หลอกลวงออนไลน์ส่วนใหญ่ยังคงมุ่งเป้าหมายเดียว: ขโมยรหัสผ่านของคุณ เราถูกฝึกให้ระวังหน้าล็อกอินปลอม ลิงก์น่าสงสัย และอีเมลเร่งด่วนขอให้ "ยืนยัน" ข้อมูลเข้าสู่บัญชี
แตการโจมตีบัญชี Microsoft รูปแบบใหม่ทำงานต่างออกไป เหยื่อล็อกอินบนเว็บไซต์จริงของ Microsoft ใช้การตรวจสอบความปลอดภัยจริง และแม้แต่ทำ multi-factor authentication สำเร็จ — แต่โจรก็ยังเข้าถึงได้
เทคนิคนี้รู้จักในชื่อ device code phishing ไม่ได้ขโมยรหัสผ่านเลย แต่หลอกคุณให้เข้าถึงด้วยตัวเอง โดยใช้ระบบยืนยันตัวตนของ Microsoft เองอย่างพอดีกับที่ออกแบบไว้
Device code login มีประโยชน์จริง
คุณอาจเคยใช้มาหลายครั้งแล้ว
Microsoft เหมือนบริษัทเทคโนโลยีใหญ่อื่นๆ รองรับสิ่งที่เรียกว่า device authorization flow ซึ่งรู้จักกันดีกว่าในชื่อ device code login แต่มากกว่านั้น คือช่วงเวลาที่แทนหน้าล็อกอินเต็มรูปแบบ คุณเห็นรหัสล็อกอินที่ตรงกันข้ามอุปกรณ์ของคุณที่คุณต้องจับคู่หรือกรอกเพื่อล็อกอินเสร็จสิ้น
มันสะดวกมาก โดยเฉพาะบนอุปกรณ์ที่แสดงหน้าล็อกอินเต็มรูปแบบยาก หรือกรณีที่คุณเชื่อมต่อกับอุปกรณ์ใช้งานจำกัด ตัวอย่าง คุณอาจเคยเจอบน Smart TV หรือตอนเชื่อมต่อ TV ในห้องพักโรงแรม — ทั้งคู่เป็นตัวอย่างที่ดี
ส่วนใหญ่ กระบวนการนี้ปลอดภัยสมบูรณ์ และไม่มีอะไรอันตรายในกระบวนการ แต่ทุกอย่างเปลี่ยนไปกับ exploit เฉพาะเจาะจง
ฟีเจอร์ที่ถูกต้องสามารถถูกใช้ против คุณได้
มัน exploit การสมมติทั่วไป
Device code login มีประโยชน์มาก แต่สามารถถูก exploit ได้ เพราะกระบวนการล็อกอินอุปกรณ์โดยธรรมชาติสมมติว่าผู้ที่กรอกรหัสคือผู้เริ่มต้นคำขอ นั่นคือส่วนที่กระบวนการพัง
หากโจรรู้อีเมลหรือข้อมูลติดต่ออื่นของคุณ พวกเขาสามารถเริ่มคำขอ device login จากอุปกรณ์ของพวกเขาเอง เริ่ม session ที่ไม่ซ้ำกัน จากนั้น Microsoft (และบริษัทเทคโนโลยีอื่นๆ) สร้าง device code ที่ถูกต้องผูกกับ session นั้น
นี่คือจุดที่棘手 แทนที่จะพยายามใช้เอง โจรสามารถส่งโค้ดโดยตรงถึงคุณ แต่งเป็นกระบวนการอื่น หลายอย่างที่คำนึงถึงกลยุทธ์ฟิชชิงที่คุ้นเคย:
- แจ้งเตือนความปลอดภัยอ้างว่ามีกิจกรรมน่าสงสัย
- การแจ้งเตือน Microsoft 365 ที่เร่งด่วน
- ข้อความจาก Teams หรือข้อความสนับสนุน IT
- คำขออีเมลทางธุรกิจหรืออื่นๆ
คำขอนี้สั่งให้คุณไปที่หน้าล็อกอิน Microsoft อย่างเป็นทางการและกรอกรหัสที่ให้มาเพื่อ "รักษาความปลอดภัย" หรือ "ยืนยัน" บัญชี นี่คือจุดที่ขั้นตอน exploit ถัดไปเริ่มต้น คุณไม่ได้ไปหน้าล็อกอินปลอม หรือพอร์ทัลฟิชชิงที่ออกแบบไว้ชาญฉลาด: มันเป็นหน้าล็อกอิน Microsoft จริง และการตรวจสอบการยืนยันตัวตนเป็นจริง
คุณให้รหัส device code login ตามปกติ อนุมัติคำขอ และรู้สึกว่าคุณปกป้องบัญชีแล้ว แต่ในความเป็นจริง คุณเพิ่งยืนยันตัวตนโจร มอบกุญแจบัญชีในกระบวนการทั้งหมด รหัสผ่านของคุณไม่เคยถูกเปิดเผย แต่คุณมอบบัญชีโดยตรง
ทำไม device code login scam จึงทำงานได้ดี
มันทั้งหมดเกี่ยวกับการเลียนแบบ
ปัญหาใหญ่ที่สุดของ device code login scams คือมันหลบหลีกกลยุทธ์ฟิชชิงทั่วไป ฟิชชิงมักเกี่ยวข้องกับหน้าล็อกอินโคลน, หน้าล็อกอินปลอม, หรือระบบที่ดักฟัง credentials
ในขณะที่ device code login phishing scam ข้ามทั้งหมดนั้น ทำให้ทุกอย่างดูเหมือนถูกต้องและ legit ไม่ใช่แค่ "ดูเหมือนถูกต้อง" — มันเป็นจริง เพราะคุณโต้ตอบกับกระบวนการยืนยันตัวตนของ Microsoft กระบวนการหลอกลวงทั้งหมดทำงานเพราะทุกกระบวนการทำงานพอดีกับที่ควรเป็น เพียงแค่ถูกกลับด้านบนคุณเล็กน้อย
โจรสามารถได้อะไรกับ access token ของคุณ?
