В выпуске за 11 ноября – предупреждение бельгийского центра кибербезопасности о компрометации нескольких организаций через беспарольный вход Microsoft Entra по SMS. Точный способ получения одноразовых кодов и масштаб последствий пока не раскрыты.


Несколько организаций скомпрометированы через вход по SMS

Центр кибербезопасности Бельгии (CCB) 10 ноября сообщил об успешных атаках на несколько организаций. Злоумышленники использовали функцию SMS sign-in в Microsoft Entra ID: для входа достаточно номера телефона и одноразового кода, пароль не требуется [1]. Названия организаций, их отрасли, число затронутых аккаунтов и точный период атак не опубликованы.

Профильное издание Security.NL независимо передало основные положения предупреждения CCB [2]. При этом оба источника не объясняют, как атакующие получили коды. CCB перечисляет возможные риски SMS и голосовой аутентификации – фишинг, перехват и замена SIM-карты, – но не связывает наблюдавшиеся компрометации с каким-либо одним способом.

Слабое место этой схемы состоит в том, что SMS использовался как первый фактор. Злоумышленнику не нужно было узнавать или обходить пароль: номер телефона и действующий код открывали доступ к аккаунту.

CCB советует проверить журналы входа и аудита. Среди признаков возможной компрометации центр называет успешные входы по SMS, смену телефонного номера или метода аутентификации, необычные устройства и местоположения, а также последующие изменения правил почтового ящика и согласий приложениям.

Организациям рекомендовано сначала определить пользователей и процессы, зависящие от SMS и голосовых кодов, предоставить им рабочую альтернативу, а затем отключить SMS как первый фактор. Для привилегированных учётных записей CCB предлагает убрать SMS и голосовую проверку после внедрения устойчивых к фишингу методов, например ключей доступа или FIDO2.

Источники

[1] https://ccb.belgium.be/advisories/warning-multiple-belgian-organisations-compromised-through-sms-sign-disable-sms-first

[2] https://www.security.nl/posting/961099/Belgische+overheid+waarschuwt+voor+misbruik+van+inloggen+via+sms?channel=rss