Bérkalózkodás: Célkeresztben az AI és HR adatok

A modern „bérkalózok” és a Storm-2657 fenyegetés

A Microsoft Threat Intelligence egy pénzügyileg motivált fenyegetési szereplőt azonosított, amelyet Storm-2657 néven követünk. Ez a csoport munkavállalói fiókok kompromittálására specializálódott, hogy jogosulatlan hozzáférést szerezzen a HR-profilokhoz, és az alkalmazottak fizetését a támadók által ellenőrzött bankszámlákra irányítsa át. Az iparág ezeket a támadásokat „bérkalózkodásnak” (payroll piracy) nevezi. A Storm-2657 aktívan céloz amerikai szervezeteket, különösen a felsőoktatási szektorban dolgozókat, hogy hozzáférjenek külső, szoftver-mint-szolgáltatás (SaaS) alapú humánerőforrás (HR) platformokhoz, mint például a Workday.

Egy 2025 első felében megfigyelt kampány során a csoport kifejezetten a Workday-profilokat vette célba. Fontos azonban kiemelni, hogy bármely, HR vagy fizetési információkat tároló SaaS-rendszer könnyen célponttá válhat ugyanezzel a technikával. AI/LLM biztonsági szempontból ez kritikus, mivel egy kompromittált fiók nem csupán béradatokhoz, hanem potenciálisan érzékeny projektekhez, adathalmazokhoz vagy akár a gépi tanulási infrastruktúrához is hozzáférést biztosíthat. Ezek a támadások nem a Workday platform sebezhetőségét használják ki, hanem a kifinomult social engineering taktikákra és a többfaktoros hitelesítés (MFA) teljes hiányára, vagy az adathalászatnak nem ellenálló MFA-megoldásokra építenek.

A támadás anatómiája: Storm-2657 TTP-k mélyebb elemzése

A megfigyelt kampány során a támadó kezdeti hozzáférést adathalász e-mailekkel szerzett, amelyek célja az MFA-kódok ellopása volt „Adversary-in-the-Middle” (AITM) adathalász linkek segítségével. Az MFA-kódok megszerzése után a támadó jogosulatlanul hozzáférhetett az áldozatok Exchange Online fiókjához, majd átvette az irányítást és módosította a Workday-profiljukat.

A fiók kompromittálása után a támadó beérkező levelekre vonatkozó szabályokat (inbox rules) hozott létre, hogy törölje a Workday rendszeréből érkező figyelmeztető e-maileket, elrejtve ezzel a HR-profilon végrehajtott változtatásokat. Ezt követően a Storm-2657 észrevétlenül módosította a munkavállaló bérkifizetési beállításait a HR-profilban, így a jövőbeni fizetéseket a saját számláira irányította át, komoly anyagi kárt okozva az áldozatoknak.

Bár az alábbi példa a Workday környezetben megfigyelt támadási folyamatot mutatja be, fontos megjegyezni, hogy hasonló technikák bármely bérszámfejtési szolgáltató vagy SaaS platform ellen alkalmazhatók.

Kezdeti hozzáférés: Hitelesítő adatok gyűjtése és propagáció

A támadó valósághű adathalász e-maileket használt, több egyetem fiókjait célozva. 2025 márciusa óta 11 sikeresen kompromittált fiókot azonosítottunk három különböző egyetemen, amelyeket arra használtak, hogy közel 6000 e-mail címre küldjenek további adathalász üzeneteket 25 másik egyetemen. Néhány adathalász e-mail Google Docs linkeket tartalmazott, ami megnehezítette a detektálást, mivel ezek használata akadémiai környezetben rendkívül gyakori.

Több esetben a kompromittált fiókokon nem volt engedélyezve az MFA. Más esetekben a felhasználókat az AITM adathalász linkeken keresztül vették rá az MFA-kódjaik megosztására. A fiókok kompromittálása és a Workday-ben végrehajtott módosítások után a támadó az újonnan megszerzett hozzáféréseket további adathalász e-mailek terjesztésére használta, mind a szervezeten belül, mind más egyetemek felé.

A megtévesztés mesterfokon: Adathalász témák és taktikák

A támadó többféle témát alkalmazott az adathalász üzeneteiben, melyek kifinomultsága arra utalhat, hogy a jövőben LLM-ekkel generált, hiper-perszonalizált csalik tömeges bevetésére is számíthatunk.

