แคมเปญฟิชชิงใช้ประโยชน์จากฟีเจอร์ Direct Send ของ Microsoft 365

จากรายงานโดยเว็บไซต์ SCworld ได้กล่าวถึงการที่ทางทีมวิจัยจาก KnowBe4 Threat Lab องค์กรวิจัยด้านความปลอดภัยไซเบอร์ ได้ทำการตรวจพบแคมเปญการโจมตีเพื่อหลอกลวงเหยื่อด้วยวิธีการ Phishing ในรูปแบบใหม่ ด้วยการใช้งานฟีเจอร์ Direct Send ของ Microsoft 365 ในเขตตะวันตกของประเทศสหรัฐอเมริการะหว่างช่วงเวลาทำงาน (Business Hour) โดยมีการส่งเป็นปริมาณสูงสุด วันจันทร์ - อังคาร รวมอีเมลที่ถูกส่งถึงมากสุดถึง 29,785 ฉบับ โดยมีอีเมลประมาณ 35% ที่ยืนยันได้ว่ามีการแอบแฝงไฟล์ที่เป็นอันตรายซึ่งถูกอ้างว่าเป็นเอกสารทางการเงิน หรือ ใบเรียกเก็บเงิน

โดยฟีเจอร์ Direct Send ของ Microsoft 365 นั้นเป็นฟีเจอร์ที่ช่วยให้อุปกรณ์และแอปพลิเคชันเก่าเก็บ (Legacy) สามารถทำการส่งอีเมลได้โดยไม่ต้องสร้างบัญชีอีเมลโดยเฉพาะ (Dedicated Account) ซึ่งฟีเจอร์นี้จะช่วยให้ทางแฮกเกอร์สามารถหลอกเหยื่อได้อย่างแนบเนียนว่าอีเมลนั้นเป็นการส่งจากแผนกภายใน เช่น แผนกทรัพยากรบุคคล หรือ แผนกบัญชี โดยอีเมลที่ส่งจากฟีเจอร์นี้จะสามารถเล็ดลอดเครื่องมือกลั่นกรองอย่างเกตเวย์ (Gateway) ได้ เนื่องจากฟังก์ชันนี้มีการเชื่อมต่อกับระบบปลายทาง (Endpoint) ของ Exchange Online MX โดยตรง

ทางองค์กรต่าง ๆ สามารถสังเกตได้ว่าอีเมลที่เหมือนจะเป็นของแท้นั้นถูกส่งมาด้วยฟีเจอร์ดังกล่าวได้ ด้วยการสั่งเกตที่ส่วนหัว (Header) ว่ามี "X-MS-Exchange-Organization-AuthAs: Anonymous" ปรากฏอยู่หรือไม่ และสามารถป้องกันได้ด้วยการตั้งค่า p=reject ในส่วนของ DMARC Policy, ปิดการใช้งาน Direct Send ถ้าไม่จำเป็นต้องใช้งาน, และเปิดการใช้งาน DKIM Signing เพื่อตรวจสอบรับรองอีเมลขาออก (Outbound) ทุกฉบับ