Jak wykrywać i zapobiegać atakom phishingowym w usłudze Microsoft Office 365
Naruszenia bezpieczeństwa danych w usłudze Microsoft 365 mogą spowodować poważne szkody w każdej firmie korzystającej z tego pakietu SaaS. Ponieważ większość cyberataków rozpoczyna się od e-maila phishingowego, niezawodna ochrona przed phishingiem w usłudze Microsoft 365 ma kluczowe znaczenie dla zabezpieczenia danych firmowych.
W tym wpisie wymieniono różne rodzaje e-maili phishingowych w usłudze Microsoft 365 oraz wyjaśniono, jak je wykrywać. Zapoznaj się z tym artykułem, aby poznać strategie zwiększające bezpieczeństwo Twojej organizacji przed cyberatakami.
Czym jest phishing w usłudze Microsoft Office 365?
Zanim przejdziemy do omówienia rodzajów ataków i środków zaradczych, zdefiniujmy pojęcie phishingu. Zrozumienie charakteru tego konkretnego zagrożenia cybernetycznego pomaga ekspertom IT skutecznie chronić infrastrukturę biznesową i dane przed nim.
Definicja phishingu
Specjaliści ds. bezpieczeństwa określają phishing jako taktykę cyberataku, która wykorzystuje elementy inżynierii społecznej za pośrednictwem wiadomości e-mail w celu oszukania użytkownika i doprowadzenia do naruszenia bezpieczeństwa informatycznego. Cel tego oszustwa może być różny – od podania hasła po pobranie złośliwego oprogramowania dołączonego do e-maila. Większość ataków oprogramowania wymuszającego okup ma miejsce po naruszeniu cyberbezpieczeństwa spowodowanym phishingiem.
Dlaczego Microsoft Office 365 jest częstym celem phishingu
Hakerzy atakują infrastrukturę Microsoft 365 ze względu na wartość danych i potencjalne zyski, jakie mogą wyniknąć z ich kradzieży. Zazwyczaj tworzą wiadomości phishingowe dotyczące O365, które wyglądają znajomo dla ofiary. Może to być prośba o pomoc od kolegi, wiadomości firmowe lub odnowienie subskrypcji usługi. Aby złośliwe wiadomości e-mail wyglądały na autentyczne, adresy nadawców są zazwyczaj sfałszowane tak, aby na pierwszy rzut oka wydawały się poprawne.
Kolejnym wyzwaniem jest to, że inżynieria społeczna w ogóle, a phishing w Microsoft 365 w szczególności, ewoluuje, stając się coraz bardziej wyrafinowana i skuteczna. Hakerzy potrafią dostosować swoje wiadomości e-mail do aktualnych wydarzeń lokalnych i globalnych, stosować spersonalizowane podejście oraz zwiększać wiarygodność wiadomości za pomocą innych nowych sztuczek. Sztuczna inteligencja jest prawdopodobnie najbardziej groźnym narzędziem, które zwiększa niebezpieczeństwo w tym zakresie. AI może zwiększyć częstotliwość i wpływ cyberataków na każdym etapie, od wstępnego rozpoznania i infiltracji po oprogramowanie wymuszające okup wykorzystujące sztuczną inteligencję.
Rodzaje ataków phishingowych w Microsoft Office 365
Zrozumienie różnych rodzajów ataków phishingowych może pomóc w skutecznej ochronie infrastruktury i danych organizacji przed tym zagrożeniem.
Phishing masowy
Metoda ta polega na wysyłaniu dziesiątek tysięcy wiadomości e-mail do wszystkich odbiorców, których haker ma w swojej bazie danych. Phishing masowy nie polega na selektywnym podejściu; wiadomości te są zazwyczaj skierowane do jak najszerszego grona odbiorców, ponieważ opierają się na liczbie, a nie na treści. Phishing masowy jest częstym zjawiskiem, ale stosunkowo łatwym do wykrycia. Wbudowane filtry oszustw i spamu w Microsoft Office 365 mogą skutecznie wykrywać i wyróżniać wiadomości e-mail związane z phishingiem masowym.
