مهندسی اجتماعی با موضوع Passkey؛ نفوذ به هویت‌ها و آلودگی فضای ابری
بازیگران تهدید با استفاده از مهندسی اجتماعی مرتبط با passkeyها هویت‌ها را به‌خطر می‌اندازند و در ادامه از ابزارهایی مانند Microsoft Graph برای شناسایی و دسترسی به SharePoint، OneDrive و ایمیل سوء‌استفاده می‌کنند. این گزارش بر اساس پست Microsoft Security Blog تهیه شده و راهکارهای کلیدی تشخیص و کاهش ریسک را بازنشر می‌کند.
این مطلب خلاصه و بازنویسی‌ای از گزارش Microsoft Security Blog با عنوان «Passkey-themed social engineering leads to identity and cloud compromise» است. در گزارش اصلی شرح داده شده که بازیگران تهدید از موضوعات مرتبط با passkey (احراز هویت بدون‌رمز) به‌عنوان طعمه‌ای برای مهندسی اجتماعی استفاده می‌کنند تا دسترسی به هویت‌ها را به‌دست آورده و سپس حملات گسترده‌تری در محیط‌های ابری انجام دهند.
چه اتفاقی می‌افتد (خلاصه رویداد):
- حمله با مهندسی اجتماعی آغاز می‌شود؛ حمله‌کننده کاربر را متقاعد می‌کند تا اقدامی مرتبط با passkey انجام دهد یا مجوزی را بپذیرد.
- پس از دستیابی به دسترسی هویتی، مهاجم روش‌هایی برای ماندگاری MFA (احراز هویت چندعاملی) ایجاد می‌کند و توکن‌ها یا مجوزهای دسترسی را حفظ می‌کند.
- مهاجمان از Microsoft Graph برای انجام شناسایی در محیط هدف استفاده می‌کنند؛ این شامل جمع‌آوری اطلاعات درباره کاربران، گروه‌ها و منابع ابری است.
- در ادامه دسترسی به داده‌ها در SharePoint، OneDrive و صندوق‌های پستی ایمیل امکان‌پذیر می‌شود که می‌تواند منجر به نشت داده و سوء‌استفاده بیشتر شود.
نکات کلیدی تشخیص و کاهش (بر اساس منبع اصلی):
- پایش لاگ‌های ورود و تغییرات مرتبط با MFA و روش‌های احراز هویت برای کشف رفتارهای غیرعادی.
- بررسی و کنترل اپلیکیشن‌ها و مجوزهای OAuth و دسترسی‌هایی که از طریق Microsoft Graph صادر شده‌اند؛ حذف یا بازبینی اجازه‌هایی که غیرضروری یا مشکوک هستند.
- شناسایی و ابطال توکن‌ها و نشست‌های محافظت‌نشده در صورت مشاهده نشانه‌های نفوذ. اعمال سیاست‌های انقضای توکن و کنترل نشست‌ها می‌تواند میزان ماندگاری مهاجم را کاهش دهد.
- محدود کردن دسترسی به داده‌های حساس در SharePoint و OneDrive با استفاده از سیاست‌های دسترسی شرطی و اصول حداقل امتیاز (least privilege).
- تقویت آموزش کاربران در برابر مهندسی اجتماعی، به‌خصوص پیام‌ها و درخواست‌هایی که ظاهراً مربوط به passkey یا فرآیندهای بدون‌رمز هستند.
خلاصه تحلیلی مستقل (تحلیل ویراستاری):
- روند گزارش‌شده نشان می‌دهد که مهاجمان خود را با فناوری‌های نوظهور احراز هویت (مثل passkeyها) تطبیق می‌دهند و از آگاهی عمومی یا فرایندهای جدید برای فریب کاربران بهره می‌برند. این الگو تأکید می‌کند که نوآوری در احراز هویت به‌تنهایی کافی نیست؛ باید روی فرآیندهای مدیریت مجوز، دیدشرکت و آموزش نیروی انسانی نیز سرمایه‌گذاری شود.
- سوء‌استفاده از Microsoft Graph به‌عنوان ابزار شناسایی، خطرات خاصی را برای محیط‌های مایکروسافتی ایجاد می‌کند، چون این API امکان جمع‌آوری سریع و گسترده‌ای از اطلاعات ساختاری و منابع را می‌دهد. کنترل و بازبینی منظم مجوزهای اپلیکیشن و دسترسی‌های صادرشده ضروری است.
- توصیه می‌شود سازمان‌ها مدل تهدیدات خود را بازبینی کنند تا سناریوهای مهندسی اجتماعی حول passkeyها و دیگر روش‌های passwordless را در بر گیرد و طرح‌های پاسخ به حادثه را برای مواردی که مهاجم پس از دسترسی اولیه به ماندگاری MFA می‌رسد، تمرین کنند.
توجه: محتوای این بازنویسی و خلاصه تحلیلی بر اساس پست منتشرشده در Microsoft Security Blog تهیه شده و برای جزئیات فنی کامل باید به منبع اصلی مراجعه شود.