Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

Компании привыкли доверять сбросу пароля. Злоумышленники этим пользуются

По данным специалистов Forrester, каждый сброс пароля обходится компании примерно в $70 (5 284 руб.), а для атакующих это ещё и удобная точка входа: если убедить сотрудника службы поддержки сбросить пароль, можно обойти MFA и получить доступ к аккаунту без эксплуатации уязвимостей.

На эту проблему обратили внимание специалисты Specops, разобрав риски, связанные с процедурами сброса пароля.

Даже при наличии инструментов вроде SSPR команды техподдержки всё равно часто участвуют в сбросе паролей: помогают с регистрацией, разбирают нестандартные случаи или вручную обрабатывают обращения пользователей.

Хороший пример того, как всё может пойти не так, — атака на британского ретейлера Marks & Spencer в апреле 2025 года. Она привела к масштабным сбоям и пятидневной остановке онлайн-продаж. Потери оценивались примерно в £3,8 млн (387 млн руб.), в день.

По имеющимся данным, злоумышленники, которых связывают с группировкой Scattered Spider, получили первоначальный доступ, выдав себя за сотрудника M&S и обратившись в стороннюю службу поддержки. После сброса пароля они получили легитимные учётные данные без необходимости искать баги или эксплуатировать уязвимости.

Дальше атака развивалась уже внутри инфраструктуры. Киберпреступники использовали Active Directory, извлекли файл NTDS.dit с хешами паролей доменных пользователей, взломали часть из них офлайн и получили дополнительные учётные данные. Затем они постепенно расширяли доступ, перемещаясь по сети с помощью обычных инструментов и легитимных входов.

Когда прав оказалось достаточно, злоумышленники развернули шифровальщик. Под удар попали системы, связанные с платежами, электронной коммерцией и логистикой. M&S пришлось отключать сервисы, что нарушило работу магазинов и онлайн-каналов.

Главная сложность таких атак в том, что для техподдержки они выглядят вполне обычно. Сотрудник видит не подозрительную активность, а очередного пользователя, который просит сбросить пароль. Поэтому стандартных вопросов вроде «назовите дату рождения» или «уточните отдел» уже недостаточно: такую информацию можно найти, купить или выведать заранее.

Specops предлагает закрывать этот риск через более строгую проверку личности перед сбросом пароля. Например, агент службы поддержки может отправить одноразовый код на доверенное устройство пользователя или задействовать уже существующие провайдеры идентификации, такие как Duo или Okta.

Эксперты также напоминают о базовых практиках. Временные пароли должны быть одноразовыми, короткоживущими и передаваться только через защищённые каналы. Отправка временного пароля по обычной почте или диктовка по телефону создаёт лишние риски.

Антифрод не спасает: операторов связи в России штрафуют за подменные номера

Российские операторы связи всё чаще получают многомиллионные штрафы за то, что пропускают звонки мошенников с подменных номеров. Несмотря на работу системы «Антифрод», полностью перекрыть поток аферистов пока не удаётся. Только в июне сразу несколько операторов были наказаны за подобные случаи.

В Санкт-Петербурге, как пишут «Известия», компанию оштрафовали почти на 2 млн рублей после того, как пенсионерка перевела мошенникам миллион рублей.

В Омской области другой оператор получил штраф 600 тысяч рублей за пропуск звонка с подменным номером, после которого у девушки похитили деньги.

По данным Роскомнадзора, в 2025 году за такие нарушения было составлено 132 административных протокола, а общая сумма штрафов превысила 23 млн рублей. В 2026 году составлено уже 102 протокола.

При этом сама система «Антифрод» работает весьма эффективно. Сейчас она ежедневно блокирует около 1,14 млн мошеннических звонков, или более 523 млн в месяц. Но специалисты отмечают, что многое зависит от того, насколько хорошо оператор настроил защиту и насколько современное оборудование использует.

Есть и техническая особенность. Если система проверки не успевает подтвердить подмену номера за 500 миллисекунд, вызов автоматически проходит, иначе пострадала бы обычная телефонная связь. Именно этим иногда пользуются злоумышленники.

Кроме того, мошенники продолжают искать обходные пути: используют зарубежные шлюзы, VoIP-сервисы, небольших операторов, сим-боксы и всё чаще начинают атаку через мессенджеры, а телефонный звонок используют уже как второй этап.

Но главные изменения ещё впереди. С марта 2027 года должны вступить в силу положения закона «Антифрод 2.0». Если суд установит, что оператор не принял достаточных мер для блокировки мошеннического звонка, пострадавший сможет требовать компенсацию ущерба уже не только от банка, но и от оператора связи.

Эксперты считают, что после этого телеком-компаниям станет дешевле максимально качественно настраивать свои антифрод-системы, чем потом выплачивать клиентам украденные мошенниками деньги.

RSS: Новости на портале Anti-Malware.ru