MGM Resorts-inbreuk

Wat is MGM Resorts-inbreuk?

De inbreuk op MGM Resorts in september 2023 begon met een telefoontje naar de helpdesk dat volgens de aanvallers ongeveer tien minuten duurde. Scattered Spider vond een medewerker op LinkedIn, belde de IT-helpdesk die zich voordeed als hen en vroeg om een MFA-reset. Dat was de hele inbreuk. De groep implementeerde vervolgens de ALPHV/BlackCat-ransomware over het hele netwerk, waarbij reserveringen, digitale kamersleutels en speelautomaten werden verwijderd, en MGM schatte de impact later op ongeveer $100 miljoen. U doorloopt elke fase en test vervolgens uw eigen helpdeskverificatie: zou hetzelfde telefoontje in het nadeel van uw team werken?

Wat je leert in MGM Resorts-inbreuk

• De volledige aanvalsketen volgen van LinkedIn-verkenning via vishing tot ransomware-implementatie zoals deze plaatsvond bij de MGM-inbreuk
• Identificeren hoe aanvallers publiek beschikbare medewerkersinformatie op sociale media gebruiken om overtuigende voorwendsels op te bouwen voor helpdeskgesprekken
• De zwakte evalueren van op kennis gebaseerde identiteitsverificatie wanneer persoonlijke gegevens online beschikbaar zijn
• Multifactor-identiteitsverificatieprocedures ontwerpen voor helpdesk- en wachtwoordresetverzoeken die bestand zijn tegen social engineering
• De kwetsbaarheid van uw eigen organisatie voor op helpdesk gerichte vishingaanvallen beoordelen door huidige procedures te vergelijken met de hiaten die in deze casus werden uitgebuit

MGM Resorts-inbreuk — Trainingsstappen

1. Introductie: een drukke maandag bij MGM IT Support

   Het is maandag 11 september 2023 en je bent net begonnen met je dienst. De ochtend was hectisch: de gebruikelijke wachtwoordresets, VPN-problemen en toegangsverzoeken die gepaard gaan met het begin van een nieuwe week. Vandaag voelt als elke andere maandag, waarbij uw ticketwachtrij al 15 openstaande verzoeken toont. U werkt al twee jaar bij MGM en bent trots op uw klantenservice. Het is uw topprioriteit om werknemers snel weer aan het werk te helpen.

2. Uw ticketwachtrij controleren

   Uw ticketwachtrij is vanochtend vol: 15 openstaande aanvragen wachten op uw aandacht. De meeste zijn routinematig: het opnieuw instellen van wachtwoorden, VPN-verbindingsproblemen en toegangsverzoeken. U moet inloggen op de ondersteuningsportal om ze te kunnen verwerken. U heeft deze verzoeken de hele ochtend efficiënt afgehandeld. Uw prestatiestatistieken belonen snelle oplossingstijden en u bent er trots op dat u werknemers zo snel mogelijk weer aan het werk kunt helpen.

3. Een inkomend gesprek

   Om 10:23 uur gaat uw bureautelefoon over. Uit de beller-ID blijkt dat het een intern toestel is: 4429. Dit is volkomen normaal; Medewerkers bellen vaak rechtstreeks naar de helpdesk als ze zelf geen toegang hebben tot het ticketingsysteem. Je staat op het punt een schijnbaar routinematige ondersteuningsoproep te beantwoorden. De beller klinkt gestrest maar professioneel, precies zoals tientallen andere medewerkers die u wekelijks helpt.

4. Het telefoongesprek begint

   Je antwoordt professioneel en hoort de stem van een jongeman aan de andere kant van de lijn. Hij klinkt oprecht gestrest, maar beleefd. Zijn Engels is perfect: een duidelijk Amerikaans accent, zonder aarzeling, en hij gebruikt dezelfde interne terminologie als uw vaste bellers. Hij stelt zichzelf voor als Bob Richardson van het operationele team van Bellagio en legt uit dat hij geen toegang meer heeft tot zijn rekeningen vanwege een belangrijke VP-vergadering over 20 minuten. Wanneer u om zijn werknemers-ID vraagt, geeft hij toe dat hij deze niet uit zijn hoofd kent en heeft hij zijn badge in zijn auto laten liggen, met de vraag of u hem in plaats daarvan op naam kunt opzoeken. Dit is een veel voorkomend verzoek. Veel medewerkers onthouden hun identiteitsbewijs niet en vergeten hun badges. Niets aan deze oproep roept onmiddellijke alarmsignalen op.

5. Het werknemersdossier opzoeken

   Volgens het standaardprotocol moet u de identiteit van Bob verifiëren door zijn werknemersrecord in het systeem op te zoeken. Hij gaf zijn volledige naam op: Robert Richardson, en zei dat hij werkt in de gastenservice van het Bellagio. U doorzoekt de werknemersdatabase om te bevestigen dat hij een legitieme MGM-werknemer is voordat u doorgaat met accountwijzigingen. Dit is een routinematige beveiligingsstap die u tientallen keren per dag uitvoert.

6. Het verifiëren van de identiteit van Bob

   The system shows Robert Richardson, employee ID MG-47832, hired in May 2020 as a Guest Services Manager at Bellagio. Everything checks out perfectly. Now you run through the standard security questions while Bob explains why his MFA stopped working. He answers everything without hesitation and sounds frustrated but professional, the kind of call you've resolved many times before.

7. Kruiscontrole van de informatie

   Je vergelijkt de gegevens van Bob met wat er in het medewerkersportaal wordt weergegeven. Geboortedatum, BSN, naam manager en afdeling komen perfect overeen. Alles wat Bob je heeft verteld klopt. Hij kent interne projecten, verwijst naar echte mensen en zijn frustratie klinkt oprecht. Hij geeft alle juiste informatie zonder dat je het twee keer hoeft te vragen. Er zijn geen duidelijke waarschuwingssignalen die u achterdochtig maken. Dit lijkt een legitieme werknemer te zijn die hulp nodig heeft om weer aan het werk te gaan vóór een belangrijke vergadering.

8. Het MFA-resetverzoek

   You walk Bob through the standard recovery options, and he has a reason why each one except a straight MFA reset won't work for him. This is within your authority to do. You've made this kind of reset hundreds of times before. The system shows he's a legitimate employee with verified information. Your performance metrics reward quick resolution times, and Bob clearly has a legitimate business need.

9. Het nemen van de beslissing

   Je hebt je beslissing genomen. Bob heeft laten zien dat hij een echte werknemer is door nauwkeurige persoonlijke gegevens te verstrekken en een redelijke uitleg te geven. U heeft dit exacte type MFA-reset honderden keren eerder uitgevoerd zonder incidenten. Bob klinkt gestresseerd over een legitieme zakelijke behoefte: een aanstaande ontmoeting met de vice-president over slechts een paar minuten. U bent hier om werknemers te helpen snel weer aan het werk te gaan. Er is geen reden om dit verzoek te weigeren of het naar uw supervisor te escaleren. Alles klopt en Bob wacht aan de lijn, klaar om zijn authenticatie-app onmiddellijk opnieuw in te schrijven.

10. Toegang tot accountinstellingen

    Je navigeert naar het medewerkersprofiel van Bob in de portal. De pagina toont zijn basisgegevens, arbeidsverleden en huidige status. Om de MFA-reset uit te voeren, moet u eerst naar zijn accountinstellingen gaan. U kunt zien dat zijn profiel de door hem verstrekte informatie bevestigt: Guest Services Manager bij Bellagio, aangenomen in mei 2020. Alles komt overeen met wat Bob u aan de telefoon heeft verteld.