مدل‌های OpenAI در جریان یک آزمون داخلی امنیت سایبری به زیرساخت هاگینگ فیس نفوذ کردند
1405-05-17
10:19 ق.ظ
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
تیم‌های امنیتی طی سال‌های گذشته با استفاده از احراز هویت چندعاملی (MFA)، دسترسی مشروط (Conditional Access) و اعتماد به دستگاه (Device Trust) تلاش کرده‌اند دسترسی غیرمجاز مهاجمان به حساب‌های کاربری را دشوارتر کنند. احراز هویت چندعاملی با افزودن یک لایه حفاظتی مهم به احراز هویت مبتنی بر رمز عبور، در کنار بررسی‌های امنیتی بیشتر پیش از دسترسی کاربران به سامانه‌های حساس، سطح امنیت حساب‌ها را افزایش داده است. با این حال، تقویت این لایه‌های امنیتی باعث شده است مهاجمان به دنبال مسیرهای دیگری برای نفوذ باشند. به همین دلیل، برخی حملات به‌جای هدف قرار دادن مستقیم سازوکارهای احراز هویت، فرآیندهای مرتبط با آن، به‌ویژه بازیابی حساب (Account Recovery) را هدف قرار می‌دهند. در چنین شرایطی، مهاجم نیازی به سرقت عامل دوم احراز هویت ندارد؛ کافی است فردی را که مجوز مدیریت این عامل دارد، فریب دهد تا عامل احراز هویت تغییر کند و دسترسی به حساب در اختیار مهاجم قرار گیرد. بنابراین، بازیابی حساب دیگر صرفاً یک فرآیند پشتیبانی نیست، بلکه به بخشی از فرآیند امنیت هویت سازمان تبدیل شده است و سرویس دسک (Service Desk) نیز در این میان نقش مهمی در حفاظت از دسترسی به حساب‌های کاربری دارد.
لاگ‌های بدافزار رباینده اطلاعات (Infostealer) از داده‌هایی که در بازارهای زیرزمینی خریدوفروش می‌شوند، به یک چالش عملیاتی برای تیم‌های امنیتی تبدیل شده‌اند. شناسایی یک اعتبارنامه در معرض سوءاستفاده، تنها آغاز فرآیند بررسی است؛ زیرا لاگ ممکن است علاوه بر نام کاربری و رمز عبور یک سرویس سازمانی، حاوی کوکی‌های مرورگر، نشست‌های فعال و سایر اعتبارنامه‌های ذخیره‌شده باشد که مهاجمان می‌توانند از آن‌ها برای دسترسی غیرمجاز استفاده کنند. این تهدید زمانی جدی‌تر می‌شود که دستگاه آلوده، یک رایانه شخصی خارج از مدیریت سازمان باشد یا اطلاعات سرقت‌شده در اختیار واسطه‌های دسترسی اولیه (IABs)، همکاران عملیاتی باج‌افزار یا مهاجمان فرصت‌طلب قرار گیرد. بر اساس پژوهش Flare، حدود 46 درصد از لاگ‌های حاوی اعتبارنامه‌های سازمانی از دستگاه‌های شخصی یا احتمالاً مدیریت‌نشده به دست می‌آیند. همچنین این پژوهش نشان می‌دهد میزان افشای اعتبارنامه‌ها و نشست‌های سرویس‌های اصلی نرم‌افزار به‌عنوان سرویس (SaaS) و سرویس‌های ابری، سالانه حدود 29 درصد افزایش یافته است. در چنین شرایطی، مسئله اصلی دیگر صرفاً مانیتورینگ بدافزار رباینده اطلاعات نیست؛ بلکه تشخیص این است که آیا یک رمز عبور قدیمی و بی‌اهمیت در اختیار مهاجمان قرار گرفته یا هویت سازمانی کاربر واقعاً در معرض سوءاستفاده قرار دارد؛ وضعیتی که ممکن است در همان لحظه در حال وقوع باشد.
