Νέο κύμα οργανωμένων κυβερνοεπιθέσεων έχει θέσει σε επιφυλακή τον χρηματοπιστωτικό τομέα στις Ηνωμένες Πολιτείες, καθώς ομάδες χάκερ αξιοποιούν τηλεφωνικές απάτες και παραπλανητικές ιστοσελίδες για να υποκλέψουν στοιχεία σύνδεσης εργαζομένων και να αποκτήσουν πρόσβαση σε κρίσιμα εταιρικά συστήματα.
Σύμφωνα με στοιχεία που παρουσίασε η Google και δεδομένα διαδικτυακής ανάλυσης που εξέτασε το Reuters, δεκάδες μεγάλες επιχειρήσεις και κορυφαία χρηματοπιστωτικά ιδρύματα βρέθηκαν στο στόχαστρο των επιθέσεων μέσα στον τελευταίο μήνα, με τελικό στόχο την κλοπή ευαίσθητων πληροφοριών και την απαίτηση καταβολής λύτρων.
Οι εταιρείες που βρέθηκαν στο στόχαστρο
Μεταξύ των οργανισμών που φέρεται να αποτέλεσαν στόχο των κυβερνοεγκληματιών συγκαταλέγονται οι Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group και Moody’s, καθώς και πολλές ακόμη εταιρείες του χρηματοοικονομικού κλάδου.
Οι επιθέσεις βασίστηκαν στη δημιουργία πλαστών ιστοσελίδων, οι οποίες είχαν σχεδιαστεί ώστε να μοιάζουν με επίσημες εταιρικές πλατφόρμες, με σκοπό να εξαπατήσουν εργαζομένους και να τους οδηγήσουν στην αποκάλυψη των προσωπικών τους διαπιστευτηρίων.
Το κόλπο με το τηλεφώνημα που ξεγελά ακόμη και έμπειρους υπαλλήλους
Όπως εξηγεί η Google, οι δράστες αξιοποιούν τεχνικές κοινωνικής μηχανικής (social engineering), επικοινωνώντας με εργαζομένους στα προσωπικά τους κινητά τηλέφωνα και παρουσιάζονται ως υπάλληλοι του τμήματος τεχνικής υποστήριξης της ίδιας της εταιρείας.
Σε αρκετές περιπτώσεις χρησιμοποιούν τεχνικές παραποίησης αριθμού (caller ID spoofing), με αποτέλεσμα στην οθόνη του θύματος να εμφανίζεται ο πραγματικός αριθμός του εταιρικού help desk, ενισχύοντας την αξιοπιστία της απάτης.
Στη συνέχεια ενημερώνουν τον εργαζόμενο ότι απαιτείται άμεση ενημέρωση των στοιχείων ασφαλείας, όπως των passkeys ή της πολυπαραγοντικής ταυτοποίησης (MFA), και τον καθοδηγούν σε ψεύτικες ιστοσελίδες με ονομασίες όπως passkeyhelpdesk και secure-passkey.
Μόλις ο χρήστης εισαγάγει τα στοιχεία του, οι χάκερ αποκτούν σε πραγματικό χρόνο τόσο τον κωδικό πρόσβασης όσο και τον κωδικό επιβεβαίωσης που αποστέλλεται μέσω SMS ή εφαρμογής πιστοποίησης, αποκτώντας πλήρη πρόσβαση στον λογαριασμό πριν ακόμη ολοκληρωθεί η τηλεφωνική συνομιλία.
Google: Ο στόχος είναι τα λύτρα
Η Google αποκάλυψε ότι οι κυβερνοεγκληματικές ομάδες εμφανίζονται με διαφορετικές ονομασίες, όπως Redact, Pink, Falcon και Helix.
Αν και η εταιρεία δεν σχολίασε ειδικά τα ευρήματα του Reuters, επιβεβαίωσε ότι σε ορισμένες περιπτώσεις επιχειρήσεις κατέβαλαν λύτρα στους δράστες, χωρίς ωστόσο να αποκαλύψει ποιες εταιρείες υπέστησαν επιτυχημένη παραβίαση.
Παράλληλα, το Reuters κατάφερε να ταυτοποιήσει αρκετές από τις κακόβουλες ιστοσελίδες εξετάζοντας συνολικά 72 ύποπτα domains που περιλαμβάνονταν στην έκθεση της Google.
Ο επικεφαλής αναλυτής απειλών της Google Threat Intelligence Group, Όστιν Λάρσεν, διευκρίνισε ότι η ύπαρξη των συγκεκριμένων ιστοσελίδων δεν σημαίνει πως όλες οι επιθέσεις ολοκληρώθηκαν με επιτυχία, αλλά ότι χρησιμοποιήθηκαν σε οργανωμένες απόπειρες παραβίασης.
«Ο άνθρωπος παραμένει το πιο αδύναμο σημείο»
Οι ειδικοί επισημαίνουν ότι, παρά τη σημαντική πρόοδο των συστημάτων κυβερνοασφάλειας, οι επιθέσεις που βασίζονται στην εξαπάτηση των χρηστών εξακολουθούν να είναι ιδιαίτερα αποτελεσματικές.
Ο υπεύθυνος πληροφοριών κυβερνοαπειλών του Retail and Hospitality ISAC, Λι Κλαρκ, σημειώνει ότι όσο ενισχύονται οι τεχνολογικές άμυνες, τόσο περισσότερο οι εγκληματίες στρέφονται στον ανθρώπινο παράγοντα.
Χαρακτηριστικά παρομοίασε την τακτική αυτή λέγοντας ότι, όταν το «τείχος» ασφαλείας γίνεται απροσπέλαστο, οι επιτήδειοι επιλέγουν να πείσουν τον ίδιο τον φύλακα να τους ανοίξει την πόρτα.
Στο ίδιο μήκος κύματος κινήθηκε και ο Όστιν Λάρσεν, υπογραμμίζοντας ότι η συγκεκριμένη τεχνική δεν αποτελεί τεχνολογικά προηγμένη μορφή κυβερνοεπίθεσης, αλλά μια μέθοδο που συνεχίζει να αποδίδει επειδή εκμεταλλεύεται την εμπιστοσύνη και το ανθρώπινο λάθος.
«Δεν πρόκειται για κάτι ιδιαίτερα εξελιγμένο. Είναι απλώς εξαιρετικά αποτελεσματικό», τόνισε.
