Microsoft upozorava na prevarante koji kradu plate

Microsoft upozorava na aktivnu prevaru koja preusmerava isplate zarada zaposlenih na račune pod kontrolom napadača, nakon što preuzmu profile žrtava na platformama kao što su Workday ili drugi cloud servisi za ljudske resurse.

Kampanja, koju je Microsoft nazvao „Payroll Pirate“ (Platni pirat), dobija pristup portalima žrtava preko phishing mejlova kojima vara primaoce da unesu svoje pristupne podatke za prijavu na cloud nalog. Prevaranti tako uspevaju da dođu i do kodova za višefaktorsku autentifikaciju (MFA) koristeći „adversary-in-the-middle“ tehniku — nalaze se između žrtve i sajta na koji ona misli da se prijavljuje, a u stvarnosti se radi o lažnoj stranici kojom upravljaju napadači.

Prevaranti zatim unose presretnute podatke, uključujući MFA kod, na pravi sajt. Ova taktika, sve popularnija poslednjih godina, naglašava važnost prelaska na FIDO-kompatibilne oblike MFA koji su otporni na ovakve napade.

Kada uđu u nalog zaposlenog, napadači menjaju podešavanja isplate zarade u Workday sistemu, tako da se novac koji bi trebalo da legne na račun zaposlenog preusmerava na račun pod njihovom kontrolom. Da bi sprečili da korisnici dobiju obaveštenje o promeni podataka, napadači kreiraju nova pravila za filtriranje mejlova, koja automatski skrivaju poruke koje Workday šalje kada je potrebno da se korisnici upozore o promenama.

„Napadači su koristili prilično realistične phishing mejlove, a ciljali su naloge na više univerziteta, kako bi prikupili akreditive“, navodi Microsoft u objavi od četvrtka. „Od marta 2025. zabeležili smo 11 uspešno kompromitovanih naloga na tri univerziteta, koji su potom korišćeni za slanje phishing mejlova na gotovo 6.000 adresa širom 25 univerziteta“.

Phishing poruke koriste različite teme da bi namamile korisnike u zamku. U jednom slučaju, u mejlu se tvrdi da su zaposleni možda bili izloženi zaraznoj bolesti na kampusu i nudi link koji otkriva da li je primalac među njima. U drugom, navodi se da je došlo do promena u beneficijama zaposlenih, uz link ka stranici na kojoj se može saznati više. Oba linka vode na lažnu stranicu za prijavu, pod kontrolom napadača.

U pojedinim slučajevima, napadači su uspevali da dodaju svoj broj telefona kao rezervnu opciju za oporavak naloga, čime su obezbeđivali trajan pristup kompromitovanom nalogu.

Microsoft upozorenje podseća da bi MFA zasnovan na jednokratnim kodovima, mejlovima, SMS porukama i push notifikacijama trebalo izbegavati kad god je to moguće. Mnogo sigurnije alternative su passkeys, fizički sigurnosni ključevi i druge FIDO-kompatibilne metode autentifikacije. Do sada nije zabeležen nijedan slučaj da je FIDO MFA pao kao žrtva ovakvih napada.

Preporučuje se i da korisnici povremeno provere pravila filtriranja mejlova, kako bi se uverili da nijedno od njih ne blokira bezbednosna obaveštenja iz Workday-a ili drugih servisa.