Atak przez Microsoft Authenticator. Co muszą teraz zrobić firmy na Teams i Slack

Wykryto aktywny atak wymierzony w użytkowników Microsoft 365 i Teams, który przebiega przez Microsoft Authenticator. To aplikacja mobilna służąca do potwierdzania logowań w ramach MFA, czyli wieloskładnikowego uwierzytelniania. Atak jest aktywny, co znaczy, że nie wystarczy czekać na aktualizację od Microsoftu. Firmy korzystające z Teams muszą zareagować teraz.

Co to oznacza dla firm pracujących na Microsoft Teams i Slack

Konta pracowników w Teams i M365 są w tej chwili potencjalnym celem. Trzy rzeczy warte zrobienia od razu:

• Przejrzyjcie logi logowania w centrum administracyjnym M365. Widać tam historię logowań dla każdego konta: kiedy, z jakiego adresu IP, czy było żądanie MFA i czy zostało zatwierdzone. Nieznane lokalizacje i zatwierdzenia, których pracownicy nie pamiętają, to sygnał alarmowy.
• Sprawdźcie, kto ma włączone MFA. Jeśli część kont jeszcze go nie używa, wdrożenie go teraz bardzo zmniejsza ryzyko przejęcia.
• Poinformujcie pracowników o jednej zasadzie: powiadomień push z Authenticatora, których sami nie zainicjowali, nigdy nie zatwierdzają. Jedno przypadkowe kliknięcie może oddać atakującemu pełny dostęp do konta firmowego.

Slack korzysta z odrębnego systemu logowania i nie jest bezpośrednio objęty tym atakiem. Jeśli jednak pracownicy mają Slacka połączonego z kontem Microsoft przez SSO albo używają tych samych haseł w wielu usługach, warto przejrzeć aktywne sesje i sprawdzić, czy coś wygląda podejrzanie.

Co to zmienia w integracji z AI

Asystent AI podłączony do Teams działa na koncie technicznym z dostępem do wiadomości i plików, które firma mu przyznała. Takie konto widzi dużo i jest szczególnie interesującym celem: atakujący mógłby przez nie wyciągać dane bez wzbudzania podejrzeń. Konto asystenta powinno mieć włączone MFA i restrykcyjny dostęp warunkowy, co najmniej tak samo rygorystyczny jak dla zwykłych użytkowników. Warto też przejrzeć, kto w Waszej organizacji może zarządzać ustawieniami integracji w Teams i ograniczyć tę listę do minimum.

Po aktywnym ataku na M365 to dobry moment, żeby sprawdzić te uprawnienia, zanim ktoś niepowołany zmieni konfigurację lub podmieni token dostępu asystenta. Jeśli integracja działa na serwerze Waszej firmy, przejrzyjcie też logi aktywności konta technicznego za ostatnie kilka dni.

Więcej o tym, jak bezpiecznie zbudować integrację AI z Teams i Slack: jak wygląda integracja AI z Microsoft Teams i Slack. Możecie też zarezerwować piętnaście minut rozmowy o Waszym wdrożeniu.