• Betegségek és járványok: Az egyik gyakori téma a kampuszon terjedő betegségekről vagy járványokról szólt, azt sugallva, hogy a címzett is fertőzött lehet. Ezek az e-mailek egy Google Docs oldalra mutató linket tartalmaztak, amely aztán egy támadó által ellenőrzött domainre irányított át. Egy esetben egy adathalász e-mailt 500 embernek küldtek ki egyetlen szervezeten belül, és a címzettek körülbelül 10%-a jelentette gyanús kísérletként.
• Szakmai vétségek: Egy másik téma a karon belüli személyekkel kapcsolatos vétségekről vagy intézkedésekről szóló jelentések voltak, azzal a céllal, hogy a címzettek a linkre kattintva ellenőrizzék, vajon érintettek-e.
• Intézményi megszemélyesítés: A legutóbb azonosított téma egyetemi vagy ahhoz kapcsolódó entitások megszemélyesítése volt. A Storm-2657 a tartalmat a címzett intézményéhez igazította, hogy az üzenetek meggyőzőbbnek tűnjenek. Például az egyetem elnökétől származó hivatalos közlemények, kompenzációval és juttatásokkal kapcsolatos információk vagy a HR által megosztott dokumentumok. A tárgysor gyakran tartalmazta az egyetem vagy az elnök nevét, ami tovább növelte az e-mail legitimitását.

Lopakodás és perzisztencia kiépítése

A fiók kompromittálása után a támadó egy általános beérkező levelekre vonatkozó szabályt hozott létre a szervezet Workday e-mail szolgáltatásából érkező figyelmeztető értesítések elrejtésére vagy törlésére. Ez a szabály biztosította, hogy az áldozat ne vegye észre a bérszámfejtési adatok módosításáról szóló értesítéseket.

Egyes esetekben a támadó megpróbált a radar alatt maradni és elrejteni nyomait az esetleges felülvizsgálatok elől azzal, hogy a szabályoknak kizárólag speciális karakterekből vagy nem alfabetikus szimbólumokból álló neveket adott, például „….” vagy „\’\’\’\’”.

A megfigyelt esetekben a támadó perzisztenciát épített ki azzal, hogy saját telefonszámait regisztrálta MFA-eszközként az áldozat fiókjához, akár a Workday-profilon, akár a Duo MFA beállításain keresztül. Ezzel megkerülték a további MFA-jóváhagyás szükségességét a jogos felhasználótól, lehetővé téve a folyamatos, észrevétlen hozzáférést.

Detekció és veszélyforrás-vadászat (Threat Hunting)

A támadó ezt követően single sign-on (SSO) segítségével lépett be a Workday rendszerébe, és módosította az áldozat bérszámfejtési/bankszámla adatait. A Microsoft Defender for Cloud Apps-ben engedélyezett Workday konnektorral az elemzők hatékonyan vizsgálhatják és azonosíthatják a támadás nyomait a Workday naplók és a Defender által rögzített műveletek vizsgálatával.

Több indikátor is segíthet ezeknek a változásoknak a kiszűrésében. Például a Workday naplókban generált egyik ilyen esemény a „Change My Account” vagy a „Manage Payment Elections”, attól függően, hogy milyen típusú módosításokat hajtottak végre.

Ezeket a módosításokat gyakran kísérik értesítő e-mailek. Ahogy korábban tárgyaltuk, a támadók megpróbálják ezeket az üzeneteket manuális törléssel vagy szabályokkal eltüntetni. Ezek a törlések azonosíthatók az Exchange Online eseményeinek (SoftDelete, HardDelete, MoveToDeletedItems) figyelésével.

Az AI-alapú biztonsági platformok, mint a Microsoft Defender for Cloud Apps, képesek korrelálni a jeleket a Microsoft Exchange Online (belső SaaS alkalmazás) és a Workday (külső SaaS alkalmazás) között, lehetővé téve a több rendszert átívelő gyanús tevékenységek alapos felderítését. Csak a belső és külső jelek összekapcsolásával lehetséges az ilyen, több rendszeren átívelő tevékenységek észlelése.

Gyakorlati vadászati lekérdezések

A Microsoft Defender XDR és a Microsoft Sentinel segítségével proaktívan vadászhatsz a Storm-2657 tevékenységére utaló jelekre. Az alábbi lekérdezések segítenek azonosítani a gyanús mintázatokat.