Spear phishing
W przeciwieństwie do masowego phishingu, spear phishing opiera się na zaawansowanej inżynierii społecznej, pozwalającej tworzyć wysoce spersonalizowane wiadomości. Ataki te są skierowane do konkretnych użytkowników, co sprawia, że ten rodzaj phishingu jest skuteczniejszy niż jakikolwiek inny cyberatak.
Przed stworzeniem wiadomości e-mailowej wykorzystującej spear phishing hakerzy mogą przeprowadzić wstępny rekonesans w celu zebrania informacji o docelowej organizacji, jej partnerach, kadrze kierowniczej i pracownikach. Narzędzia wspomagane sztuczną inteligencją sprawiają, że badania te są prostsze i szybsze, dlatego możemy spodziewać się, że próby spear phishingu będą coraz częstsze.
Atakujący wykorzystują zebrane dane do stworzenia pozornie wiarygodnej wiadomości zawierającej nazwiska, lokalizacje, numery telefonów lub wydarzenia znane ofierze. Podsumowując, spear phishing jest dla atakującego bardziej czasochłonny niż masowy phishing, ale też skuteczniejszy.
Whaling
W swej istocie whaling jest podtypem spear phishingu, który atakuje przede wszystkim wysokich rangą kadrę kierowniczą, inwestorów i właścicieli firm. Hakerzy dostosowują wiadomości e-mailowe typu whaling tak, aby wyglądały jak zapytania mediów, wiadomości finansowe lub kontakty biznesowe, aby przyciągnąć i zmanipulować osoby na najwyższych stanowiskach. Na przykład wiadomości typu whaling naśladują faktury płatnicze, prośby klientów lub umowy partnerskie.
Nieświadome ofiary są pożądanymi celami ze względu na wiedzę i dane, które posiadają, oraz poziom dostępu do systemu, jaki zazwyczaj mają ich konta firmowe. Przejęcie konta kierowniczego może dać hakerom znaczące uprawnienia dostępu do poufnych informacji. Następnie mogą oni wykorzystać to naruszenie do zorganizowania ataku na dużą skalę.
Oszustwo typu „CEO fraud”
Innym rodzajem taktyki phishingowej w Office 365 jest oszustwo typu „CEO fraud”. W takich e-mailach phishingowych atakujący może podszywać się pod dyrektora generalnego, który dzieli się z pracownikami ważną informacją. Na przykład e-mail może wyglądać jak istotna aktualizacja zasad lub pilna prośba o przelew finansowy. Cel pozostaje jednak ten sam: oszukać odbiorców i skłonić ich do udostępnienia danych, kliknięcia złośliwego linku lub pobrania zainfekowanego załącznika.
Aby lepiej zrozumieć ten rodzaj phishingu, wyobraź sobie osobę oczekującą awansu zawodowego i otrzymującą wiadomość e-mail na ten temat. Atakujący najprawdopodobniej sfałszowaliby adres e-mail, skopiowali układ firmowej wiadomości e-mail, a dzięki obecnym możliwościom sztucznej inteligencji nawet naśladowaliby styl komunikacji dyrektora generalnego tej organizacji. Członek zespołu czyta wiadomość od fałszywego dyrektora, a następnie, postępując zgodnie z instrukcjami, klika link i przeprowadza wdrażanie oprogramowania wymuszającego okup w środowisku korporacyjnym.
Ominięcie filtrów
Firma Microsoft wdrożyła skuteczny filtr phishingowy w usłudze Office 365, który jednak nie gwarantuje stuprocentowego wykrywania złośliwych e-maili. Atakujący tworzą e-maile phishingowe, które potrafią ominąć filtry oprogramowania i trafić do skrzynki pocztowej użytkownika jako e-maile wyglądające na legalne.
Ten rodzaj phishingu może obejmować:
- Osadzanie złośliwego kodu w załączonych obrazach.
- Mieszanie linków z renomowanych i znanych stron internetowych z linkami phishingowymi.
