USE CASE #1
OD NIEAKTUALNEGO SMARTFONA
DO MASOWEGO SPAMU Z FIRMOWEJ DOMENY

ŹRÓDŁA PODATNOŚCI NA ATAK

• Jeden z pracowników otrzymał służbowy telefon bezpośrednio od prezesa,
  z pominięciem działu IT
• Urządzenie nie było objęte politykami cyberbezpieczeństwa ani nadzorem technicznym
• Telefon z systemem Android w starej, podatnej na ataki wersji służył jako główne narzędzie do odbierania tokenów 2FA do Microsoft 365
  
• Na smartfonie nie zainstalowano żadnego oprogramowania ochronnego (np. ESET Mobile Security) ani agenta zarządzającego typu MDM/MAM.
  

INCYDENT

Przestępcy wykorzystali znane podatności w nieaktualnym systemie Android. Przejęli kontrolę nad urządzeniem, co pozwoliło na pozyskanie loginu i hasła użytkownika oraz przejęcie tokenu 2FA bezpośrednio z zainfekowanego telefonu.

Następnie atakujący skompromitowali skrzynkę pocztową Microsoft 365, wykorzystując ją do masowej wysyłki spamu za granicę.

DLACZEGO ATAK SIĘ POWIÓDŁ?

• Brak aktualizacji: praca na dziurawym systemie operacyjnym.
  
• Brak widoczności: telefon był poza radarem działu IT, bez ochrony (brak centralnego zarządzania).
  
• Złudne zaufanie: zaufanie do 2FA bez zabezpieczenia urządzenia końcowego.
  

SKUTKI INCYDENTU

• Blokada komunikacji: systemy antyspamowe zablokowały konto firmowe, paraliżując pracę.
  
• Kryzys wizerunkowy: ryzyko trafienia domeny na czarne listy (RBL), co oznacza, że maile mogą przestać dochodzić do klientów przez kolejne tygodnie.
  
• Koszty operacyjne: konieczność pilnej analizy logów Microsoft 365 i żmudnego przywracania bezpieczeństwa kont
  

ROLA SOC ADQ: CO BY SIĘ ZMIENIŁO?

• Szybka detekcja anomalii: nasi analitycy natychmiast zauważyliby logowanie
  z nietypowej lokalizacji geograficznej.
  
• Reakcja na masową wysyłkę: SOC wykryłby nietypowy ruch wychodzący (spam)
  w czasie rzeczywistym, a nie dopiero po zablokowaniu serwerów przez filtry zewnętrzne.
  
• Ograniczenie szkód: wczesny alert pozwoliłby na automatyczną lub ręczną blokadę konta w ciągu minut, a nie godzin czy dni, chroniąc reputację Twojej domeny

KLUCZOWE WNIOSKI:

• Jeśli telefon, na którym generujesz kody, jest zainfekowany, zabezpieczenie przestaje istnieć.
• Telefony służbowe muszą podlegać tym samym rygorom bezpieczeństwa co laptopy.
  
• Usługa SOC zwiększa widoczność tego, co dzieje się w Twojej chmurze (M365) i radykalnie skraca czas reakcji na włamanie.