Okta แจ้งเตือนกลุ่มแฮ็กเกอร์มุ่งเป้าการโจมตีไปยังแผนก IT help desks เพื่อเข้าถึง User Admin และปิดการใช้งาน MFA

    Okta บริษัทจัดการข้อมูลประจำตัว และการเข้าถึงข้อมูล ออกมาแจ้งเตือนการโจมตีรูปแบบ Social Engineering ที่มีการกำหนดเป้าหมายไปที่ฝ่าย IT service desk ในสหรัฐอเมริกา โดยมีการพยายามหลอกให้พวกเขารีเซ็ต multi-factor authentication (MFA) ของผู้ใช้งานที่มีสิทธิ์สูง ซึ่งเป้าหมายของผู้โจมตีคือขโมย Super Administrator ที่มีสิทธิ์สูง เพื่อเข้าถึง และใช้ข้อมูลส่วนตัวของผู้ที่ถูกโจมตีมาแอบอ้าง

    Okta สังเกตพบเหตุการณ์นี้ในช่วงวันที่ 29 กรกฎาคมถึง 19 สิงหาคม โดยระบุว่าก่อนที่ผู้โจมตีจะโทรหาแผนก IT service desk ขององค์กรเป้าหมาย ผู้โจมตีอาจมีรหัสผ่านสำหรับบัญชีที่มีสิทธิ์ หรือสามารถแก้ไขขั้นตอนการตรวจสอบสิทธิ์ผ่าน Active Directory (AD) ได้แล้ว

    หลังจากที่สามารถเข้าถึงบัญชี Super Administrator ได้สำเร็จแล้ว ผู้โจมตีจะใช้สิทธิ์ของผู้ดูแลระบบเพื่อยกระดับสิทธิ์บัญชีอื่น ๆ และรีเซ็ตระบบตรวจสอบสิทธิ์ รวมไปถึงยังลบการป้องกันการตรวจสอบสิทธิ์ 2FA สำหรับบางบัญชีอีกด้วย

มาตรการรักษาความปลอดภัยเพื่อปกป้องบัญชีผู้ดูแลระบบจากผู้โจมตีภายนอกที่ Okta แนะนำมีดังนี้

• บังคับใช้การตรวจสอบสิทธิ์แบบป้องกันการฟิชชิ่งโดยใช้ Okta FastPass และ FIDO2 WebAuthn
• ต้องมีการ re-authentication สำหรับการเข้าถึงแอปที่ได้รับสิทธิ์ รวมถึงหน้าคอนโซลของผู้ดูแลระบบ
• ใช้ข้อมูลสำหรับพิสูจน์ตัวตนที่มีความยากต่อการคาดเดา สำหรับการกู้คืน และจำกัดการเข้าถึงเฉพาะเครือข่ายที่เชื่อถือได้
• ปรับปรุงเครื่องมือการจัดการ และการตรวจสอบระยะไกล (RMM) และบล็อกเครื่องมือที่ไม่ได้รับอนุญาตให้ใช้งาน
• ปรับปรุงการตรวจสอบบุคคลที่ขอความช่วยเหลือด้วยการตรวจสอบด้วยภาพ, ตรวจสอบ MFA และการอนุมัติจากผู้บริหารองค์กร
• เปิดใช้งาน และทดสอบการแจ้งเตือนสำหรับอุปกรณ์ใหม่ และพฤติกรรมที่น่าสงสัย
• จำกัดสิทธิ์ผู้ดูแลระบบระดับสูงให้สามารถจัดการการเข้าถึง และมอบหมายงานที่มีความเสี่ยงสูงเท่านั้น
• อุปกรณ์ที่ผู้ดูแลระบบลงชื่อเข้าใช้ควรมีการจัดการด้วย MFA ที่สามารถป้องกันการฟิชชิ่ง และจำกัดการเข้าถึงจากเครือข่ายที่เชื่อถือได้