- Dodawanie dużej ilości „czystej” treści w celu ukrycia złośliwego kodu.
- Stosowanie narzędzi do skracania adresów URL.
Taktyki te są dość prymitywne i mogą nawet nie uniknąć wykrycia. Jednak wysyłając tysiące e-maili phishingowych, nawet jeden procent e-maili, które przejdą przez filtry, może spowodować wiele naruszeń bezpieczeństwa danych.
PhishPoint
PhishPoint wyróżnia się, gdy mowa o phishingu w Microsoft Office 365. Haker najpierw umieszcza złośliwy link w pliku SharePoint w wersji próbnej Microsoft 365. Następnie użytkownik otrzymuje zaproszenie do uzyskania dostępu i współpracy nad niektórymi plikami w SharePoint.
Użytkownik klika link, który przekierowuje go do fałszywego żądania dostępu do pliku OneDrive ze złośliwym adresem URL prowadzącym do kolejnej sfałszowanej strony. Strona ta jest zazwyczaj kopią ekranu logowania do Microsoft 365. Następnie użytkownik wprowadza dane logowania, które są wysyłane do bazy danych hakera zamiast zapewnić dostęp do konta Microsoft 365.
Jak wykrywać ataki phishingowe w Office 365
Teraz, gdy znasz już główne rodzaje ataków phishingowych w Microsoft 365, przejdźmy do metod ich wykrywania. Możesz skuteczniej identyfikować złośliwe wiadomości w swojej skrzynce pocztowej Office 365, sprawdzając konkretne elementy treści wiadomości e-mail.
Oznaki e-maila phishingowego
Typowe oznaki, które można znaleźć w przeciętnej wiadomości phishingowej w Microsoft Office 365, to:
- Błędy interpunkcyjne i gramatyczne: „you is”, „hallo”, „can to”.
- Błędy ortograficzne w nazwie organizacji: „SqaceX”, „Micnosoft”, „Arnazon”.
- Nieprawidłowe adresy e-mail: „support@mirosoft.com”, „press@slarbucks.com”, „johndoe@support.fasebook.com”.
- Budowanie poczucia pilności: „Twoje konto zostanie usunięte”, „Naruszenie bezpieczeństwa”, „PILNE powiadomienie”.
- Natrętne wezwania do działania – „kliknij link jak najszybciej”, „pobierz załącznik, aby zapewnić bezpieczeństwo konta”, „skontaktuj się z nami natychmiast za pomocą tego formularza”.
Narzędzia sztucznej inteligencji znacznie podniosły poziom zagrożenia związanego z wiadomościami phishingowymi w Microsoft 365. Dzięki AI atakujący mogą generować większą liczbę wiadomości w krótkim czasie, zachowując jednocześnie akceptowalną jakość treści. E-maile generowane przez AI mogą wyglądać na autentyczne, ale uważne sprawdzanie adresów nadawców i linków może zapobiec naruszeniu bezpieczeństwa.
Skuteczne strategie zapobiegania phishingowi w Office 365
Sukces kampanii phishingowej w Microsoft Office 365 zazwyczaj opiera się na połączeniu dwóch czynników:
- Niewystarczająca ochrona przed phishingiem w Microsoft 365 w organizacji.
- Pracownicy, którzy nie są świadomi zagrożenia lub są na tyle nieostrożni, że ignorują podstawowe zasady bezpieczeństwa w Internecie.
Rozważ zastosowanie poniższych zaleceń, aby zwiększyć skuteczność ochrony przed phishingiem w O365 w swoim środowisku IT.
Skonfiguruj uwierzytelnianie wieloskładnikowe (MFA)
Microsoft oferuje wsparcie dla uwierzytelniania wieloskładnikowego dla swoich kont. MFA dodaje warstwę zabezpieczeń do procedur logowania do Microsoft 365. Po włączeniu MFA użytkownik musi wpisać jednorazowy kod weryfikacyjny otrzymany SMS-em lub wygenerowany w aplikacji uwierzytelniającej innej firmy.
