Das Cybersicherheitsunternehmen ReliaQuest bestätigte, dass einer seiner Mitarbeiter Opfer eines Social-Engineering-Angriffs wurde, bei dem sich die Angreifer als Mitglied des Sicherheitsteams ausgaben. Ihr Versuch, auf die Systeme und Daten des Unternehmens zuzugreifen, war jedoch nicht erfolgreich. Das Unternehmen erklärte, die Angreifer hätten mehrere Mitarbeiter telefonisch kontaktiert und versucht, sie auf eine gefälschte Anmeldeseite für den Single Sign-On (SSO)-Dienst zu leiten, die hinter einem Content-Delivery-Netzwerk gehostet wurde.
Der Vorfall begann, nachdem die Threat-Research-Einheit von ReliaQuest vor einer Kampagne gewarnt hatte, die sie der Erpressergruppe ShinyHunters zuschreibt. Diese beruht auf der Registrierung von Domains unter der Endung .claims und der Erstellung von Adressen, die den Domains von Helpdesks und IT-Teams der angegriffenen Organisationen ähneln. Das Unternehmen erklärte, die Domains folgten einem Muster, bei dem der Name oder die Abkürzung der Organisation vor der Endung steht. Quellen von BleepingComputer identifizierten die in diesem Vorfall verwendete Domain als reliaquest.claims.
Vorübergehender Zugriff, ohne die Anwendungen zu erreichen
Einem der anvisierten Mitarbeiter gelang es, seine Zugangsdaten auf der gefälschten SSO-Seite einzugeben. Außerdem bestätigte er über sein Telefon eine Multi-Faktor-Authentifizierungsbenachrichtigung. Dadurch erhielt der Angreifer vorübergehend schreibgeschränkten Zugriff auf das Identitäts-Dashboard von ReliaQuest. Offenbar verwendete der Angreifer während der Voice-Phishing-Anrufe den Namen eines echten Mitarbeiters aus dem Sicherheitsteam.
Der Zugriff entwickelte sich jedoch nicht zu einem umfassenderen Einbruch. Das Unternehmen erklärte, Gerätesicherheitskontrollen hätten nachfolgende Zugriffsversuche auf Anwendungen über das Identitäts-Dashboard verhindert. Bei dem Versuch, diese Anwendungen zu nutzen, sei der Angreifer weiterhin abgewiesen worden. Laut ReliaQuest wurde auf keine ihrer Anwendungen oder Systeme zugegriffen, und Kundendaten waren nicht betroffen.
Das Unternehmen beendete die Sitzungen des Angreifers, widerrief das offengelegte Passwort und setzte alle Authentifizierungstoken zurück. Außerdem überprüfte es seit dem 21. August die korrekte Anwendung der Zugriffskontrollen, der Gerätesicherheitskontrollen und des Zugriffs aus dem Netzwerk heraus. Das Unternehmen erklärte, die Untersuchung habe keine Hinweise auf den Zugriff auf weitere Konten, Anwendungen oder Daten beziehungsweise auf die Einrichtung eines dauerhaften Zugangs zu seinen Systemen durch den Angreifer ergeben.
Was zeigt dieser Vorfall in der Praxis?
Der Vorfall zeigt, dass ein erfolgreicher Phishing-Angriff, der Diebstahl von Zugangsdaten und die Zustimmung zu einer MFA-Anfrage nicht automatisch bedeuten, dass der Angreifer auf Unternehmensressourcen zugreifen kann. In diesem Fall stoppte eine nachgelagerte Kontrollschicht die Versuche, die von einem Gerät oder aus einem Kontext stammten, der die Vertrauensanforderungen nicht erfüllte. Diese Einschätzung beruht auf der von ReliaQuest beschriebenen Abfolge des Vorfalls und ist kein Beleg dafür, dass die Multi-Faktor-Authentifizierung allein den Einbruch verhindert hat.
ShinyHunters veröffentlichte Screenshots, die nach Angaben der Gruppe den Einbruch in ein Okta-SSO-Konto eines ReliaQuest-Mitarbeiters belegten, und stellte die Screenshots anschließend auf ihre eigene Datenleck-Website. In einem Beitrag verwies die Gruppe auf frühere Berichte von ReliaQuest über sie. Außerdem erklärte sie gegenüber BleepingComputer, ihr Zugriff sei auf das Lesen beschränkt gewesen und habe keine Anwendungen, Systeme oder Kundendaten erreicht. ReliaQuest bestätigte jedoch nicht zusätzlich, dass ShinyHunters den Angriff ausgeführt hatte. Daher bleibt die Zuordnung des Vorfalls zu der Gruppe in den verfügbaren Informationen unbestätigt.