อาชญากรไซเบอร์ได้ค้นพบวิธีการที่ซับซ้อนในการใช้ประโยชน์จากโครงสร้างพื้นฐานที่น่าเชื่อถือของ Apple โดยใช้การเชิญปฏิทิน iCloud Calendar เพื่อส่งอีเมลฟิชชิ่งที่สามารถหลบเลี่ยงมาตรการรักษาความปลอดภัยแบบดั้งเดิมได้สำเร็จ ภ�ยคุกคามที่เกิดขึ้นใหม่นี้ใช้ประโยชน์จากความไว้วางใจที่มีต่อเซิร์ฟเวอร์อีเมลของ Apple เพื่อเข้าถึงกล่องจดหมายของเหยื่อโดยไม่ถูกตรวจพบ
วิธีการทำงานของการโจมตีผ่านปฏิทิน
กลไกการโจมตีนี้เรียบง่ายแต่มีประสิทธิภาพสูงอย่างน่าหลงใหล มิจฉาชีพสร้างกิจกรรมปฏิทิน iCloud Calendar ที่ถูกต้องตามกฎหมายและฝังเนื้อหาที่เป็นอันตรายไว้ในช่องหมายเหตุของกิจกรรม เมื่อการเชิญปฏิทินเหล่านี้ถูกส่งออกไป จะมาจากเซิร์ฟเวอร์อีเมลอย่างเป็นทางการของ Apple โดยเฉพาะจากที่อยู่ [email protected] ต้นทางที่ถูกต้องนี้ทำให้ข้อความสามารถผ่านการตรวจสอบการรับรองความถูกต้องของอีเมลที่สำคัญ รวมถึงโปรโตคอล SPF, DKIM และ DMARC ซึ่งออกแบบมาเพื่อตรวจสอบความถูกต้องของผู้ส่ง
ลักษณะของเวกเตอร์การโจมตี:
- ต้นทาง: [email protected] (เซิร์ฟเวอร์ Apple ที่ถูกต้อง)
- วิธีการหลบเลี่ยง: การตรวจสอบการรับรอง SPF, DKIM และ DMARC
- เป้าหมายหลัก: ผู้ถือบัญชี PayPal
- จำนวนเงินค่าธรรมเนียมปลอม: USD $599
- วิธีการแจกจ่าย: รายชื่อการส่งอีเมล Microsoft 365 พร้อม Sender Rewriting Scheme
แผนการปลอมแปลง PayPal
การโจมตีในระลอกปัจจุบันมุ่งเป้าไปที่ผู้ใช้ด้วยการแจ้งเตือนการเรียกเก็บเงิน PayPal ปลอม เหยื่อจะได้รับการเชิญปฏิทินที่มีชื่อเรื่อง Purchase Invoice โดยอ้างว่าบัญชี PayPal ของพวกเขาถูกเรียกเก็บเงิน 599 ดอลลาร์สหรัฐ สำหรับธุรกรรมที่ไม่ได้รับอนุญาต ข้อความฉ้อโกงสร้างความเร่งด่วนโดยสั่งให้ผู้รับโทรไปยังหมายเลขสนับสนุนที่ให้มาเพื่อโต้แย้ง แก้ไข หรือยกเลิกการชำระเงินที่ถูกกล่าวหา นี่แสดงถึงแนวทางฟิชชิ่งแบบโทรกลับ ซึ่งเป้าหมายสูงสุดคือการให้เหยื่อโทรมามากกว่าการคลิกลิงก์ที่เป็นอันตราย
การแจกจ่ายขั้นสูงผ่าน Microsoft 365
นักวิจัยด้านความปลอดภัยได้ระบุชั้นความซับซ้อนเพิ่มเติมในแคมเปญนี้ ผู้โจมตีใช้ที่อยู่อีเมล Microsoft 365 ที่กำหนดค่าเป็นรายการส่งจดหมายเพื่อขยายการเข้าถึง การเชิญปฏิทินจะถูกส่งไปยังที่อยู่ที่ควบคุมโดย Microsoft ก่อน จากนั้นจึงส่งต่อข้อความไปยังผู้รับหลายรายภายในกลุ่มโดยอัตโนมัติ Sender Rewriting Scheme ของ Microsoft รักษาความถูกต้องตามที่ปรากฏของข้อความตลอดกระบวนการส่งต่อนี้ ช่วยเพิ่มความน่าเชื่อถือของการหลอกลวงมากยิ่งขึ้น
กระบวนการหลอกลวงแบบโทรกลับ
