/ BLOG
Реальний кейс однієї успішної атаки: від листа-запрошення на навчання до повного контролю над мережею
Захист сучасної корпоративної інфраструктури тільки на перший погляд може здатися неприступною фортецею. Хмарна екосистема Microsoft 365, централізоване керування через Active Directory, багатофакторна автентифікація (MFA) та передові EDR-системи — бізнес інвестує значні бюджети в захист.
Але ця фортеця має слабке місце: її будують і нею керують люди.
Навіть найдосконаліший технічний бар’єр втрачає сенс, якщо зловмисникові не доводиться шукати вразливості. Достатньо лише вчасно й переконливо попросити людину відчинити «двері» зсередини.
У цьому кейсі слабкою ланкою є людський чинник, а точкою входу — привілейований обліковий запис системного адміністратора.
Приманка: як працює фішинговий гачок
У жовтні співробітник ІТ-відділу отримав лист нібито від корпоративного HR-департаменту.
Лист здається переконливим: фірмові шрифти, корпоративна айдентика, звичний тон і помітна кнопка «Розпочати навчання».
Співробітник натискає кнопку й потрапляє на знайому сторінку входу до корпоративного порталу Microsoft 365. Вважаючи, що має пройти короткий курс перед завершенням року, він вводить робочий логін і пароль.
На смартфон надходить звичний MFA-запит. Співробітник підтверджує вхід — і нібито отримує доступ до навчання.
Насправді зловмисники через AiTM-перехоплення отримують легітимний сесійний токен і доступ до облікового запису Microsoft 365.
Чому не врятувала двофакторна автентифікація?
Існує поширена думка, що наявність 2FA — це абсолютна гарантія захисту. Проте в цьому кейсі було застосовано техніку перехоплення автентифікації у режимі реального часу (Adversary-in-the-Middle, AiTM).
Фішинговий сайт працював як проміжний проксі між користувачем і легітимною сторінкою входу Microsoft 365 та передавав дані автентифікації у режимі реального часу. Коли системний адміністратор підтвердив другий фактор на телефоні, система зловмисника автоматично перехопила сесійний токен.
Під час такої атаки зловмисник може отримати логін, пароль і дійсний токен сесії користувача. Отже, скомпрометовано не лише поточну сесію, а й самі облікові дані, які можуть використати для доступу до інших ресурсів.
Один скомпрометований акаунт — і під загрозою вся система
Зловмисник опинився всередині екосистеми компанії. Якби на гачок потрапив звичайний співробітник, потенційні ризики для організації були б значно меншими. Проте жертвою став ІТ-адміністратор.
Один скомпрометований привілейований обліковий запис відкрив доступ до таких критичних систем організації:
Корпоративна пошта, Teams та OneNote | Перегляд конфіденційного внутрішнього листування, договорів та наказів керівництва. |
Хмарні сховища, бази знань і системи керування задачами (SharePoint, OneDrive, Jira) | Доступ до проєктної документації, баз знань та комерційної таємниці. |
Термінальні станції (RDP/Jump Hosts) | Точка старту для переміщення всередину закритого контуру мережі. |
Active Directory (AD) | Ядро корпоративної інфраструктури, що керує обліковими записами, правами та політиками безпеки кожного робочого місця компанії. |
Дії привілейованого користувача можуть здаватися легітимними, якщо компанія не контролює аномальну активність, не застосовує принцип найменших привілеїв і не переглядає адміністративні події.
Закріплення у системі та сценарії загрози
Отримавши такі привілеї, досвідчений хакер не видає відразу своєї присутності. Його головна мета — непомітне закріплення для реалізації критичних сценаріїв:
1. Закріплення в Active Directory: завдяки активному токену сесії зловмисник діє від імені справжнього адміністратора, тож система вважає його довіреним користувачем. За наявності потрібних прав він створює додаткові привілейовані акаунти, змінює політики доступу й залишає собі резервні входи в мережу.
Зміни пароля може бути недостатньо. Для зупинення активності хакера потрібно окремо відкликати активні сесії та токени, а також перевірити створені ним механізми закріплення.
2. Внутрішній фішинг: маючи доступ до пошти системного адміністратора, зловмисник надсилає бухгалтерії чи топменеджменту листи з проханням терміново оновити платіжні реквізити або встановити оновлення безпеки. Повідомлення від «колеги» не викликає жодних сумнівів — і жертва виконує вказівки хакера.
