Cloudflare, bazı çalışanlarının kimlik bilgilerinin de Twilio'nun ağının geçen hafta ihlal edilmesine yol açan bir SMS kimlik avı saldırısında çalındığını söyledi.
Bununla birlikte, saldırganlar Cloudflare çalışanlarının hesaplarına ellerini alsa da, kurbanlarının şirket tarafından verilen FIDO2 uyumlu güvenlik anahtarlarına erişemedikleri için bunları kullanma girişimleri engellendi.
Cloudflare Salı günü yaptığı açıklamada, "Twilio'nun saldırıya uğradığı gibi aynı zamanda, Cloudflare çalışanlarını hedefleyen çok benzer özelliklere sahip bir saldırı gördük."
"Bireysel çalışanlar kimlik avı mesajlarına düşerken, saldırıyı kendi Cloudflare One ürünlerini kullanmamızla engelleyebildik ve tüm uygulamalarımıza erişmek için gereken her çalışana verilen fiziksel güvenlik anahtarları.
Diyerek şöyle devam etti: "Saldırgan, tehlikeye atılan kullanıcı adı ve şifre kimlik bilgileri ile sistemlerimize giriş yapmaya çalışırken, zor anahtar gereksinimini geçemediler."
Cloudflare'nin de açıkladığı gibi, kimlik avı sayfalarında kimlik bilgilerini girdikten sonra, tehdit aktörlerinin yüklenirse bilgisayarlarının kontrolünü ele geçirmesine izin vermek için AnyDesk Remote Access yazılımı otomatik olarak bilgisayarlarına indirildi.
T-Mobile telefon numaralarından 76 çalışana ve ailelerine gönderilen kimlik avı mesajları, hedefleri Cloudflare-Okin [.] COM alanında barındırılan bir Cloudflare Okta Giriş Sayfası klonuna yönlendirdi.
Bu etki alanı, Twilio saldırısında görülen açılış sayfalarını barındırmak için kullanılan web alan adlarını kaydetmek için kullanılan Porkbun Etki Alanı Kayıt Şirketi aracılığıyla kaydedildi.
Şirket, bu saldırıya yanıt olarak aşağıdakileri de dahil olmak üzere birden fazla önlem aldı:
Oldukça popüler iki faktörlü kimlik doğrulama (2FA) sağlayıcısı Authy'nin sahibi Cloud Communications Company Twilio, bu hafta benzer bir saldırıyı açıkladı.
CloudFlare'den farklı olarak şirket, saldırganların bir SMS kimlik avı saldırısında çalıntı çalışan kimlik bilgilerini kullanarak dahili sistemleri ihlal ettikten sonra müşterilerinin bazı verilerine erişebildiklerini söyledi.
Twilio ayrıca, olay müdahale çabalarını aynı zamanda benzer saldırılarla hedeflenen diğer şirketlerle koordine ettiğini açıkladı.
"Diğer şirketlerden de benzer saldırılara maruz kaldıklarını ve kötü niyetli mesajları durdurmak için taşıyıcılarla işbirliği yapmak da dahil olmak üzere tehdit aktörlerine yanıtımızı koordine ettiklerini duyduk. Kötü niyetli URL'ler, "dedi Twilio.
Diyerek şöyle devam etti: "Bu cevaba rağmen, tehdit aktörleri, saldırılarına devam etmek için taşıyıcılar ve ev sahipliği yapan sağlayıcılar aracılığıyla dönmeye devam etti."
Bilgisayar korsanları, kılıf sitelerinden kredi kartlarını nasıl çalıyor?
E-posta pazarlama firması kripto odaklı posta listeleri çalmak için hacklendi
Twilio, çalışanlara yönelik SMS kimlik avı saldırısından sonra veri ihlalini açıklar
Snapchat, Microsoft 365 kimlik avı saldırılarında istismar edilen Amex siteleri
Yeni MFA-Bypassing kimlik avı kiti ile hedeflenen Microsoft hesapları
Kaynak: Bleeping Computer