A mostani támadás az eszközkódos bejelentkezést használja ki. Ez önmagában teljesen legitim technológia. Ilyen megoldásra például egy okostévénél, nyomtatónál vagy más olyan eszköznél lehet szükség, amelyen nehézkes lenne a hagyományos bejelentkezés. Az eszköz megjelenít egy rövid kódot, a felhasználó pedig egy másik készüléken megnyitja a szolgáltató bejelentkezési oldalát, beírja a kódot, és ezzel engedélyezi az eszköz hozzáférését. Az EvilTokens ezt fordította a felhasználók ellen.

A támadás megtévesztő e-maillel indulhatott, például egy számláról, megosztott dokumentumról, aláírandó iratról vagy lejáró jelszóról szóló üzenettel. A linkre kattintva a rendszer létrehozott egy valódi, működő Microsoft-eszközkódot. Az áldozat ezután a Microsoft valódi microsoft.com/devicelogin oldalára kerülhetett, ahol megadta a kapott kódot, majd szükség esetén szabályosan bejelentkezett.

Csakhogy ezzel nem a saját eszközét, hanem a támadó által kezdeményezett munkamenetet engedélyezte.

Ez különösen veszélyessé teszi a módszert: nem feltétlenül kell ellopni a jelszót, és a felhasználó még azt is ellenőrizheti, hogy valóban a Microsoft weboldalán jár, tehát nem egy klasszikus Microsoft-fiók feltörése esetről beszélünk. A sikeres hitelesítés után ugyanis a támadó hozzáférési tokeneket kaphat, amelyekkel az áldozat nevében férhet hozzá a fiókhoz.

A mesterséges intelligencia megkereste, hol van a pénz

Az EvilTokens nem állt meg a postafiókok feltörésénél. A szolgáltatásba olyan AI-alapú eszközöket építettek, amelyek átvizsgálták az ellopott levelezést.

Megkereshették például a számlákról és átutalásokról szóló beszélgetéseket,

feltérképezhették, ki jogosult pénzügyi döntéseket hozni,

kikkel áll bizalmi kapcsolatban az áldozat,

és kit lenne érdemes megszemélyesíteni.

A rendszer ezután még a megtévesztő üzenetek elkészítésében is segíthetett. Vagyis az AI nem egyszerűen szebb adathalász leveleket írt: a megszerzett információk alapján abban is segített a bűnözőknek, hogy kit és milyen módszerrel érdemes megpróbálni átverni. Az EvilTokens lényegében szolgáltatásként árulta mindezt. A Microsoft szerint 1500 dolláros belépési díjért és havi 500 dolláros előfizetésért a kevésbé képzett kiberbűnözők is olyan eszközökhöz juthattak, amelyekkel korábban komolyabb technikai tudásra lett volna szükség.

 

Mire kell figyelni?

A legfontosabb tanulság, hogy önmagában már az sem jelent teljes biztonságot, ha a böngésző címsorában a valódi Microsoft-cím szerepel.

Soha ne írjunk be egy másik személytől, e-mailből vagy gyanús weboldalról kapott eszközkódot a Microsoft bejelentkezési oldalán, ha nem mi kezdeményeztük egy új eszköz csatlakoztatását.

Ugyanez igaz a váratlan hitelesítési kérésekre is. Ha olyan Microsoft-ellenőrzőkódot kapunk, amelyet nem mi kértünk, azt ne adjuk tovább és ne hagyjunk jóvá ismeretlen bejelentkezést. A Microsoft magyar támogatási oldala is arra figyelmeztet, hogy a kéretlen ellenőrzőkód annak a jele lehet, hogy valaki megpróbál hozzáférni a fiókhoz.