เมื่อเหยื่อโทรไปยังหมายเลขสนับสนุนปลอม มิจฉาชีพที่ได้รับการฝึกฝนจะพยายามดึงข้อมูลส่วนตัวที่ละเอียดอ่อนหรือโน้มน้าวผู้ใช้ให้ดาวน์โหลดซอฟต์แวร์การเข้าถึงระยะไกล ภายใต้ข้ออ้างของการประมวลผลเงินคืน อาชญากรเหล่านี้ได้รับการควบคุมอุปกรณ์ของเหยื่อ ซึ่งอาจนำไปสู่การขโมยทางการเงิน การติดตั้งมัลแวร์ หรือการละเมิดข้อมูลอย่างครอบคลุม แรงกดดันทางจิตวิทยาที่ใช้ระหว่างการโทรเหล่านี้มักจะครอบงำความสงสัยตามธรรมชาติของผู้ใช้
ผลกระทบต่อความปลอดภัยและความท้าทายในการตรวจจับ
เวกเตอร์การโจมตีนี้นำเสนอความท้าทายที่สำคัญสำหรับมาตรการรักษาความปลอดภัยไซเบอร์แบบดั้งเดิม เนื่องจากอีเมลมาจากเซิร์ฟเวอร์ที่ถูกต้องของ Apple จึงดูเหมือนแท้จริงสำหรับทั้งระบบรักษาความปลอดภัยอัตโนมัติและผู้รับที่เป็นมนุษย์ การใช้โครงสร้างพื้นฐานที่น่าเชื่อถือในทางที่ผิดหมายความว่าแม้แต่องค์กรที่มีการกรองอีเมลที่แข็งแกร่งอาจมีปัญหาในการระบุภัยคุกคามเหล่านี้ โซลูชันป้องกันไวรัสและระบบป้องกันแรนซัมแวร์ในปัจจุบันไม่ได้ออกแบบมาโดยเฉพาะเพื่อจัดการกับการใช้โครงสร้างพื้นฐานในทางที่ผิดประเภทนี้
กลยุทธ์การป้องกันสำหรับผู้ใช้
ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้ปฏิบัติต่อการเชิญปฏิทินที่ไม่คาดคิดทั้งหมดด้วยความระมัดระวังอย่างยิ่ง โดยเฉพาะอย่างยิ่งที่กล่าวถึงธุรกรรมทางการเงินหรือปัญหาบัญชีที่เร่งด่วน ผู้ใช้ไม่ควรโทรไปยังหมายเลขโทรศัพท์ที่ให้ไว้ในการเชิญปฏิทินที่น่าสงสัย แต่หากกังวลเกี่ยวกับความปลอดภัยของบัญชี บุคคลควรเข้าสู่ระบบบัญชี PayPal หรือธนาคารที่ถูกต้องของตนโดยตรงผ่านเว็บไซต์หรือแอปพลิเคชันอย่างเป็นทางการเพื่อตรวจสอบธุรกรรมที่ถูกอ้าง
รายการตรวจสอบการป้องกันความปลอดภัย:
- ไม่ควรโทรไปยังหมายเลขโทรศัพท์จากการเชิญปฏิทินที่ไม่คาดคิด
- ตรวจสอบกิจกรรมบัญชีผ่านเว็บไซต์หรือแอปพลิเคชันอย่างเป็นทางการเท่านั้น
- ลบการเชิญปฏิทินที่น่าสงสัยโดยไม่ต้องมีปฏิสัมพันธ์
- อัปเดตอุปกรณ์ให้ใช้แพตช์ความปลอดภัยล่าสุด
- ใช้โปรแกรมป้องกันไวรัสที่ครอบคลุมพร้อมความสามารถในการกำจัดมัลแวร์
- ดำเนินการตรวจสอบความปลอดภัยของระบบอย่างสม่ำเสมอ
การตอบสนองของ Apple และผลกระทบในอนาคต
Apple ยังไม่ได้ออกแถลงการณ์สาธารณะเพื่อจัดการกับการใช้โครงสร้างพื้นฐานปฏิทินของตนในทางที่ผิดเฉพาะนี้ บริษัทเผชิญกับความท้าทายในการรักษาความสะดวกสบายของคุณสมบัติการแบ่งปันปฏิทินในขณะที่ป้องกันการใช้ประโยชน์ที่เป็นอันตราย จนกว่าจะมีการนำมาตรการป้องกันที่แข็งแกร่งมากขึ้นมาใช้ ความรับผิดชอบในการระบุภัยคุกคามเหล่านี้ตกอยู่กับผู้ใช้ปลายทางและโปรแกรมการรับรู้ด้านความปลอดภัยขององค์กรของพวกเขาเป็นหลัก