Ref : bleepingcomputer

Okta: Credential stuffing accounts for 34% of all login attempts

   Okta ระบุพบการพยายามโจมตีด้วยวิธีการ Credential stuffing กับบัญชีผู้ใช้งานกว่า 34% ของการเข้าใช้งานทั้งหมดการโจมตีในรูปแบบ Credential stuffing ถูกพบเพิ่มขึ้นเป็นจำนวนมากในช่วงไตรมาสแรกของปี 2565 ซึ่งปริมาณการพยายามเข้าใช้งานบัญชีในลักษณะดังกล่าวแซงหน้าการพยายามเข้าสู่ระบบตามปกติจากผู้ใช้งานทั่วไปในบางประเทศการโจมตีประเภทนี้เป็นการใช้ประโยชน์จากรหัสผ่านที่รั่วไหลออกมาจากบริการต่าง ๆ ก่อนหน้านี้ เพื่อพยายามเข้าสู่ระบบในบริการอื่น ๆ ที่ผู้ใช้งานอาจใช้ login name และ password เดียวกัน

    รายงานจาก FBI เมื่อเร็ว ๆ นี้พบว่า การโจมตีลักษณะนี้มีจำนวนเพิ่มขึ้นเนื่องจากปริมาณข้อมูลบัญชีผู้ใช้งานจากระบบต่าง ๆ ที่รั่วไหลมากขึ้นและเครื่องมือของแฮ็กเกอร์ที่สามารถนำบัญชีเหล่านั้นนำมาใช้ทดสอบกับเว็บไซต์ต่าง ๆ ได้ง่ายขึ้น

    Okta รายงานว่าพบพฤติกรรมการพยายามเข้าสู่ระบบมากกว่า 1 หมื่นล้านครั้งบนแพลตฟอร์มของพวกเขาในช่วง 3 เดือนแรกของปี 2022 โดยคิดเป็นประมาณ 34% ของการเข้าใช้งานทั้งหมด ซึ่งหมายความว่าหนึ่งในสามของความพยายามเข้าสู่ระบบเป็นพฤติกรรมที่เป็นอันตรายเนื่องจากการโจมตีส่วนใหญ่เป็นการพยายามสุ่มใช้ข้อมูลส่วนตัวจำนวนมากในระยะเวลาอันสั้น แพลตฟอร์มที่ถูกโจมตีจะมีปริมาณของการใช้งานเพิ่มขึ้นอย่างรวดเร็วถึงสิบเท่าตัวอย่างในรายงานของ Okta คือการโจมตีอย่างต่อเนื่องเกือบสองเดือน จนสิ้นสุดในเดือนมกราคม 2022

    Okta รายงานว่าส่วนใหญ่ความพยายามจะมุ่งเป้าไปที่บัญชีของบริษัทประเภท ค้าปลีก, eCommerce นอกจากนี้ยังมีบัญชีของบริษัทที่เกี่ยวข้องกับการศึกษาพลังงาน บริการทางการเงิน และซอฟต์แวร์

    ตัวอย่างล่าสุดของการโจมตีด้วยวิธี credential stuffing บนแพลตฟอร์ม e-commerce กับลูกค้าของ North Face ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงบัญชีของผู้ใช้ได้ประมาณ 200,000 บัญชีการป้องกันการโจมตีด้วยวิธี credential stuffing เป็นความรับผิดชอบหลักของแพลตฟอร์มต่าง ๆ ที่ควรใช้การตรวจสอบในเชิงรุก เช่น การแบนบัญชีผู้ใช้งานชั่วคราวสำหรับบัญชีที่น่าสงสัยส่วนในฝั่งของผู้ใช้งาน ควรเปิดการใช้งาน multi-factor authentication และการตั้งค่ารหัสผ่านที่รัดกุม และไม่ซ้ำกันสำหรับบัญชีออนไลน์ทั้งหมดซึ่งส่วนใหญ่สามารถป้องกันได้เพียงพอต่อการโจมตีด้วยวิธีนี้

Credential stuffing accounts for 34% of all login attempts