגון כזה, חשוב לדעת שהודעה שמופיעה כביכול מ"תמיכה טכנית" ב-Teams אינה הוכחה לזהות אמיתית - גם אם השם נשמע רשמי ומוכר. לפני שאתם מאפשרים לגורם כלשהו גישה מרחוק למחשב שלכם, ודאו בערוץ נפרד ומוכר שאכן מדובר בצוות ה-IT הפנימי של הארגון. מתקפה מוצלחת אחת עלולה להוביל לחדירה לכל רשת הארגון ולפגיעה בנתונים רגישים של עובדים ולקוחות כאחד.
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
קראו גם: Percepto משיקה את Axion: פלטפורמת AI לניתוח נתוני רחפנים וחיישנים · Oura תובעת שוב את Ultrahuman ודורשת לחסום מכירת טבעת מתחרה