• Workday-ből érkező leveleket elrejtő vagy törlő beérkezési szabályok áttekintése: A következő lekérdezés eredményei arra utalhatnak, hogy egy támadó megpróbálja eltüntetni a Workday-tevékenység bizonyítékait.
• Fizetési beállítások vagy bankszámla-információk frissítéseinek áttekintése a Workday-ben: Ez a lekérdezés a fizetési számlák változásait mutatja ki a Workday-ben.
• Eszközhozzáadások felülvizsgálata a Workday-ben: A lekérdezés a közelmúltbeli eszközhozzáadásokat keresi. Ha az eszköz ismeretlen, az egy támadó által a perzisztencia és az MFA-kijátszás érdekében hozzáadott eszközre utalhat.
• Tömeges, gyanús e-mailek keresése .edu feladótól: Ez a lekérdezés azonosítja azokat az .edu feladóktól származó e-maileket, amelyeket nagy számú felhasználónak küldtek.
• Adathalász URL keresése azonosított .edu feladótól: Ha egy gyanús .edu feladót azonosítottál, ezzel a lekérdezéssel felszínre hozhatod az e-mail eseményeket ettől a feladótól.
• Felhasználói kattintások keresése gyanús URL-re az azonosított .edu feladótól: Ezzel a lekérdezéssel a felhasználói kattintásokat keresheted, amelyek rosszindulatú link elérésére utalhatnak.

Védekezés és mitigáció az AI-biztonság korában

A Storm-2657-hez hasonló szereplők elleni védekezés a felhasználói identitás biztonságával kezdődik. El kell hagyni a hagyományos hitelesítő adatokat, és jelszómentes, adathalászatnak ellenálló MFA-módszereket kell bevezetni, mint például a FIDO2 biztonsági kulcsok, a Windows Hello for Business és a Microsoft Authenticator passkey-ek. Az AI/LLM fejlesztői és adminisztrátori fiókok védelme különösen fontos, mivel ezek kompromittálása katasztrofális következményekkel járhat.

A Microsoft javasolja az adathalászatnak ellenálló MFA kötelezővé tételét a Microsoft Entra ID privilegizált szerepkörei számára, hogy jelentősen csökkentsd a fiókok kompromittálásának kockázatát. A jelszómentes hitelesítés nemcsak a biztonságot növeli, hanem javítja a felhasználói élményt és csökkenti az IT terheit is.

Ha a Microsoft Defender riasztásai gyanús tevékenységet vagy megerősített fiókkompromittálást jeleznek, elengedhetetlen a gyors és alapos cselekvés. Az érintett identitások esetében a következő lépések javasoltak:

• Azonnal zárold ki a felhasználót az összes munkamenetből.
• Állítsd vissza a jelszavát.
• Vizsgáld át az összes MFA-regisztrációt, és távolítsd el az ismeretlen eszközöket.
• Vizsgáld felül és töröld a támadó által létrehozott beérkezési szabályokat.
• Értesítsd a HR/pénzügyi osztályt, hogy ellenőrizzék és állítsák vissza a bérszámfejtési adatokat.

Megjegyzések AI Red Teamer szemszögből

A Storm-2657 kampánya éles emlékeztető arra, hogy a legfejlettebb AI-rendszerek védelme is az alapoknál kezdődik: az emberi tényezőnél és az identitáskezelésnél!

Még ha a támadók (egyelőre) nem is használnak kifinomult AI-t a támadásaikhoz, a TTP-jeik tökéletesen alkalmasak arra, hogy LLM-ekkel automatizálják és skálázzák őket a jövőben. A hiper-perszonalizált, kontextus-érzékeny adathalász e-mailek generálása már ma is triviális feladat egy modern nyelvi modell számára.

Számunkra, AI-biztonsági szakemberek számára a tanulság egyértelmű:

1. Az identitás az új peremhálózat: Az adathalászatnak ellenálló MFA nem lehet többé csak egy opció, hanem alapkövetelmény, különösen a kritikus infrastruktúrát és érzékeny adatokat kezelő munkatársak számára.
2. A védelemnek integráltnak kell lennie: Csak olyan platformok képesek hatékonyan felderíteni az ilyen több rendszert érintő támadásokat, amelyek képesek korrelálni a jeleket a teljes digitális környezetből – az e-mail rendszertől a külső SaaS-alkalmazásokig. Az AI-alapú XDR (Extended Detection and Response) megoldások itt játszanak kulcsszerepet.
3. A proaktív veszélyforrás-vadászat elengedhetetlen: Nem várhatunk a riasztásokra. A Storm-2657 által használt technikák ismeretében proaktívan kell keresnünk a gyanús beérkezési szabályokat, MFA-regisztrációkat és a szokatlan bejelentkezési mintákat.

Ez az incidens kiváló esettanulmány minden AI red team számára! A bemutatott TTP-k modellezése és a belső védelem tesztelése segít felkészülni a jövőbeli, valószínűleg még kifinomultabb, AI-val támogatott social engineering támadásokra.