Công ty cơ sở hạ tầng web Cloudflare hôm thứ Ba đã tiết lộ ít nhất 76 nhân viên và thành viên gia đình của họ đã nhận được tin nhắn văn bản trên điện thoại cá nhân và cơ quan của họ có các đặc điểm tương tự như cuộc tấn công lừa đảo tinh vi nhằm vào Twilio.
Cuộc tấn công, diễn ra cùng thời điểm Twilio bị nhắm mục tiêu, đến từ bốn số điện thoại liên quan đến thẻ SIM do T-Mobile phát hành và cuối cùng đã không thành công.
Các tin nhắn văn bản trỏ đến một miền có vẻ hợp pháp có chứa các từ khóa “Cloudflare” và “Okta” nhằm đánh lừa nhân viên chuyển giao thông tin đăng nhập của họ.
Công ty lưu ý rằng làn sóng hơn 100 tin nhắn lừa đảo bắt đầu chưa đầy 40 phút sau khi miền giả mạo được đăng ký qua Porkbun, công ty lưu ý thêm rằng trang lừa đảo được thiết kế để chuyển tiếp thông tin đăng nhập mà người dùng không nghi ngờ đã nhập tới kẻ tấn công qua telegram trong thời gian thực.
Điều này cũng có nghĩa là cuộc tấn công có thể đánh bại các rào cản 2FA, vì mã Mật khẩu một lần dựa trên thời gian (TOTP) được nhập trên trang đích giả mạo được truyền theo cách tương tự, cho phép kẻ thù đăng nhập bằng mật khẩu và TOTP bị đánh cắp.
Cloudflare cho biết ba trong số các nhân viên của họ đã rơi vào kế hoạch lừa đảo, nhưng lưu ý rằng họ có thể ngăn các hệ thống nội bộ của mình bị xâm phạm thông qua việc sử dụng các khóa bảo mật vật lý tuân thủ FIDO2 cần thiết để truy cập các ứng dụng của mình.
Cloudflare cho biết: “Vì các khóa cứng được gắn với người dùng và thực hiện ràng buộc nguồn gốc, ngay cả một hoạt động lừa đảo thời gian thực, tinh vi như thế này cũng không thể thu thập thông tin cần thiết để đăng nhập vào bất kỳ hệ thống nào của chúng tôi”.
“Trong khi kẻ tấn công cố gắng đăng nhập vào hệ thống của chúng tôi bằng thông tin đăng nhập tên người dùng và mật khẩu bị xâm phạm, chúng không thể vượt qua yêu cầu khóa cứng.”
Hơn nữa, các cuộc tấn công không chỉ dừng lại ở việc đánh cắp thông tin đăng nhập và mã TOTP. Nếu một nhân viên vượt qua bước đăng nhập, trang lừa đảo đã được thiết kế để tự động tải xuống phần mềm truy cập từ xa của AnyDesk, phần mềm này, nếu được cài đặt, có thể được sử dụng để điều khiển hệ thống của nạn nhân.
Bên cạnh việc hợp tác với DigitalOcean để đóng máy chủ của kẻ tấn công, công ty cũng cho biết họ đặt lại thông tin đăng nhập của các nhân viên bị ảnh hưởng và họ thắt chặt việc triển khai quyền truy cập để ngăn chặn bất kỳ thông tin đăng nhập nào từ các VPN, proxy dân cư và nhà cung cấp cơ sở hạ tầng không xác định.
Diễn biến này diễn ra vài ngày sau khi Twilio cho biết các tin tặc không xác định đã thành công trong việc lừa đảo thông tin đăng nhập của một số nhân viên không được tiết lộ và có được quyền truy cập trái phép vào hệ thống nội bộ của công ty, sử dụng nó để lấy tài khoản của khách hàng.
.
