Storm-3032 i Storm-3121 wchodzą do Microsoft 365 przez prywatne telefony pracowników

Microsoft od maja śledzi co najmniej dwie grupy, oznaczone jako Storm-3032 i Storm-3121, które zdobywają dostęp do firmowych zasobów przez prywatne telefony pracowników. Napastnicy dzwonią albo wysyłają SMS-y na osobiste urządzenia i w ten sposób wyłudzają dostęp, całkowicie omijając zabezpieczenia uwierzytelniania stosowane w firmach.

Po wejściu grupy korzystają z Microsoft Graph API. Najpierw wskazują najcenniejsze cele, potem na dużą skalę wyprowadzają dane firmowe z Microsoft 365. Według Microsoftu zdobyty dostęp prawdopodobnie trafia dalej, do grup zajmujących się wymuszeniami, w tym do ShinyHunters. Microsoft nie powiązał jednak tych kampanii z żadnym znanym wyciekiem.

Ta droga omija firmowe bramki pocztowe i systemy EDR, bo prowadzi przez prywatny telefon, który ma niewiele zabezpieczeń albo nie ma ich wcale. Próbę przechodzi też zasada, według której pracownik może używać własnego urządzenia do pracy, byle nie do wrażliwych zasobów.