Lapsus$: بلا ثغرات مجهولة، فقط بشر

خلال بضعة أشهر، دخلت مجموعة شابة اسمها Lapsus$ إلى Nvidia وSamsung وMicrosoft، والأسبوع الماضي إلى متعاقد دعم يعمل لصالح Okta. ووصف Microsoft لأساليبهم يستحق القراءة، لأنه لا شيء غريب فيه:

• شراء كلمات مرور ورموز جلسات من أسواق برامج سرقة البيانات.
• إغراق المستخدمين بطلبات التحقق حتى يوافق أحدهم.
• نقل الشرائح للاستيلاء على أرقام الهواتف المستخدمة للرموز.
• عرض المال علنًا على الموظفين مقابل الوصول.
• ثم الانضمام إلى محادثات الشركة ومكالماتها لمراقبة الاستجابة.

والدفاعات تقابلها:

1. تحقق ثنائي مقاوم للتصيّد مثل مفاتيح الأمان للمديرين وفريق الدعم. لا طلبات تُغرق، ولا رموز تُسرق.
2. ابتعد عن رموز SMS.
3. فحوصات قوية لإعادة الضبط في مكتب الدعم ولأجهزة التحقق الجديدة.
4. عامل وصول المتعاقدين كوصول موظفيك: التحقق نفسه، والسجلات نفسها، وأقل صلاحية.
5. أدر مكالمات الحوادث على قناة منفصلة إن اشتبهت أن القناة الرئيسية مراقبة.

وأخبر موظفيك أن من يعرض مالًا مقابل الوصول يجب الإبلاغ عنه. يبدو بديهيًا، لكنه نجح مع Lapsus$.