חוקרי אבטחה חשפו מבצע תקיפה שמנצל דבר שרובנו מתחברים אליו בלי לחשוב פעמיים: ה-Wi-Fi של בית המלון או של מרכז הכנסים. התוקפים משתלטים על המכשיר שמחלק את האינטרנט לאורחים, ומפנים כל מי שמנסה להיכנס לחשבון Microsoft 365 שלו לעמוד התחברות מזויף. המטרה היא להשתלט על חשבונות של אנשי עסקים שנוסעים לעבודה.

מה קרה

חברת האבטחה ReliaQuest דיווחה שקבוצת תקיפה השתלטה על שערי ה-Wi-Fi (המכשירים שמנתבים את התעבורה לאורחים) במלונות ובמרכזי כנסים במספר ערים בארצות הברית, בהודו ובסעודיה. הדרך פנימה הייתה בדרך כלל ממשק ניהול חשוף עם סיסמה חלשה. אחרי שהשיגו שליטה, התוקפים שינו את הגדרות ה-DNS (המערכת שמתרגמת שם של אתר לכתובת שאליה המחשב מתחבר בפועל), כך שכתובת שנראית תקינה מובילה בשקט לשרת שלהם. הם רשמו מראש דומיינים שנראים כמו של מיקרוסופט, למשל m365-owa ו-ms365-device.

הצעד המתוחכם ביותר עוקף גם אימות דו-שלבי (2FA, אישור נוסף מעבר לסיסמה). במקום לבקש מכם סיסמה, העמוד המזויף מציג בקשה בשיטת "קוד התחברות" (device code): מסך שמראה קוד קצר ומבקש שתאשרו כניסה. מי שמאשר, מאשר בעצם התחברות שהתוקף התחיל ממחשב אחר, והתוקף מקבל גישה מלאה לחשבון בלי לגנוב את הסיסמה ובלי צורך בקוד ה-2FA. החוקרים מציינים שהטקטיקות דומות לאלה של קבוצת ריגול המזוהה עם מודיעין רוסי.

למה זה חשוב לכם

רבים מאיתנו מתחברים לדואר העבודה, ל-Office או לחשבון מיקרוסופט מה-Wi-Fi של מלון בחו"ל או של כנס בארץ, מתוך הנחה שהרשת בטוחה. המבצע הזה מראה שאפשר להפוך רשת אורחים שלמה למלכודת, ושדווקא שכבת ההגנה שסמכנו עליה, ה-2FA, לא תמיד עוצרת את זה. וגם אם אינכם אנשי עסקים, אותו טריק של "אשרו את הקוד" עובד על כל חשבון שתומך בשיטה הזאת.

מה עושים?

כשאתם על Wi-Fi של מלון או של מקום ציבורי, הימנעו מהתחברות לחשבונות רגישים כמו דואר העבודה. עדיף להשתמש בחבילת הגלישה של הטלפון או בנקודת אינטרנט אישית (hotspot).

התקינו והפעילו VPN (שירות שמצפין את התעבורה שלכם) לפני שאתם גולשים ברשת ציבורית.

בדקו את הכתובת בשורת הדפדפן. עמוד ההתחברות האמיתי של מיקרוסופט הוא login.microsoftonline.com או office.com, ולא כתובות כמו m365-owa.

הכלל החשוב מכולם: לעולם אל תאשרו בקשת התחברות או קוד שלא אתם התחלתם. אם צץ מסך שמבקש לאשר כניסה שלא יזמתם, סרבו וסגרו אותו.

רשת אלחוטית "חינמית" לא תמיד באה בלי מחיר. רגע של תשומת לב לפני שמתחברים לחשבון חשוב שווה יותר מכל נוחות.