احراز هویت یکپارچه (Single Sign-On یا SSO) با فراهم کردن امکان ورود به چندین سامانه، به کاربران اجازه می‌دهد با یک بار ورود، بدون نیاز به وارد کردن مجدد اطلاعات ورود برای هر سامانه، به سرویس‌های مختلف دسترسی داشته باشند؛ قابلیتی که اگرچه تجربه کاربری و مدیریت دسترسی را ساده‌تر می‌کند
مایکروسافت در تازه‌ترین گام برای تقویت امنیت هویت دیجیتال، اعلام کرده است که کلید عبور (Passkey) را به روش پیش‌فرض احراز هویت در سرویس Microsoft Entra ID تبدیل می‌کند و به‌تدریج استفاده از روش‌های سنتی مانند پیامک و تماس صوتی را کنار می‌گذارد
گوگل از عرضه عمومی ویژگی امنیتی Device Bound Session Credentials (DBSC) خبر داد؛ فناوری جدیدی که با هدف مقابله با سرقت کوکی نشست و جلوگیری از دسترسی غیرمجاز به حساب‌های کاربری توسعه یافته است.
توزیع‌شدن زیرساخت‌ها و حرکت سازمان‌ها به‌سمت مدل‌های Hybrid و Remote Work باعث شده تا دیگر مدل‌های سنتی امنیت محیطی و PAMهای On-Prem جوابگوی نیازهای امروز نباشند.مدیران IT، پیمانکاران برون سازمانی و Vendorها باید بتوانند از هر نقطه و روی هر دستگاهی بدون تضعیف امنیت یا ایجاد پیچیدگی اضافی دسترسی امن و
سازمان‌ها در سال ۲۰۲۵ با یک حقیقت سخت روبه‌رو هستند:مشکل واقعی در احراز هویت، ضعف تکنولوژی نیست؛ ضعف انسان است.کاربر همچنان رمزهای ساده، تکراری و قابل حدس انتخاب می‌کند، و مهاجمان هر روز با روش‌های جدید MFA fatigue، session hijacking، و سرقت OTPها این زنجیره را تضعیف می‌کنند.بنابراین، مدل‌های سنتی
در سال ۲۰۲۵، کارمندان همچنان از رمزهای عبور ضعیف استفاده می‌کنند. به جای اینکه انتظار تغییر غیرممکن داشته باشیم، رهبران امنیتی در حال دور زدن این مشکل هستند. رمزهای عبور کار نمی‌کنند با اینکه حدود نیم قرن از گسترش رایانه‌های شخصی می‌گذرد، کاربران هنوز هم رمزهای عبور قوی و پیچیده
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
تیم‌های امنیتی طی سال‌های گذشته با استفاده از احراز هویت چندعاملی (MFA)، دسترسی مشروط (Conditional Access) و اعتماد به دستگاه (Device Trust) تلاش کرده‌اند دسترسی غیرمجاز مهاجمان به حساب‌های کاربری را دشوارتر کنند. احراز هویت چندعاملی با افزودن یک لایه حفاظتی مهم به احراز هویت مبتنی بر رمز عبور، در کنار بررسی‌های امنیتی بیشتر پیش از دسترسی کاربران به سامانه‌های حساس، سطح امنیت حساب‌ها را افزایش داده است. با این حال، تقویت این لایه‌های امنیتی باعث شده است مهاجمان به دنبال مسیرهای دیگری برای نفوذ باشند. به همین دلیل، برخی حملات به‌جای هدف قرار دادن مستقیم سازوکارهای احراز هویت، فرآیندهای مرتبط با آن، به‌ویژه بازیابی حساب (Account Recovery) را هدف قرار می‌دهند. در چنین شرایطی، مهاجم نیازی به سرقت عامل دوم احراز هویت ندارد؛ کافی است فردی را که مجوز مدیریت این عامل دارد، فریب دهد تا عامل احراز هویت تغییر کند و دسترسی به حساب در اختیار مهاجم قرار گیرد. بنابراین، بازیابی حساب دیگر صرفاً یک فرآیند پشتیبانی نیست، بلکه به بخشی از فرآیند امنیت هویت سازمان تبدیل شده است و سرویس دسک (Service Desk) نیز در این میان نقش مهمی در حفاظت از دسترسی به حساب‌های کاربری دارد.
