- Vào ngày 29/8/2023, Retool báo cáo rằng 27 tài khoản khách hàng trên đám mây đã bị truy cập trái phép do một cuộc tấn công spear phishing
- Cuộc tấn công bắt đầu thông qua một chiến dịch lừa đảo dựa trên SMS, trong đó nhân viên nhận được tin nhắn văn bản giả mạo như thể do bộ phận IT gửi về sự cố tài khoản
- Một nhân viên đã đăng nhập qua liên kết được cung cấp trong tin nhắn, liên kết này dẫn tới một cổng giả có chứa biểu mẫu xác thực đa yếu tố (MFA)
- Kẻ tấn công giả danh thành viên nhóm IT và gọi điện cho nhân viên để lấy thêm mã MFA, qua đó có thể thêm thiết bị cá nhân vào tài khoản Okta của nhân viên
- Sau đó, kẻ tấn công có thể tạo MFA Okta của riêng mình, từ đó kích hoạt phiên GSuite trên thiết bị của kẻ tấn công
- Kẻ tấn công tiếp tục truy cập mọi token MFA trong tài khoản Google đã bị xâm phạm, từ đó truy cập vào các hệ thống nội bộ của Retool và thực hiện tấn công chiếm quyền đối với một số tài khoản khách hàng cụ thể
- Retool đã phản ứng bằng cách hủy mọi phiên xác thực nội bộ, hạn chế quyền truy cập đối với các tài khoản bị ảnh hưởng, thông báo cho khách hàng bị ảnh hưởng và khôi phục tài khoản của họ về trạng thái ban đầu
- Các khách hàng on-premise của Retool vận hành trong môi trường "zero trust" và hoàn toàn độc lập nên không bị ảnh hưởng
- Sự cố này nhấn mạnh điểm yếu của MFA dựa trên OTP phần mềm và các rủi ro liên quan đến tính năng đồng bộ đám mây của Google Authenticator
- Retool đề xuất Google nên loại bỏ dark pattern của Google Authenticator (buộc người dùng bật đồng bộ đám mây) hoặc cung cấp khả năng để tổ chức có thể vô hiệu hóa tính năng này
- Công ty nhấn mạnh tầm quan trọng của nhận thức về social engineering và sự cần thiết của các hệ thống có thể ngăn lỗi con người ảnh hưởng đến toàn bộ hệ thống
- Retool cho biết họ đã triển khai nội bộ các quy trình workflow có con người trong vòng lặp và có kế hoạch đưa chúng vào sản phẩm dành cho khách hàng
- Công ty khuyến nghị khách hàng hiểu rõ mô hình đe dọa của mình và tích hợp thêm các biện pháp bảo vệ như các luồng escalation yêu cầu phê duyệt từ nhiều nhân viên trước khi thực hiện hành động
2 bình luận
Nếu đúng như mô tả, có vẻ đã có ai đó khá am hiểu tình hình nội bộ công ty thực hiện một đợt spear phishing. Họ không chỉ nắm rõ quy trình nội bộ của công ty mà còn tới mức gọi điện bằng giọng nói deepfake mô phỏng giọng của nhân viên thật. Đã vậy còn vô hiệu hóa OTP bằng tính năng đồng bộ đám mây của Google Authenticator nữa, thật đáng sợ…
Ý kiến trên Hacker News