การยืนยันตัวตนโจรเป็นสถานการณ์ที่แย่ชัดเจน
หลังการยืนยันตัวตนเสร็จ Microsoft ออกสิ่งที่เรียกว่า access token ซึ่งทำงานเหมือนหลักฐานชั่วคราวว่าการล็อกอินได้รับการยืนยันแล้ว ในทางฟังก์ชัน ระบบสมมติว่าผู้ถือได้พิสูจน์ตัวตนแล้ว จึงอนุญาตให้เข้าถึงโดยไม่ขอข้อมูลประจำตัวซ้ำ
คำตอบว่าโจรได้อะไร ขึ้นอยู่กับบัญชีที่เป็นเป้าหมาย ตัวอย่าง หากบัญชี Outlook เป็นเป้าหมาย โจรอาจเข้าถึงอีเมล แล้วขยายไปบริการอื่นที่เชื่อมโยงกับที่อยู่อีเมล (โดยการรีเซ็ตรหัสผ่าน เข้าถึงรหัส 2FA ฯลฯ)
แต่หากล็อกอิน Teams เป็นเป้าหมาย โจรอาจเข้าสู่บัญชี Teams ของบริษัทคุณ พร้อมเข้าถึงข้อมูลที่เก็บไว้ที่นั่น
อย่างไรปกป้องจาก device code phishing?
ความ警醒 ตลอดกาลไม่มีที่สิ้นสุด
สุดท้าย ป้องกันโจมตี code device login ที่ดีที่สุดคือพยายามเข้าใจจริงว่า device login ทำงานอย่างไร แม้การเข้าใจระดับพื้นฐานของกระบวนการ device login ก็จะปกป้องคุณจากการโจมตีฟิชชิงนี้
สรุป Device login codes ควรปรากฏเฉพาะเมื่อคุณเริ่มต้นล็อกอินบนอุปกรณ์อื่นด้วยตัวเอง Microsoft จะไม่ส่งโค้ดมาให้สุ่มเพื่อรักษาความปลอดภัยบัญชี คล้ายกับที่จะไม่เคยส่งข้อความขอรหัสผ่าน ยืนยันรหัส 2FA และอื่นๆ
ไม่ใช่แค่ Microsoft ทุกบริษัท เทคหรือไม่ก็ตาม ไม่ควรขอข้อมูลนี้เลย มันเป็นความลับและเพื่อคุณเท่านั้น
ในส่วนใหญ่ คุณสามารถปฏิบัติกฎความปลอดภัยทั่วไปสำหรับการตรวจจับฟิชชิง:
- อย่ากรอกรหัสล็อกอินที่ส่งมาผ่านอีเมล แชท หรือข้อความสั้น
- จัดการคำขอยืนยันตัวตนที่ไม่คาดคิดเหมือนคำขอรหัสผ่าน
- หากได้รับ MFA prompt ที่คุณไม่ได้กระตุ้น ให้ปฏิเสธทันที
- ตรวจสอบกิจกรรมล็อกอิน Microsoft เป็นประจำสำหรับแอปพลิเคชันหรือ session ที่ไม่คุ้นเคย
จำไว้ รหัสยืนยันตัวตนคือสิทธิ์การเข้าถึง ไม่ใช่ขั้นตอนการยืนยัน หากคุณไม่ได้เริ่มกระบวนการ คนอื่นเริ่มแทนคุณ