3. Ексфільтрація конфіденційних даних: протягом тижнів зловмисник методично копіює клієнтські бази, фінансові звіти та внутрішні регламенти задля подальшого вимагання коштів або перепродажу даних.
Оцінка бізнес-ризиків мовою цифр та наслідків
Категорія ризику | Що відбувається на практиці | Наслідки для бізнесу |
Зупинка або суттєве порушення операційної діяльності | Блокування або шифрування ключових серверів через контроль над Active Directory. | Повна зупинка операційної діяльності, зрив строків клієнтських контрактів, прямі фінансові втрати. |
Репутаційний удар | Витік персональних даних клієнтів або партнерських баз у відкритий доступ. | Втрата ринкових позицій, розірвання B2B-контрактів, довготривалий удар по репутації. |
Юридичні та регуляторні санкції | Порушення вимог щодо захисту даних (GDPR, PCI DSS, галузевих нормативів). | Ризик регуляторних санкцій, претензій контрагентів, судових спорів і позапланових перевірок — залежно від юрисдикції, характеру даних та умов договорів. |
Пряме фінансове шахрайство | Маніпуляція рахунками та платіжними реєстрами з довірених поштових скриньок. | Несанкціоноване перерахування коштів на підконтрольні зловмисникам рахунки. |
Стратегія захисту: з чого почати керівнику?
Щоб убезпечити компанію від подібних інцидентів, управлінцю не потрібно самостійно вивчати технічні деталі. Достатньо проконтролювати впровадження п’яти базових стандартів:
1. Захист корпоративної пошти
Налаштуйте систему так, щоб вона автоматично виявляла фішинг від імені компанії та блокувала небезпечні вкладення й посилання. Регулярно перевіряйте роботу цих налаштувань.
2. Принцип найменших привілеїв
Навіть провідні системні адміністратори не повинні мати постійних та необмежених прав до всієї інфраструктури. Розширений доступ має надаватися суворо на час виконання конкретної технічної операції (Just-In-Time access).
3. Стійка до фішингу автентифікація
Звичайні Push-сповіщення та SMS-повідомлення вразливі до AiTM-перехоплення. Для привілейованих акаунтів стандартом є перехід на апаратні ключі автентифікації (FIDO2 / Passkeys), які технічно неможливо скомпрометувати на сторонніх ресурсах.
4. Аналітика аномальної поведінки
Системи моніторингу мають сигналізувати про нетипові події: вхід з нового пристрою або незвичної геолокації, авторизацію в нетиповий час, зміну MFA-методів, створення нових привілейованих акаунтів чи масовий доступ до даних.
5. Контрольовані симуляції соціальної інженерії
Щоб підготувати співробітників до реальних атак, самих лише текстових інструкцій недостатньо. Контрольовані й безпечні симуляції фішингу дають команді можливість відпрацювати правильну реакцію на сучасні сценарії соціальної інженерії та підвищити готовність до дій зловмисників.
Контрольні запитання для C-Level керівника
Поставте своїй технічній команді лише 5 запитань:
1. Скільки співробітників у нашій компанії сьогодні мають права глобального адміністратора?
2. Чи захищені критичні облікові записи апаратними ключами, які не піддаються перехопленню?
3. Як зреагує система моніторингу, якщо наш адміністратор підключиться до інфраструктури вночі з невідомого пристрою?
4. Чи знають співробітники чіткий алгоритм повідомлення про підозрілі листи без остраху покарання за відкриття посилання?
5. Коли востаннє ми проводили практичну симуляцію цільового фішингу для нашої команди?
Виявляйте слабкі місця раніше за зловмисників
Безпека вашої інфраструктури — це не лише системи захисту. Це передусім люди, які щодня ухвалюють рішення: відкрити лист чи проігнорувати, перейти за посиланням чи зупинитися й перевірити.
Дізнатися, якою буде поведінка ваших співробітників у атаці, краще під час контрольованого тесту, ніж коли зловмисник уже потрапить до системи. Це завжди дешевше, швидше та менш болісно, ніж відновлення після компрометації.
Як відбувається таке тестування та чому воно є критично важливим для захисту компанії — дізнайтеся зі статті.
Бажаєте перевірити готовність вашої команди до реальної атаки хакерів? Зверніться до наших фахівців, щоб оцінити кіберстійкість, підібрати ефективний сценарій тестування та убезпечити компанію від кібератак.