Aktuální phishingová kampaň cílí na sociální služby a veřejnou správu

Jak útok funguje

Útočníci zneužívají legitimní e-mailové schránky partnerů a spolupracujících subjektů, včetně organizací jako je Asociace poskytovatelů sociálních služeb ČR. Díky tomu působí e-maily důvěryhodně a výrazně se zvyšuje pravděpodobnost, že příjemce na zprávu zareaguje.

Typicky se jedná o e-maily s předměty jako:

• „Faktura“
• „Neuhrazená platba“
• „Dokument k podpisu“

Součástí zprávy bývá odkaz na externí úložiště (např. OneDrive, Dropbox, SharePoint nebo jiné weby). Po kliknutí je uživatel vyzván k přihlášení ke svému e-mailu nebo cloudové službě. V tomto okamžiku dochází ke kompromitaci přihlašovacích údajů.

Napadený účet je následně okamžitě zneužit k dalšímu šíření útoku, čímž vzniká řetězová reakce napříč organizacemi.

Doporučení pro zaměstnance

Základní obrana stojí na informovanosti a obezřetnosti uživatelů.

Zaměstnanci by měli být o této kampani aktivně informováni a upozorněni zejména na následující rizika:

• Neočekávané faktury nebo dokumenty je nutné vždy ověřit jiným komunikačním kanálem, ideálně telefonicky u odesílatele
• Nikdy nezadávat přihlašovací údaje po kliknutí na odkaz v e-mailu, zejména pokud jde o údajnou fakturu nebo dokument
• Všímat si přesměrování mezi více webovými stránkami, což je typický znak phishingu
• V případě podezření okamžitě zavřít stránku a kontaktovat IT podporu

Technická opatření pro IT správce

Z pohledu IT je klíčové včasné odhalení kompromitovaných účtů a omezení šíření útoku.

Doporučujeme zaměřit se zejména na:

• Pravidelnou kontrolu přihlašovacích logů napříč platformami (např. Microsoft 365, Google Workspace, Exchange apod.), zejména na přihlášení z neobvyklých lokalit nebo IP adres
• Monitoring odchozí e-mailové komunikace a detekci nestandardního množství odeslaných zpráv z jednoho účtu
• Zavedení a důsledné vynucování vícefaktorového ověřování (MFA), které výrazně snižuje riziko zneužití účtu
• Kontrolu pravidel přeposílání e-mailů, která si útočníci často nastavují pro další sledování komunikace
• Úpravu antispamových filtrů a blokaci odkazů vedoucích na neznámé nebo nedůvěryhodné domény

Shrnutí

Tato kampaň je nebezpečná zejména tím, že využívá důvěru mezi organizacemi a šíří se z legitimních účtů. Kombinace technických opatření a zvýšené obezřetnosti uživatelů je v tomto případě zásadní.

Tato výstraha byla připravena v rámci sdílení bezpečnostních informací s cílem zajistit kontinuitu péče v sektoru sociálních služeb.
Více informací naleznete na www.kyberpece.cz.