जब MFA, MFA नहीं होता - Retool किस तरह फ़िशिंग हमले का शिकार हुआ

 (retool.com)
5 पॉइंट द्वारा GN⁺ 2023-09-14 | 2 टिप्पणियां | WhatsApp पर शेयर करें
  • 29 अगस्त 2023 को Retool ने बताया कि spear phishing हमले के कारण 27 cloud customer accounts में अनधिकृत access हुआ
  • यह हमला SMS-आधारित phishing attack से शुरू हुआ, जिसमें कर्मचारियों को ऐसे text messages मिले जो IT विभाग की ओर से account issue के बारे में भेजे गए लग रहे थे
  • एक कर्मचारी ने text message में दिए गए लिंक से login किया, जिसने उसे एक नकली portal पर भेजा जिसमें multi-factor authentication (MFA) form शामिल था
  • हमलावर ने IT team member बनकर कर्मचारी को फोन किया और अतिरिक्त MFA codes हासिल किए, जिससे वह कर्मचारी के Okta account में एक personal device जोड़ सका
  • इसके बाद हमलावर अपना स्वयं का Okta MFA बना सका, जिससे हमलावर के device पर GSuite session सक्रिय हो गया
  • हमलावर ने compromised Google account के भीतर मौजूद सभी MFA tokens तक access प्राप्त किया, जिससे Retool के internal systems तक पहुंच मिली और कुछ customer accounts पर account takeover attack किया गया
  • Retool ने सभी internal authentication sessions रद्द किए, प्रभावित accounts की access सीमित की, प्रभावित customers को सूचित किया, और उनके accounts को मूल स्थिति में बहाल करके प्रतिक्रिया दी
  • Retool के on-premise customers प्रभावित नहीं हुए, क्योंकि वे "zero trust" environment में पूरी तरह स्वतंत्र रूप से operate करते हैं
  • यह घटना software-आधारित OTPs के लिए MFA की कमजोरियों और Google Authenticator के cloud sync feature से जुड़े जोखिमों को उजागर करती है
  • Retool ने सुझाव दिया कि Google को Google Authenticator के dark patterns (यानी cloud sync चालू करने के लिए प्रेरित करने वाले डिज़ाइन) हटाने चाहिए, या संगठनों को इसे disable करने की सुविधा देनी चाहिए
  • कंपनी ने social engineering के प्रति जागरूकता के महत्व और ऐसी systems की आवश्यकता पर जोर दिया जो पूरे system को प्रभावित करने वाली मानवीय त्रुटियों को रोक सकें
  • Retool ने पहले ही internally human-in-the-loop workflows लागू किए हैं और उन्हें customers के लिए अपने product में भी लागू करने की योजना रखता है
  • कंपनी ने customers को अपनी threat model समझने और अतिरिक्त सुरक्षा उपाय, जैसे action execute करने या कई कर्मचारियों की approval मांगने वाले escalation flows, एकीकृत करने की सिफारिश की

संबंधित पढ़ाई

2 टिप्पणियां

 
kunggom 2023-09-15

जैसा कि बताया गया है, लगता है कंपनी की अंदरूनी स्थिति से अच्छी तरह वाकिफ किसी व्यक्ति ने काफ़ी targeted spear-phishing की कोशिश की थी।
यहाँ तक कि उसे कंपनी की internal process की ही नहीं, बल्कि असली कर्मचारी की आवाज़ को deepfake से synthesize करके कॉल करने लायक जानकारी भी थी।
और ऊपर से Google Authenticator के cloud sync फीचर का इस्तेमाल करके OTP को बेअसर कर दिया गया—काफ़ी डरावना है…
 
GN⁺ 2023-09-14
Hacker News राय
  • यह लेख एक परिष्कृत phishing हमले पर चर्चा करता है, जिसमें multi-factor authentication (MFA) का दुरुपयोग किया गया और deepfake तकनीक का इस्तेमाल हुआ।
  • टिप्पणीकारों का सुझाव है कि cloud-आधारित MFA codes कमजोर होते हैं, और वे SMS-आधारित MFA को अधिक सुरक्षित विकल्प के रूप में सुझाते हैं।
  • security training के महत्व पर जोर दिया गया है, और सलाह दी गई है कि अनपेक्षित जानकारी अनुरोधों की पुष्टि के लिए अनुरोधकर्ता से किसी ज्ञात और विश्वसनीय चैनल के माध्यम से संपर्क किया जाए।
  • हमले में deepfake तकनीक के इस्तेमाल पर संदेह जताया गया है, क्योंकि इसके लिए आवश्यक internal जानकारी की मात्रा काफी अधिक है।
  • कंपनी द्वारा hardware 2FA का उपयोग न करने की आलोचना की गई है, जिसे अधिक सुरक्षित और सस्ता माना जाता है।
  • इस बात पर सवाल उठाया गया है कि Google cloud में codes sync करने की सिफारिश क्यों करता है, और security बेहतर करने के लिए encrypted backups और FIDO2 इस्तेमाल करने का सुझाव दिया गया है।
  • OTPs (one-time passwords) को पुराना माना गया है, और U2F, WebAuthn, Passkeys जैसे phishing-resistant authenticators को विकल्प के रूप में सुझाया गया है।
  • कर्मचारियों की आवाज़ का deepfake बनाकर और internal company processes की जानकारी के साथ किए गए इस हमले की परिष्कृत प्रकृति का उल्लेख किया गया है।
  • कंपनी के security रवैये की आलोचना की गई है, और सुझाव दिया गया है कि बुनियादी security measures को ठीक किया जाना चाहिए।
  • हमले के विस्तृत खुलासे की इस कारण सराहना की गई है कि यह समझने में आसान है और community को security measures बेहतर करने में मदद कर सकता है।
  • इस बात पर सवाल उठाया गया है कि हमलावरों ने कर्मचारियों की आवाज़ की deepfake बनाने के लिए पर्याप्त audio recordings कैसे हासिल कीं, जो insider involvement की संभावना की ओर इशारा करता है।
  • इस घटना ने बातचीत की recordings और internal processes के लीक होने की संभावना को लेकर चिंताएँ बढ़ा दी हैं।