- Un grup emergent de extorcare, Helix, folosește vishing și abuz de MFA pentru a fura date din medii SharePoint.
- Află cum te poți proteja.
Un nou grup de extorcare de date, denumit Helix, a fost descoperit recent de cercetătorii în securitate. Acesta utilizează o combinație de tehnici avansate de inginerie socială – inclusiv vishing (phishing vocal), device code phishing și abuzul autentificării multifactor (MFA) – pentru a sparge conturile Microsoft 365 și a fura date sensibile din medii SharePoint.
Ce este grupul Helix și cum acționează
Potrivit specialiștilor, Helix nu este un grup tipic de ransomware, ci unul specializat în furt de date și extorcare fără criptare. Atacatorii se concentrează pe identitățile utilizatorilor, exploatând încrederea în sistemele de autentificare. Modul lor de operare include:
- Vishing: Sună victimele pretinzând că sunt de la suport IT sau Microsoft, cerându-le coduri de acces sau instalarea unor aplicații.
- Device code phishing: Îi determină pe utilizatori să introducă coduri generate de dispozitiv pe site-uri false, oferind astfel acces la token-uri de autentificare.
- Abuz MFA: Folosesc codurile furate sau sesiunile compromise pentru a ocoli MFA și a se autentifica în numele victimei.
Odată ce obțin acces, aceștia se deplasează lateral în rețea, vizând în principal documente și fișiere stocate în SharePoint, pe care le exfiltrează și le folosesc ca pârghie pentru a cere răscumpărare.
De ce este periculos acest atac
Helix profită de oboseala MFA și de încrederea excesivă a angajaților în apelurile telefonice. Spre deosebire de phishingul clasic prin email, vishingul creează o presiune psihologică mai mare. De asemenea, device code phishing este o metodă relativ nouă, greu de detectat de soluțiile tradiționale de securitate. Impactul poate fi devastator pentru companii: date furate, întreruperi operaționale și daune de reputație.
Măsuri de protecție recomandate
Pentru a contracara aceste tactici, experții sugerează:
- Educarea angajaților să nu ofere coduri de acces sau parole la telefon, indiferent de pretext.
- Implementarea unor politici stricte de autentificare – de exemplu, utilizarea numai a metodei MFA bazate pe aplicații autentificatoare și nu pe SMS sau apeluri.
- Monitorizarea activităților anormale în SharePoint, cum ar fi descărcări masive sau accesări neobișnuite.
Ce înseamnă pentru tine
Dacă folosești SharePoint la serviciu sau acasă, fii conștient că niciun sistem de securitate nu este infailibil când factorul uman este exploatat. Asigură-te că nu instalezi aplicații la cererea unor persoane necunoscute și că raportezi orice apel suspect echipei IT. În plus, verifică periodic jurnalele de acces pentru a depista activități neautorizate. Vigilența și formarea continuă sunt cele mai bune arme împotriva acestui tip de amenințare.