Badacze z Okta Threat Intelligence odkryli platformę phishing-as-a-service (PhaaS) o nazwie VoidProxy, zaprojektowaną do kradzieży wrażliwych danych kont na dużą skalę.
🔍 Jak działa VoidProxy
- Punkt wejścia: wiadomości e-mail wysyłane z przejętych kont u dostawców takich jak Constant Contact i Active Campaign, z użyciem skróconych linków i przekierowań.
- Hosting: jednorazowe tanie domeny (.icu, .sbs, .cfd, .xyz, .top, .home) chronione przez Cloudflare.
- Sztuczka uwiarygodniająca: odwiedzający widzą CAPTCHA Cloudflare, zanim zostaną im wyświetlone strony phishingowe.
- Łańcuch ataku:
- Wyświetla fałszywe strony logowania do Microsoft 365 lub Google
- Przechwytuje dane uwierzytelniające, kody MFA i pliki cookie sesji
- Konta z federacyjnym SSO (przez Okta) są przekierowywane do drugiego etapu phishingu
- Atakujący otrzymują przechwycone pliki cookie w swoim panelu administracyjnym VoidProxy
📌 Dlaczego to ważne
Takie podejście pozwala atakującym obejść zabezpieczenia MFA i uzyskać pełny dostęp do konta.
✅ Kto jest chroniony?
- Użytkownicy z uwierzytelnianiem odpornym na phishing (np. Okta FastPass)
- Ci, którzy stosują kontrolę dostępu opartą na ryzyku i powiązanie sesji z adresem IP
🔐 Zalecenia badaczy:
- Ogranicz dostęp do wrażliwych aplikacji wyłącznie do urządzeń zarządzanych
- Wymuszaj ponowne uwierzytelnianie przy działaniach administracyjnych
- Stosuj zasady dostępu oparte na ryzyku
⚠️ Podsumowanie
VoidProxy pokazuje rosnące zaawansowanie ekosystemów phishing-as-a-service, które obniżają próg wejścia dla atakujących, a jednocześnie podnoszą stawkę dla przedsiębiorstw.
W Alcaeus Services pomagamy organizacjom wdrażać silne uwierzytelnianie, kontrolę dostępu opartą na ryzyku i proaktywną ochronę przed phishingiem, aby przeciwdziałać zagrożeniom AitM i PhaaS.
