“Övertygande” nätfiskekampanj utger sig för att vara regering Byråer

Säkerhetsforskare har avslöjat en rad nätfiskekampanjer som efterliknar statliga myndigheter, som skickas till entreprenörer och företag.

Kampanjerna i sig, som är ”mer övertygande [and] mer undvikande” än någonsin tidigare, är en fortsättning på en kampanj som startade redan 2019, och fortsatte under 2021 – men nu förfalskas fler byråer.

Lösenordshanterare – vilket underlättar skapandet av ett annat lösenord för varje konto du äger utan att du behöver komma ihåg dem alla – minimerar avsevärt skadan som nätfiske kan orsaka.

Phishing-kampanj utger sig för att vara amerikanska myndigheter

Forskare vid Cofense har upptäckt en nätfiskekampanj där hotaktörerna maskerar sig som Department of Labor, Transportation eller Commerce.

Till stor del riktar sig till företag som bjuder på statliga kontrakt – som utgör ett brett utbud av företag inom flera sektorer av ekonomin – målet är att stjäla Microsoft 365-uppgifter.

E-postmeddelandena innehåller detaljerade PDF-filer som Cofense säger är kortare och mer anpassade än tidigare iterationer av en långvarig kampanj.

Den övergripande formateringen av dokumenten är mer konsekvent än tidigare, noterade phishing-skyddsspecialisterna, vilket är oroande att beakta inkonsekvenser av detta slag är ofta ett av de tydligaste tecknen på att ett e-postmeddelande som detta inte är äkta.

Cofense, som först utger sig för att vara Department of Labor, säger att nätfiskekampanjen har “utvecklats över tiden genom att förbättra e-postinnehållet, PDF-innehållet och utseendet och beteendet på nätfiskesidorna.”

Smart taktik för att lura även de mest hotfulla anställda inkluderar att använda HTTPS för den skadliga domänen som användare omdirigeras till, vilket säkerställer att ett grönt hänglås visas i adressfältet (Bildkredit: Cofense).

Andra tekniker inkluderar att be offren att verifiera att de är människor via CAPTCHA, omdirigering till de legitima myndigheternas sidor efter exfiltrering av autentiseringsuppgifter och officiellt utseende vattenstämplar på PDF-filer.

Hur lösenordshanterare minimerar inverkan på lösenordsfiske

Om du inte använder programvara som en lösenordshanteraren, då finns det en god chans att du återanvänder lösenord från konto till konto. Du skulle inte vara ensam heller, med massor av människor återanvända sina favoritlösenord över affärs- och privatkonton.

I det här fallet, om ditt Microsoft 365-lösenord inte var unikt, skulle en hackare ha tillgång till inte bara ditt Microsoft 365-konto, utan alla andra konton som du använde det lösenordet med.

De skulle kunna logga in på andra medarbetarkonton du äger – kanske till en programvara för projektledning app eller ditt företags CRM-system — samt eventuella personliga konton med dessa uppgifter som används, vilket kan leda till stöld och efterföljande missbruk av ännu mer av din information.

Att lagra alla dina lösenord på ett ställe innebär att du bara behöver komma ihåg en lösenordsnyckel för ditt lösenordshanterarkonto, så vart och ett kommer att vara helt unikt, vilket avsevärt minimerar hotet om en sådan attack.

Lösenordshanterare skyddar dig också från en rad andra cyberhot. Dessa inkluderar fyllning av autentiseringsuppgifter (att använda stulna uppgifter från ett konto för att hacka sig in på andra konton som ett offer äger) och brute-forcing (att köra ett skript som bombarderar en inloggningssida med vanliga lösenord, i hopp om att ett av dem används), båda förlita sig på svaga eller osäkra kontouppgifter för att fungera.

Med hot som blir allt mer sofistikerade, är det minsta du kan göra att utrusta dig med teknik som denna.