Skonfigurowanie uwierzytelniania wieloskładnikowego zwiększa bezpieczeństwo M365, ponieważ kombinacja nazwy użytkownika i hasła nie wystarczy hakerom do uzyskania dostępu do konta. Firma Microsoft zaleca korzystanie z aplikacji uwierzytelniającej zamiast weryfikacji SMS ze względu na korzyści związane z bezpieczeństwem i szybkością.
Skonfiguruj zasady antyphishingowe Office 365
W usłudze Exchange Online można ustawić zasady antyphishingowe w celu zwiększenia ochrony przed phishingiem. Prawidłowa konfiguracja tych zasad umożliwia wczesne wykrywanie i blokowanie złośliwych wiadomości e-mail. System może analizować dane, takie jak domena nadawcy wiadomości e-mail, dodane adresy URL oraz potencjalne przypadki podszywania się.
Korzystaj ze standardów uwierzytelniania poczty e-mail (SPF, DKIM, DMARC)
Standardy uwierzytelniania poczty e-mail mogą zapewnić, że zarówno nadawca, jak i wiadomość e-mail są autentyczne. Standardy te są otwarte i publicznie dostępne, ale to organizacja decyduje o ich wdrożeniu. Główne standardy uwierzytelniania poczty e-mail to:
- Sender Policy Framework (SPF) – sprawdza, czy nadawca znajduje się na białej liście domen.
- DomainKeys Identified Mail (DKIM) – sprawdza szyfrowanie e-maila i jego treści przy użyciu infrastruktury klucza publicznego (PKI).
- Domain-based Message Authentication, Reporting and Conformance (DMARC) – sprawdza uwierzytelnienie domeny nadawcy przy użyciu SPF i/lub DKIM. DMARC nie jest samodzielnym standardem uwierzytelniania.
Wdrożenie standardów uwierzytelniania e-maila zazwyczaj wymaga pewnego wysiłku i czasu. Mogą one jednak znacznie zmniejszyć liczbę wiadomości phishingowych dotyczących Microsoft 365 w skrzynkach pocztowych organizacji.
Regularnie aktualizuj i instaluj poprawki oprogramowania
Ponieważ zagrożenia phishingowe nieustannie ewoluują, zabezpieczenia systemów Windows, Exchange Online, Windows Defender i aplikacji pakietu Office muszą być na bieżąco aktualizowane. Może to również obejmować rozwiązania zabezpieczające i aplikacje innych firm, z których korzysta Twoja organizacja w celu umożliwienia współpracy i wsparcia produkcji. Regularne aktualizacje pomagają chronić się przed najnowszymi zagrożeniami i łatać niedawno ujawnione luki w zabezpieczeniach.
Szkolenie pracowników
Niezależnie od rodzaju ataku, użytkownik jest głównym celem e-maili phishingowych w usłudze Microsoft 365. Jedno nieprawidłowe kliknięcie pracownika może zniweczyć skuteczność nawet najbardziej zaawansowanych (i kosztownych) systemów ochrony. Zaplanuj szkolenia z zakresu bezpieczeństwa informacji, aby upewnić się, że użytkownicy w Twojej organizacji mają wystarczającą wiedzę na temat taktyk phishingowych i potrafią odróżnić prawdziwe e-maile od fałszywych.
Ponadto zaleca się, aby edukacja w zakresie cyberbezpieczeństwa nie ograniczała się do działów IT. Dyrektorzy generalni, pracownicy działu kadr, specjaliści ds. marketingu i sprzedaży, księgowi oraz każdy w organizacji może stać się celem ataku. Każdy członek zespołu, który ma dostęp do wewnętrznego środowiska IT, musi wiedzieć o zagrożeniach i umieć wykryć e-mail phishingowy w Microsoft Office 365.
