- Масова кампанія: 115.000 13.500 електронних листів у п'яти партіях, спрямованих на XNUMX XNUMX компаній у всьому світі.
- Приманка: підроблені запрошення до Google Classroom з комерційними пропозиціями та перенаправленням на WhatsApp.
- Ухилення: Використання легітимних доменів Google для обходу фільтрів та доступу до корпоративних поштових скриньок.
- Захист: навчання, профілактика на основі штучного інтелекту та моніторинг хмарних додатків як багаторівневий підхід.
Дослідницька компанія Check Point виявила масштабну фішингову операцію, в якій використовувався Google Classroom, сервіс, широко використовуваний в освітніх установах, для проникнення в корпоративні мережі в різних секторах.
Лише за один тиждень зловмисники виконали п'ять синхронізованих хвиль , в результаті яких надіслали понад 115 000 шахрайських повідомлень приблизно 13 500 організаціям у Європі, Північній Америці, на Близькому Сході та в Азії, використовуючи довіру до легітимних сповіщень Google.
Як діяла кампанія
Основним вектором були фальшиві запрошення приєднатися до класів Classroom , які імітували фактичний процес роботи платформи, надаючи електронним листам легітимного вигляду та метаданих.
За словами дослідників, активність була зосереджена у п'ять хвиль між 6 та 12 серпня , з високим рівнем координації для максимізації охоплення та перевірки стійкості багатошарових захисних споруд.
Повідомлення надходили з дійсних доменів Google , що збільшує ймовірність обходу поштових шлюзів на основі репутації та стандартних правил.
Кампанія охопила різні галузі та кордони, вплинувши на компанії в багатьох секторах та регіонах , демонструючи, як легко широко використовувана послуга може розширити своє охоплення.
Чому воно обійшло стільки фільтрів?
Численні системи безпеки схильні довіряти трафіку, що надходить із сервісів Google ; завдяки інтеграції з власним механізмом Classroom електронні листи виглядали як звичайні повідомлення.
Цей випадок підкріплює тенденцію: кіберзлочинці використовують SaaS-додатки та хмарні платформи для розміщення або спрямування своїх атак, переходячи в середовища, які організації зазвичай вважають безпечними.
Використання відомої інфраструктури зменшило типові попереджувальні сигнали та дозволило деяким повідомленням досягти корпоративних поштових скриньок до того, як можна було вжити контрзаходів.
Приманки та тактики соціальної інженерії
Замість академічного контенту запрошення містили комерційні пропозиції, не пов’язані з освітою , починаючи від перепродажу продуктів і закінчуючи нібито послугами SEO-позиціонування.
Справжньою метою було перенести розмову на WhatsApp , зовнішній канал, який менш контролюється в бізнес-середовищі та часто використовується в шахрайстві для обходу політик організації.
Серед виявлених приманок були повідомлення на кшталт: «ми перевірили ваш веб-сайт, і ваш SEO не працює...», розроблені для того, щоб спровокувати швидку відповідь та відвернути користувача від корпоративної електронної пошти.
Завдяки цій стратегії зловмисники досягли великого охоплення з низькими початковими зусиллями , повторно використовуючи легітимний потік (запрошення до класу) для встановлення масивних приманок.
Масштаби та хронологія нападу
В рамках операції було розповсюджено понад 115 000 електронних листів за лічені дні, що вплинуло на близько 13 500 компаній, зокрема, повідомляється про вплив на країни Європи, Північної Америки, Близького Сходу та Азії.
П'ятихвильова оперативна схема дозволяла вимірювати оборонні реакції, коригувати приманки та наполегливо продовжувати доставку, доки не були вичерпані всі можливості.
Рекомендації для організацій
Експерти виступають за багаторівневу та проактивну стратегію , яка поєднує технології, процеси та постійне навчання, а також рекомендації щодо роботи з кампаніями, що імітують легітимний трафік.
- Постійне навчання щоб співробітники з обережністю ставилися до неочікуваних запрошень, навіть від відомих платформ.
- Розширена профілактика за допомогою штучного інтелекту здатний аналізувати контекст і наміри, а не лише репутацію відправника чи домену.
- Розширення захисту Більше електронної пошти: охоплення інструментів для співпраці, обміну повідомленнями та інших SaaS-сервісів.
- Підвищення обізнаності про диверсії до зовнішніх каналів (таких як WhatsApp), що типово для тактик соціальної інженерії.
Також доцільно моніторити хмарні програми , активувати захист від фішингу на кінцевих точках та інтегрувати сигнали ризику між електронною поштою, системою співпраці та кінцевими точками, щоб розірвати ланцюжок атак.
Оборонна реакція та ринковий контекст
Check Point зазначила, що її технологія Harmony Email & Collaboration SmartPhish заблокувала більшість виявлених спроб, а додаткові засоби захисту не дозволили решті дійти до цілі.
Компанію було визнано лідером у GigaOm Radar для боротьби з фішингом , що є важливою віхою в рамках зростаючої конкуренції у виявленні шахрайства, яке ховається за надійними сервісами.
Окрім конкретних постачальників, інцидент підкреслює еволюцію від реактивних до превентивних заходів : передбачення моделей використання легітимних інфраструктур буде ключовим для зменшення площі атаки.
Цей випадок ілюструє, як можна маніпулювати високонадійними сервісами для глобальних кампаній; поєднання технології контекстного виявлення, навчання та політик, що спрямовані на боротьбу зі зловживаннями SaaS, є важливим для зупинення цих шахрайств, перш ніж вони процвітатимуть.
