Det finnes en ny Microsoft-påloggingssvindel som sprer seg raskt — og den har ingenting å gjøre med passordet ditt

De fleste nettbaserte svindler dreier seg fortsatt om ett mål: å stjele passordet ditt. Vi er trent til å se etter falske innloggingssider, mistenkelige lenker og presserende e-poster som ber oss om å "verifisere" kontoopplysningene våre.

Men en ny bølge av angrep på Microsoft-kontoer fungerer annerledes. Ofrene logger inn på Microsofts ekte nettside, bruker ekte sikkerhetssjekker, og fullfører til og med flerfaktorautentisering med suksess—likevel får angriperne tilgang.

Denne teknikken, kjent som enhetskode-phishing, stjeler ikke passordet ditt i det hele tatt. I stedet lurer den deg til å gi tilgang selv, ved å bruke Microsofts egen autentiseringssystem akkurat slik det er designet.

Enhetskode-pålogging er virkelig nyttig

Du har sannsynligvis brukt det mange ganger før

Microsoft, som andre store teknologiselskaper, støtter noe som kalles enhetsautorisasjonsflyt, som også er mer vanlig kjent som en enhetskodeinnlogging. Men enda vanligere enn det, er det øyeblikket når du, i stedet for en full innloggingsside, får vist en matchende innloggingskode på tvers av dine enheter som du må matche eller skrive inn for å fullføre innloggingsprosessen.

Det er veldig praktisk, spesielt på enheter som ikke enkelt kan vise en full påloggingsside, eller i tilfeller når du kobler til en enhet med begrenset bruk. For eksempel kan du ha støtt på disse på smart-TV-en din eller når du kobler til TV-en på hotellrommet ditt — begge er gode eksempler.

Det meste av tiden er denne prosessen helt trygg, og det er ingenting ved prosessen som er farlig. Men alt dette endres med et spesifikt utnyttelsesmetode.

Legitime funksjoner kan brukes mot deg

Den utnytter en vanlig antakelse

Innlogging med enhetskode er utrolig nyttig. Imidlertid kan det bli utnyttet fordi innloggingsprosesser for enheter naturlig antar at personen som skriver inn koden, har initiert forespørselen. Det er delvis her prosessen svikter.

Hvis en angriper kjenner e-postadressen din eller en annen kjent kontaktopplysning, kan de starte en påloggingsforespørsel for en enhet fra sin egen enhet, og starte en unik sesjon. Deretter genererer Microsoft (og andre teknologiselskaper) en gyldig enhetskode knyttet til den sesjonen.

Her er det det blir vanskelig. I stedet for å forsøke å bruke det selv, kan angriperen sende koden direkte til deg, forkledd som en annen prosess, mange av dem tar hensyn til kjente phishing-taktikker:

• Et sikkerhetsvarsel som hevder mistenkelig aktivitet
• En presserende Microsoft 365-varsling
• Meldinger fra Teams eller en IT-støttemelding
• Forretnings- eller andre e-posthenvendelser

Forespørselen instruerer deg til å besøke en offisiell Microsoft-påloggingsside og oppgi den angitte koden for å «sikre» eller «bekrefte» kontoen deres. Dette er hvor neste fase av utnyttelsen settes i gang. Du besøker ikke en falsk påloggingsside eller en smart designet phishingportal: det er en faktisk Microsoft-påloggingsside, og autentiseringskontrollene er ekte.

Du oppgir enhetskodeloggen som vanlig, godkjenner forespørselen, og føler at du har beskyttet kontoen din. Men i virkeligheten har du faktisk autentisert angriperen, og gitt fra deg nøklene til kontoen din i prosessen.

I hele prosessen blir aldri passordet ditt eksponert, likevel har du direkte overlevert kontoen din.

Hvorfor svindelen med enhetskodeinnlogging fungerer så bra

Det handler alt om etterligning

Det største problemet med svindel med enhetskodepålogging er at det omgår de fleste tradisjonelle phishing-svindeltaktikker. Phishing innebærer vanligvis en klonet påloggingsside, en liknende påloggingsside, eller et system som fanger opp legitimasjon.

Mens enhetens kodepåloggings-phishing-svindel hopper over alt dette, og får alt til å fremstå som lovlig og legit. Vel, det får det ikke engang til å virke «lovlig» — det er faktisk lovlig, ettersom du interagerer med Microsofts autentiseringsprosess. Hele svindelen fungerer fordi alle prosessene fungerer akkurat som de skal; de er bare blitt snudd litt på deg.

Så, hva kan en angriper få med tilgangstokenet ditt?

Å autentisere en angriper er åpenbart en dårlig situasjon

Etter at autentisering er fullført, utsteder Microsoft det som kalles et tilgangstoken, som fungerer som et midlertidig bevis på at innloggingen allerede er bekreftet. Funksjonelt antar systemet at innehaveren allerede har bevist sin identitet, så det tillater tilgang uten å gjentatte ganger be om påloggingsinformasjon.

Da avhenger svaret på hva en angriper kan få tak i virkelig av hvilken konto som er målrettet. For eksempel, hvis Outlook-kontoen din blir målrettet, kan en angriper få tilgang til e-postene dine, og derigjennom andre tjenester knyttet til adressen (ved å tilbakestille passord, få tilgang til 2FA-koder, osv.).

Men hvis Teams-påloggingen din blir målet, kan en angriper ende opp inne i selskapets Teams-konto, med tilgang til dataene som ligger der.

Så, hvordan beskytter du deg mot phishing av enhetskode?

Konstant, aldri-avsluttende årvåkenhet

Til syvende og sist er den beste forsvarsmekanismen mot angrep på kodeenheter å virkelig prøve å forstå hvordan enhetsinnlogging faktisk fungerer. Selv et grunnleggende nivå av forståelse av enhetsinnloggingsprosesser vil beskytte deg mot dette phishing-angrepet.

Kort sagt bør enheter påloggingskoder bare vises når du selv starter en pålogging på en annen enhet. Microsoft vil ikke tilfeldig sende deg en kode for å sikre kontoen din, på samme måte som det aldri vil sende deg en melding som ber om passordet ditt, for å bekrefte en 2FA-kode, og så videre.

Husk, dette er ikke bare Microsoft. Ingen selskap, teknologisk eller ikke, bør noen gang be deg om denne informasjonen. Det er privat og kun for deg.

I de fleste tilfeller kan du følge de vanlige sikkerhetsreglene for å oppdage phishing-svindel:

• Aldri tast inn en påloggingskode sendt via e-post, chat eller tekstmeldinger.
• Behandle uventede autentiseringsforespørsler på samme måte som du ville behandlet en passordforespørsel.
• Hvis du mottar en MFA-forespørsel du ikke utløste, avvis den umiddelbart.
• Gjennomgå Microsoft-påloggingsaktivitet regelmessig for ukjente applikasjoner eller økter.

Husk, autentiseringskoder er tillatelser, ikke verifiseringstrinn. Hvis du ikke startet prosessen, gjorde noen andre det.