Phishing sendt fra Googles egen infrastruktur traff over 3000 virksomheter

Check Point har avdekket en phishing-kampanje som misbrukte Google Cloud Application Integration til å sende e-post fra en autentisk Google-adresse, og dermed passere tradisjonelle filtre. Over to uker ble 9394 ondsinnede e-poster sendt, utformet som rutinemessige virksomhetsvarsler. Mottakerne ble ledet gjennom flere ledd: først legitime Google Cloud-sider, deretter en falsk CAPTCHA og til slutt en etterlignet Microsoft-innloggingsside som stjal legitimasjonen. Kampanjen rammet virksomheter globalt, med industri og teknologi som mest berørte sektorer, foran finans og bank. Google opplyser at verktøyene deres ble misbrukt og at kampanjene er blokkert.

Hva det betyr for virksomheten

Avsenderdomenet var ekte, og de første stegene i kjeden lå på Googles egne sider. Kontroller som bygger på avsenderrenommé og domeneomdømme har lite å gå på her. For norsk industri og teknologi er dette et realistisk scenario, og resultatet er kapret Microsoft-konto.

Berigo anbefaler

• Innfør phishing-resistent flerfaktorautentisering, slik at en stjålet legitimasjon ikke gir tilgang.
• Sett opp betinget tilgang som krever kjent enhet for tilgang til Microsoft 365.
• Lær ansatte at avsenderadressen alene ikke er bevis, og at innlogging skal skje fra bokmerke eller portal.
• Overvåk nye innlogginger, videresendingsregler og enhetsregistreringer i e-postmiljøet.

Kilde

• blog.checkpoint.com