لاگ‌های بدافزار رباینده اطلاعات (Infostealer) از داده‌هایی که در بازارهای زیرزمینی خریدوفروش می‌شوند، به یک چالش عملیاتی برای تیم‌های امنیتی تبدیل شده‌اند. شناسایی یک اعتبارنامه در معرض سوءاستفاده، تنها آغاز فرآیند بررسی است؛ زیرا لاگ ممکن است علاوه بر نام کاربری و رمز عبور یک سرویس سازمانی، حاوی کوکی‌های مرورگر، نشست‌های فعال و سایر اعتبارنامه‌های ذخیره‌شده باشد که مهاجمان می‌توانند از آن‌ها برای دسترسی غیرمجاز استفاده کنند. این تهدید زمانی جدی‌تر می‌شود که دستگاه آلوده، یک رایانه شخصی خارج از مدیریت سازمان باشد یا اطلاعات سرقت‌شده در اختیار واسطه‌های دسترسی اولیه (IABs)، همکاران عملیاتی باج‌افزار یا مهاجمان فرصت‌طلب قرار گیرد. بر اساس پژوهش Flare، حدود 46 درصد از لاگ‌های حاوی اعتبارنامه‌های سازمانی از دستگاه‌های شخصی یا احتمالاً مدیریت‌نشده به دست می‌آیند. همچنین این پژوهش نشان می‌دهد میزان افشای اعتبارنامه‌ها و نشست‌های سرویس‌های اصلی نرم‌افزار به‌عنوان سرویس (SaaS) و سرویس‌های ابری، سالانه حدود 29 درصد افزایش یافته است. در چنین شرایطی، مسئله اصلی دیگر صرفاً مانیتورینگ بدافزار رباینده اطلاعات نیست؛ بلکه تشخیص این است که آیا یک رمز عبور قدیمی و بی‌اهمیت در اختیار مهاجمان قرار گرفته یا هویت سازمانی کاربر واقعاً در معرض سوءاستفاده قرار دارد؛ وضعیتی که ممکن است در همان لحظه در حال وقوع باشد.
احراز هویت یکپارچه (Single Sign-On یا SSO) با فراهم کردن امکان ورود به چندین سامانه، به کاربران اجازه می‌دهد با یک بار ورود، بدون نیاز به وارد کردن مجدد اطلاعات ورود برای هر سامانه، به سرویس‌های مختلف دسترسی داشته باشند؛ قابلیتی که اگرچه تجربه کاربری و مدیریت دسترسی را ساده‌تر می‌کند
مایکروسافت در تازه‌ترین گام برای تقویت امنیت هویت دیجیتال، اعلام کرده است که کلید عبور (Passkey) را به روش پیش‌فرض احراز هویت در سرویس Microsoft Entra ID تبدیل می‌کند و به‌تدریج استفاده از روش‌های سنتی مانند پیامک و تماس صوتی را کنار می‌گذارد
گوگل از عرضه عمومی ویژگی امنیتی Device Bound Session Credentials (DBSC) خبر داد؛ فناوری جدیدی که با هدف مقابله با سرقت کوکی نشست و جلوگیری از دسترسی غیرمجاز به حساب‌های کاربری توسعه یافته است.
توزیع‌شدن زیرساخت‌ها و حرکت سازمان‌ها به‌سمت مدل‌های Hybrid و Remote Work باعث شده تا دیگر مدل‌های سنتی امنیت محیطی و PAMهای On-Prem جوابگوی نیازهای امروز نباشند.مدیران IT، پیمانکاران برون سازمانی و Vendorها باید بتوانند از هر نقطه و روی هر دستگاهی بدون تضعیف امنیت یا ایجاد پیچیدگی اضافی دسترسی امن و
سازمان‌ها در سال ۲۰۲۵ با یک حقیقت سخت روبه‌رو هستند:مشکل واقعی در احراز هویت، ضعف تکنولوژی نیست؛ ضعف انسان است.کاربر همچنان رمزهای ساده، تکراری و قابل حدس انتخاب می‌کند، و مهاجمان هر روز با روش‌های جدید MFA fatigue، session hijacking، و سرقت OTPها این زنجیره را تضعیف می‌کنند.بنابراین، مدل‌های سنتی
در سال ۲۰۲۵، کارمندان همچنان از رمزهای عبور ضعیف استفاده می‌کنند. به جای اینکه انتظار تغییر غیرممکن داشته باشیم، رهبران امنیتی در حال دور زدن این مشکل هستند. رمزهای عبور کار نمی‌کنند با اینکه حدود نیم قرن از گسترش رایانه‌های شخصی می‌گذرد، کاربران هنوز هم رمزهای عبور قوی و پیچیده
