Cảnh báo chiến dịch lừa đảo lợi dụng sự cố Microsoft 365 để đánh cắp thông tin

• Chiến dịch phishing: Kẻ tấn công lợi dụng sự cố gián đoạn dịch vụ Microsoft 365 ngày 12/11 để gửi email lừa đảo.
• Kỹ thuật giả mạo: Email giả mạo thông báo tình trạng dịch vụ, trích dẫn mã sự cố thực tế EX1550543 để tạo lòng tin.
• Mục tiêu tấn công: Đánh cắp thông tin đăng nhập (credential harvesting) thông qua các liên kết khôi phục giả mạo.
• Khuyến nghị: Đội ngũ SOC cần kiểm tra nhật ký EmailEvents và cấu hình lại chính sách Safe Links trong Defender for Office 365.

Theo báo cáo từ các chuyên gia an ninh mạng, một chiến dịch phishing đang diễn ra tích cực nhằm lợi dụng sự cố gián đoạn dịch vụ Microsoft 365 ngày 12/11. Kẻ tấn công đã gửi đi các email giả mạo thông báo tình trạng dịch vụ, sử dụng mã sự cố Exchange Online thực tế là EX1550543 để lừa người dùng nhấp vào các liên kết khôi phục tài khoản giả mạo.

Phân tích kỹ thuật chiến dịch tấn công

Các email lừa đảo được thiết kế với tiêu đề theo mẫu 'Outage – [mã sáu ký tự]'. Tên hiển thị của người gửi thường chứa các tiền tố đặc thù của tổ chức, kết hợp với các cụm từ như 'Outage Notification' hoặc 'Service Health'. Việc sử dụng mã sự cố thực tế giúp thông điệp trở nên đáng tin cậy hơn đối với nhân viên đang lo lắng về các giao dịch kinh doanh bị gián đoạn.

Nhóm phân tích kỹ thuật đã xác định được ba tên miền gửi email chính bao gồm: moments-notice[.]com, planetmaison[.]com, và newbooker[.]com. Các liên kết nhúng trong email sử dụng dịch vụ theo dõi lượt nhấp SendGrid trước khi chuyển hướng nạn nhân đến trang web reallifeaccounting[.]com với đường dẫn /themelist0.html.

Chiến lược săn tìm mối đe dọa (Threat Hunting)

Để phát hiện và ngăn chặn các nỗ lực xâm nhập, các đội ngũ vận hành an ninh (SOC) nên tận dụng các công cụ có sẵn trong hệ sinh thái Microsoft Defender. Việc sử dụng Defender for Office 365 Threat Explorer và Defender XDR advanced hunting là phương pháp tối ưu để truy vết các dấu hiệu bất thường.

Các nhà nghiên cứu khuyến nghị thực hiện các truy vấn trên các bảng dữ liệu sau để xác định các tương tác đáng ngờ:

EmailEvents | where SenderDomain in ('moments-notice.com', 'planetmaison.com', 'newbooker.com') | project Timestamp, SenderMailFromAddress, Subject, RecipientEmailAddressEmailUrlInfo | where UrlDomain == 'reallifeaccounting.com'UrlClickEvents | where Url == 'reallifeaccounting.com/themelist0.html'

⚠️ Cảnh báo quan trọng: Việc chỉ kiểm tra xem email có được gửi đến hay không là chưa đủ. Đội ngũ an ninh cần tập trung điều tra các tương tác của người dùng, đặc biệt là các lượt nhấp vào liên kết, vì đây là thời điểm rủi ro cao nhất dẫn đến việc mất thông tin đăng nhập.

Khuyến nghị phòng thủ và Hardening

Để giảm thiểu rủi ro từ các cuộc tấn công tương tự, các tổ chức cần thực hiện các bước hardening hệ thống email và nâng cao nhận thức người dùng:

• Cấu hình Safe Links: Kiểm tra và đảm bảo chính sách Safe Links trong Defender for Office 365 được cấu hình đúng cách để cung cấp khả năng bảo vệ tại thời điểm nhấp chuột (time-of-click protection).
• Xác thực dịch vụ: Hướng dẫn người dùng chỉ kiểm tra tình trạng gián đoạn dịch vụ thông qua Microsoft 365 admin center chính thức, thay vì tin tưởng vào các liên kết trong email.
• Giám sát hành vi: Thiết lập cảnh báo cho các email có tiêu đề chứa mẫu 'Outage' kết hợp với các tên miền lạ, không thuộc hạ tầng của Microsoft.

Mặc dù các nhà nghiên cứu chưa xác nhận việc đánh cắp thành công thông tin đăng nhập hay phát tán mã độc trong chiến dịch này, nhưng bản chất của các liên kết chuyển hướng cho thấy đây là một nỗ lực phishing có chủ đích. Việc duy trì cảnh giác và tuân thủ các quy trình xác thực là chìa khóa để bảo vệ tài sản số của doanh nghiệp trước các mối đe dọa mạng ngày càng tinh vi.