Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

По данным специалистов Forrester, каждый сброс пароля обходится компании примерно в $70 (5 284 руб.), а для атакующих это ещё и удобная точка входа: если убедить сотрудника службы поддержки сбросить пароль, можно обойти MFA и получить доступ к аккаунту без эксплуатации уязвимостей.

На эту проблему обратили внимание специалисты Specops, разобрав риски, связанные с процедурами сброса пароля.

Даже при наличии инструментов вроде SSPR команды техподдержки всё равно часто участвуют в сбросе паролей: помогают с регистрацией, разбирают нестандартные случаи или вручную обрабатывают обращения пользователей.

Хороший пример того, как всё может пойти не так, — атака на британского ретейлера Marks & Spencer в апреле 2025 года. Она привела к масштабным сбоям и пятидневной остановке онлайн-продаж. Потери оценивались примерно в £3,8 млн (387 млн руб.), в день.

По имеющимся данным, злоумышленники, которых связывают с группировкой Scattered Spider, получили первоначальный доступ, выдав себя за сотрудника M&S и обратившись в стороннюю службу поддержки. После сброса пароля они получили легитимные учётные данные без необходимости искать баги или эксплуатировать уязвимости.

Дальше атака развивалась уже внутри инфраструктуры. Киберпреступники использовали Active Directory, извлекли файл NTDS.dit с хешами паролей доменных пользователей, взломали часть из них офлайн и получили дополнительные учётные данные. Затем они постепенно расширяли доступ, перемещаясь по сети с помощью обычных инструментов и легитимных входов.

Когда прав оказалось достаточно, злоумышленники развернули шифровальщик. Под удар попали системы, связанные с платежами, электронной коммерцией и логистикой. M&S пришлось отключать сервисы, что нарушило работу магазинов и онлайн-каналов.

Главная сложность таких атак в том, что для техподдержки они выглядят вполне обычно. Сотрудник видит не подозрительную активность, а очередного пользователя, который просит сбросить пароль. Поэтому стандартных вопросов вроде «назовите дату рождения» или «уточните отдел» уже недостаточно: такую информацию можно найти, купить или выведать заранее.

Specops предлагает закрывать этот риск через более строгую проверку личности перед сбросом пароля. Например, агент службы поддержки может отправить одноразовый код на доверенное устройство пользователя или задействовать уже существующие провайдеры идентификации, такие как Duo или Okta.

Эксперты также напоминают о базовых практиках. Временные пароли должны быть одноразовыми, короткоживущими и передаваться только через защищённые каналы. Отправка временного пароля по обычной почте или диктовка по телефону создаёт лишние риски.

Наталья Касперская: разрешённый VPN в России доступен лишь избранным

Разрешения на использование VPN в России получают лишь единичные компании, а сам процесс остаётся непрозрачным. Об этом заявила сооснователь «Лаборатории Касперского» и президент InfoWatch Наталья Касперская в разговоре с НСН.

По её словам, несмотря на заявления Роскомнадзора о том, что корпоративные VPN внутри страны не ограничиваются, на практике ситуация выглядит совсем иначе.

Формально доступ к иностранным ресурсам уже предоставлен более чем 57 тысячам адресов и подсетей — это около 1730 организаций. Но если сравнивать с общим числом компаний в России, картина меняется.

Касперская отмечает, что речь идёт примерно о пяти сотых процента от общего числа юрлиц. Проще говоря, доступ к разрешённому VPN получают далеко не все.

При этом остаётся не до конца понятным, как именно формируются так называемые белые списки. По словам Касперской, сами компании не видят документов, на основании которых принимаются решения. В итоге возникает странная ситуация: с одной стороны, вводятся ограничения, с другой — официально говорится, что блокировок нет.

«Мы гадаем, что будет, на кофейной гуще», — описала она происходящее.

Отдельная проблема — стабильность. Касперская утверждает, что даже разрешённые VPN могут работать с перебоями: «то встанет, то ляжет».

Кроме того, ограничения уже начали сказываться на работе интернета в целом. Главная причина — техническая. VPN-трафик сложно отличить от обычного HTTPS, по которому сегодня работает большая часть Сети. И то, и другое — это зашифрованные соединения.

Из-за этого системы фильтрации регулярно дают ложные срабатывания. Чем активнее блокировки, тем выше шанс, что «заодно» начнут страдать обычные сервисы.

По мнению Касперской, полностью заблокировать VPN и прокси можно только одним способом — вместе со всем интернетом.

Отдельно она упомянула и пользователей за границей. Там ситуация ещё сложнее: международный трафик может выглядеть так же, как VPN, и отличить одно от другого технически практически невозможно. В результате под ограничения могут попадать и те, кто просто находится за пределами России.

Ранее в этом месяце Наталья Касперская извинилась перед Роскомнадзором за свой пост о причинах масштабного сбоя, который 3 апреля затронул банковские сервисы и СБП.

RSS: Новости на портале Anti-Malware.ru