Cảnh giác: Hacker đã có thể qua mặt MFA mà không cần dùng mã độc
Sự cố an toàn thông tin nhắm vào tài khoản Microsoft 365 của nhân viên tài chính gần đây đã cảnh báo rủi ro nghiêm trọng cho hệ thống quản lý định danh doanh nghiệp. Nhờ can thiệp vào quá trình đăng nhập, kẻ tấn công đã chiếm quyền truy cập hộp thư và chuyển hướng các khoản thanh toán cho nhà cung cấp. Đáng chú ý, chiến dịch này hoàn toàn không sử dụng mã độc, phần mềm đánh cắp thông tin hay công cụ điều khiển từ xa trên thiết bị nạn nhân.
Phương thức lừa đảo qua email giả mạo thông báo nhân sự
Theo phân tích từ các nhà nghiên cứu tại TrendAI, chiến dịch tấn công chiếm đoạt email doanh nghiệp này được thực hiện hoàn toàn trên môi trường đám mây. Kẻ tấn công mở đầu bằng việc gửi một email lừa đảo được cá nhân hóa đến nhân viên tài chính. Email sử dụng tiêu đề thông báo yêu cầu nghỉ phép bị từ chối, đi kèm chính xác tên, chức vụ và thông tin tổ chức của nạn nhân để gia tăng độ tin cậy.
Nội dung email hướng dẫn người nhận kiểm tra các ngày bị trùng lặp thông qua một nút bấm tích hợp liên kết theo dõi của SendGrid. Khi người dùng tương tác, hệ thống sẽ thực hiện một chuỗi chuyển hướng tự động, đưa nạn nhân đến trang web đăng nhập Microsoft 365 giả mạo do kẻ tấn công kiểm soát.
Cơ chế qua mặt xác thực đa yếu tố (MFA) bằng kỹ thuật AiTM
Trang đăng nhập giả mạo hoạt động như một kênh chuyển tiếp theo mô hình Adversary-in-the-Middle. Khi người dùng nhập thông tin tài khoản và thực hiện phê duyệt xác thực đa yếu tố (MFA), trang web này sẽ gửi các dữ liệu đó đến dịch vụ chính thức của Microsoft theo thời gian thực. Ngay khi hệ thống hợp pháp xác thực thành công và khởi tạo cookie phiên, kẻ tấn công sẽ thu giữ mã định danh này.
Sau khi sở hữu cookie phiên, kẻ tấn công thực hiện kỹ thuật phát lại phiên đăng nhập từ hạ tầng mạng riêng ảo (VPN) thương mại. Phương thức này cho phép họ truy cập trực tiếp vào hệ thống Microsoft 365 với tư cách người dùng hợp lệ mà không cần nhập lại mật khẩu hay mã MFA. Bằng việc khai thác quyền truy cập hộp thư, kẻ tấn công đã chọn thời điểm thích hợp để gửi các email điều chỉnh thông tin thanh toán, nhằm chuyển tiền vào các tài khoản ngân hàng do họ quản lý.
Dấu hiệu bất thường và thách thức đối với an toàn định danh
Quá trình điều tra dữ liệu viễn trắc trên Microsoft 365 đã ghi nhận các lượt truy cập tài khoản xuất hiện gần như đồng thời từ Amsterdam và Los Angeles, với khoảng thời gian chênh lệch chỉ khoảng một phút. Mô hình di chuyển bất hợp lý này là căn cứ rõ ràng xác định phiên đăng nhập đã bị can thiệp.
Trường hợp này phản ánh một điểm yếu quan trọng trong công tác bảo mật dựa trên định danh. Mặc dù cơ chế MFA đóng vai trò thiết yếu trong việc ngăn chặn các hành vi dò đoán hoặc đánh cắp mật khẩu thông thường, giải pháp này vẫn có nguy cơ bị vượt qua nếu người dùng hoàn tất quá trình xác thực trên một kênh chuyển tiếp do kẻ tấn công thiết lập. Xu hướng tấn công hiện nay cho thấy nguy cơ đang dịch chuyển từ việc thu thập thông tin đăng nhập thô sang việc chiếm đoạt các phiên trình duyệt đã được xác thực thành công.
Sự cố chiếm đoạt tài khoản Microsoft 365 kể trên cho thấy các nguy cơ an ninh mạng đang ngày càng tập trung vào các kịch bản thao túng định danh trên đám mây. Việc nhận diện chính xác cơ chế can thiệp phiên truy cập sẽ giúp các tổ chức chủ động hơn trong việc xem xét và củng cố các chính sách kiểm soát truy cập cho hệ thống thông tin của mình.
Doanh nghiệp cần làm gì để tự vệ?
Qua vụ việc này, có thể thấy tính năng Bảo mật đa lớp (MFA) thông thường (như gửi mã qua SMS hay ứng dụng tạo mã) dù rất tốt nhưng vẫn có thể bị vượt qua nếu người dùng chủ quan. Để bảo vệ tổ chức, các chuyên gia công nghệ khuyến nghị:
Nâng cấp phương thức xác thực: Hãy cân nhắc sử dụng các loại khóa bảo mật vật lý (như FIDO2/WebAuthn). Những thiết bị này được thiết kế đặc biệt để chống lại các cuộc tấn công lừa đảo trộm phiên đăng nhập.
Siết chặt chính sách truy cập: Đội ngũ IT cần thiết lập các quy tắc nghiêm ngặt trên nền tảng đám mây. Ví dụ: Tự động khóa tài khoản ngay lập tức nếu phát hiện các lượt đăng nhập từ những vị trí địa lý cách xa nhau trong thời gian ngắn (Impossible Travel), hoặc giới hạn thời gian sống của các "cookie phiên đăng nhập".
Đào tạo nhân sự: Công nghệ phòng thủ tốt nhất vẫn luôn là con người. Hãy thường xuyên nhắc nhở nhân viên kiểm tra kỹ các đường dẫn email, đặc biệt là các email liên quan đến quyền lợi cá nhân hoặc yêu cầu chuyển tiền đột xuất.
An toàn thông tin là một cuộc chạy đua không có vạch đích. Khi các công cụ bảo mật ngày càng hiện đại, tin tặc cũng nhanh chóng nghĩ ra các kịch bản tấn công mới. Việc hiểu rõ cách thức hoạt động của chúng chính là bước đầu tiên để doanh nghiệp tự xây dựng cho mình một bức tường thành vững chắc.
Tham khảo: AdSecVN
