Storm-2755: Chỉ một lần đăng nhập sai, hacker có thể âm thầm chiếm quyền Microsoft 365 và đánh cắp toàn bộ tiền lương của bạn như thế nào?

Duy Linh · 09:44

Các hacker đang triển khai chiến dịch “cướp tiền lương” bằng kỹ thuật tấn công trung gian (AiTM – Adversary-in-the-Middle), được Microsoft theo dõi dưới tên Storm-2755, nhắm vào người dùng tại Canada.

Thay vì tấn công trực tiếp vào doanh nghiệp cụ thể, nhóm này sử dụng quảng cáo độc hại và kỹ thuật SEO để đưa các trang giả mạo lên đầu kết quả tìm kiếm với những từ khóa phổ biến như “Office 365” hoặc các lỗi gõ sai như “Office 265”. Nạn nhân bị dẫn tới trang đăng nhập Microsoft 365 giả mạo, có giao diện gần như giống hệt trang thật.

Khi người dùng nhập thông tin, hệ thống của kẻ tấn công hoạt động như một trung gian trong quá trình đăng nhập, thu thập cả mật khẩu và mã thông báo phiên theo thời gian thực. Điều này cho phép chúng chiếm quyền truy cập mà không bị chặn bởi xác thực đa yếu tố (MFA).

Dữ liệu ghi nhận cho thấy trước khi tài khoản bị chiếm, thường xuất hiện lỗi đăng nhập 50199. Sau đó, cùng một phiên đăng nhập tiếp tục hoạt động nhưng với user-agent khác là Axios 1.7.9, cho thấy mã thông báo đã bị phát lại thay vì đăng nhập hợp lệ.

Luồng tấn công Storm-2755 (Nguồn: Microsoft).
Kẻ tấn công sử dụng các mã thông báo đã xác thực để truy cập Microsoft 365 mà không cần đăng nhập lại. Những mã này có thể còn hiệu lực tới 30 ngày nếu không bị thu hồi, cho phép truy cập vào Outlook, My Sign-Ins, My Profile và các hệ thống nhân sự.

Chúng duy trì truy cập bằng cách phát lại mã thông báo định kỳ khoảng 30 phút/lần, âm thầm giữ quyền kiểm soát tài khoản mà không gây chú ý. Trong một số trường hợp, hacker còn thay đổi mật khẩu và thiết lập MFA để duy trì quyền truy cập lâu dài.

Cách hacker đánh cắp tiền lương và biện pháp giảm thiểu

Sau khi xâm nhập, Storm-2755 tìm kiếm trong email, SharePoint và hệ thống nội bộ với các từ khóa như “bảng lương”, “nhân sự”, “tài chính”, “kế toán” để xác định quy trình chi trả lương.

Ví dụ về email chuyển khoản trực tiếp Storm-2755 (Nguồn: Microsoft).
Chúng gửi email giả danh nhân viên với tiêu đề như “Câu hỏi về chuyển khoản trực tiếp” để yêu cầu thay đổi tài khoản nhận lương. Nếu không thành công bằng kỹ thuật lừa đảo, hacker sẽ truy cập trực tiếp vào các nền tảng SaaS như Workday bằng phiên đăng nhập bị chiếm đoạt để chỉnh sửa thông tin ngân hàng.

Trong một trường hợp xác nhận, hacker đã thay đổi tài khoản nhận lương trên Workday, khiến toàn bộ tiền lương bị chuyển sang tài khoản của chúng, và nạn nhân chỉ phát hiện sau khi mất một kỳ lương.

Để che giấu hành vi, chúng tạo các quy tắc hộp thư để tự động chuyển email chứa từ khóa như “ngân hàng” hoặc “chuyển khoản trực tiếp” vào thư mục ẩn, khiến nạn nhân không thấy phản hồi từ bộ phận nhân sự.

Ngoài ra, hacker thường làm mới phiên đăng nhập vào khoảng 5 giờ sáng theo múi giờ của nạn nhân để giảm nguy cơ bị phát hiện.

Microsoft khuyến nghị các biện pháp giảm thiểu gồm: