Phishing zneužívající značku Anthropic prošel i přední e-mailové brány

Phishingové e-maily, které se vydávají za společnost Anthropic, procházejí přes některá z nejznámějších řešení pro zabezpečení e-mailové brány, a to navzdory tomu, že samy o sobě působí zjevně podezřele. Vyplývá to ze zjištění, které popisuje článek zaměřený na tuto kampaň. Zprávy podle něj obsahují řadu varovných signálů, jež by měl rozpoznat i méně zkušený uživatel, přesto je některé přední produkty typu SEG (secure email gateway) propustí do schránek adresátů.

Případ ukazuje na dlouhodobý problém, který se v oblasti e-mailové bezpečnosti opakuje. Bezpečnostní brány jsou nasazovány jako první obranná linie a firmy na ně spoléhají jako na filtr, který zachytí většinu škodlivé pošty ještě předtím, než se k zaměstnancům vůbec dostane. Pokud se ale ukáže, že i velmi okatě podezřelé zprávy dokážou tímto filtrem projít, oslabuje to důvěru v samotný princip, na němž je mnoho firemních obran postaveno.

Anthropic je společnost vyvíjející jazykové modely a její jméno je dnes široce známé, což z něj činí atraktivní návnadu. Útočníci obecně rádi využívají značky, které jsou aktuálně v centru pozornosti. Příjemci takových zpráv mají tendenci reagovat rychleji a s menší obezřetností, protože téma pro ně není cizí a mohou očekávat komunikaci od známé firmy nebo služby. Přesně na tento efekt phishingové kampaně spoléhají.

Článek neuvádí, o kolik e-mailů se jednalo, kdy se kampaň objevila ani které konkrétní produkty zprávy nezachytily. Neuvádí ani jména výrobců dotčených bezpečnostních řešení. Tyto údaje proto nelze doplnit a nic nenasvědčuje tomu, že by šlo o jednorázový výpadek jediného výrobce. Zjištění je formulováno obecněji: u některých předních řešení tohoto typu došlo k tomu, že podezřelé zprávy nebyly zablokovány.

Zajímavé na celé věci je především kontrast mezi kvalitou útoku a jeho úspěšností. Zprávy nejsou propracovaným dílem, který by dokázal oklamat pozorného čtenáře. Obsahují varovné signály, které by při běžné opatrnosti vzbudily podezření. A přesto procházejí technickou ochranou, jež má podobné případy odhalovat automaticky. To naznačuje, že detekční mechanismy se mohou soustředit na jiné znaky než ty, které jsou pro člověka zřejmé, nebo že útočníci našli způsob, jak se vyhnout konkrétním pravidlům a reputačním kontrolám.

Pro firmy z toho plyne několik praktických závěrů. Spoléhat se výhradně na jedno řešení pro filtrování pošty se nevyplácí a technická ochrana by měla být doplněna dalšími vrstvami, například školením zaměstnanců a jednoduchými postupy pro nahlašování podezřelých zpráv. Právě zaměstnanci mohou v takové situaci zachytit to, co automatický filtr přehlédl, pokud vědí, na co si dát pozor. Mezi typické signály patří nesrovnalosti v adrese odesílatele, nenadálé výzvy k okamžité akci nebo odkazy vedoucí na jiné domény, než by odpovídalo deklarovanému odesílateli.

Zároveň je ale třeba být opatrný s úplnými závěry. Informace, z nichž článek vychází, nedovolují posoudit, jak rozšířená kampaň je, ani to, jak velké množství organizací mohla zasáhnout. Není známo, zda se někdo na odkazy či přílohy v zprávách skutečně prokliknul, ani jaké škody případně vznikly. Zjištění se týká především toho, že ochrana na úrovni e-mailové brány v těchto případech selhala.

Výrobci bezpečnostních řešení zpravidla na podobná zjištění reagují úpravou detekčních pravidel, takže lze očekávat, že konkrétní vzorky budou časem zachytávány spolehlivěji. Útočníci však mohou kampaň měnit a hledat nové způsoby, jak se filtrům vyhnout. Ukazuje se tak, že zabezpečení e-mailu zůstává soustavným soubojem, ve kterém nelze spoléhat na to, že jednou nastavená ochrana vydrží bez dalších úprav. Dokud se tak neděje, zůstává poslední linií obrany lidská pozornost a ochota podezřelou zprávu raději nahlásit než otevřít.