Przeprowadzaj ćwiczenia
Oprócz edukacji regularne szkolenia mogą pomóc pracownikom zachować ostrożność i monitorować skuteczność środków ochrony przed phishingiem. Co więcej, możesz łatwo uruchomić test phishingowy Microsoft 365 dzięki wbudowanemu szkoleniu z symulacją ataku. Ta symulacja jest dostępna w ramach planu Microsoft 365 E5 lub Microsoft Defender dla Office 365 Plan 2.
Po skonfigurowaniu symulacji narzędzie wysyła testowy e-mail phishingowy do wybranych użytkowników. Możesz następnie sprawdzić, jak każdy użytkownik zareagował na atak, i w razie potrzeby przydzielić mu dodatkowe materiały szkoleniowe i edukacyjne.
Tworzenie kopii zapasowych i ochrona danych Office 365 z NAKIVO
Wraz z ewolucją technik phishingowych błąd ludzki prowadzący do naruszenia bezpieczeństwa i utraty danych jest kwestią czasu, a nie tego, czy w ogóle do tego dojdzie. Gdy Twoja ochrona zostanie naruszona, a oryginalne dane ulegną utracie lub uszkodzeniu, aktualna kopia zapasowa może zaoszczędzić czas, wysiłek i pieniądze. Specjalistyczne, kompleksowe rozwiązanie, takie jak NAKIVO Backup & Replication, umożliwia wdrożenie skutecznego tworzenia kopii zapasowych i odzyskiwania danych z Microsoft 365.
Dzięki NAKIVO Backup & Replication można szybko wykonać przyrostowe kopie zapasowe danych z Microsoft 365 w Exchange Online, Microsoft Teams, SharePoint Online i OneDrive dla Firm. Rozwiązanie obsługuje wiele repozytoriów kopii zapasowych, w tym lokalne foldery Windows i Linux, platformy chmurowe (Amazon S3, Wasabi, Azure Blob, Amazon EC2 i inne magazyny zgodne z usługą S3), udziały plików SMB/NFS oraz urządzenia deduplikacyjne. Możesz włączyć szyfrowanie po stronie źródła oraz niezmienność danych, aby chronić kopie zapasowe przed dostępem osób trzecich oraz przypadkowym lub złośliwym usunięciem. Niezmienne kopie zapasowe są odporne na modyfikacje przez oprogramowanie ransomware w ustalonym okresie. W przypadku środki zapobiegawcze możesz przywrócić dane po ataku ransomware bez płacenia okupu.
Możesz skorzystać z zaawansowanej funkcji wyszukiwania, aby znaleźć i przywrócić niezbędne obiekty danych w kopiach zapasowych dla Microsoft 365. Nemal natychmiastowe odzyskiwanie pomaga spełnić wymagania zgodności z przepisami i zrealizować wnioski o e-discovery. Planowanie i automatyzacja wykonania kopii zapasowej, konfigurowalne zasady przechowywania, skalowalność na poziomie przedsiębiorstwa oraz zaawansowana wielodostępność mogą obniżyć koszty administracji. Usługa NAKIVO Backup & Replication jest dostępna w ramach subskrypcji, licencjonowana na użytkownika i obejmuje wsparcie całodobowe.
Wnioski
Ataki phishingowe na Microsoft Office 365 mogą spowodować naruszenie bezpieczeństwa, prowadząc do kradzieży lub utraty danych w każdej firmie korzystającej z tego pakietu. Aby wzmocnić ochronę organizacji przed phishingiem w Microsoft 365, można ustawić uwierzytelnianie wieloskładnikowe (MFA), skonfigurować zasady antyphishingowe, zastosować standardy uwierzytelniania e-maila oraz zaktualizować oprogramowanie. Edukowanie pracowników i prowadzenie regularnych szkoleń z zakresu cyberbezpieczeństwa może zwiększyć świadomość zagrożeń i skuteczność zapobiegania phishingowi. Korzystanie z rozwiązań do ochrony danych, takich jak NAKIVO Backup & Replication z automatycznym wykonywaniem kopii zapasowych, jest najbardziej niezawodnym sposobem na złagodzenie skutków utraty danych, która zazwyczaj następuje po naruszeniu bezpieczeństwa.
