Amazon SES wykorzystywane w kampaniach phishingowych. Jak chronić firmę?

Badacze firmy Kaspersky odnotowali wzrost liczby ataków phishingowych wykorzystujących Amazon Simple Email Service (SES). Jak wynika z ich raportu, przestępcy kradną wyciekłe klucze dostępu AWS i za ich pomocą wysyłają wiarygodnie wyglądające wiadomości, które omijają standardowe filery antyspamowe. Zagrożenie dotyczy firm każdej wielkości, które korzystają z poczty elektronicznej i przechowują dane w chmurze.

Skąd przestępcy biorą klucze AWS?

Głównym źródłem problemu są publicznie dostępne repozytoria kodu, pliki konfiguracyjne i obrazy Docker. Kaspersky wskazuje, że klucze IAM (Identity and Access Management) coraz częściej wyciekają do GitHub, plików .ENV, kopii zapasowych oraz publicznie dostępnych bucketów S3. Przestępcy wykorzystują zautomatyzowane narzędzia, takie jak open-source’owy TruffleHog, do skanowania sieci w poszukiwaniu tych danych.

Po znalezieniu klucza atakujący automatycznie weryfikują jego uprawnienia oraz limity wysyłania wiadomości. Jeśli klucz jest aktywny i ma odpowiednie prawa, mogą rozpocząć masową wysyłkę phishingowych e-maili. Jak zauważają badacze, skala tego zjawiska rośnie, ponieważ coraz więcej firm nie zabezpiecza odpowiednio swoich danych uwierzytelniających.

Jak wygląda atak?

Phishingowe wiadomości wysyłane przez Amazon SES są trudne do odróżnienia od legalnej korespondencji. Ponieważ pochodzą z zaufanej domeny, przechodzą przez uwierzytelnianie SPF, DKIM i DMARC. Przestępcy stosują zaawansowane techniki socjotechniczne, w tym fałszywe powiadomienia o podpisaniu dokumentów imitujące DocuSign oraz spreparowane faktury.

W przypadku ataków typu BEC (Business Email Compromise) oszuści tworzą całe fikcyjne wątki korespondencji, aby uwiarygodnić swoje żądania. Celem są najczęściej działy finansowe, które po otrzymaniu fałszywej faktury mogą dokonać przelewu na konto przestępców. Kaspersky podkreśla, że jakość tych wiadomości jest wysoka – zawierają one niestandardowe szablony HTML i realistyczne formularze logowania.

Dlaczego tradycyjne zabezpieczenia nie działają?

Standardowe metody blokowania spamu opierają się na reputacji nadawcy i adresu IP. W przypadku Amazon SES zablokowanie adresu IP oznaczałoby odcięcie całej legalnej korespondencji przechodzącej przez tę usługę. Jak tłumaczą eksperci, przestępcy doskonale zdają sobie sprawę z tego ograniczenia i celowo wykorzystują zaufane platformy do omijania filtrów.

Dodatkowo, atakujący nie ograniczają się tylko do Amazon SES. Kaspersky ostrzega, że podobne techniki są stosowane wobec innych legalnych systemów pocztowych. Oznacza to, że sama reputacja nadawcy przestaje być wystarczającym wskaźnikiem bezpieczeństwa.

Jak chronić firmę?

Amazon w odpowiedzi na zapytanie BleepingComputer wskazał na swoje wytyczne dotyczące zabezpieczania danych uwierzytelniających. Firma zachęca również do zgłaszania podejrzanej aktywności do zespołu AWS Trust & Safety. Jednak kluczowe działania powinny podjąć same organizacje.

Kaspersky rekomenduje przede wszystkim stosowanie zasady najmniejszych uprawnień (least privilege) przy konfiguracji kluczy IAM. Oznacza to, że każde konto powinno mieć dostęp tylko do tych zasobów, które są niezbędne do jego działania. Dodatkowo warto wdrożyć uwierzytelnianie wieloskładnikowe (MFA), regularnie rotować klucze oraz stosować ograniczenia IP i szyfrowanie.

Dla firm kluczowe jest również monitorowanie wycieków danych. Regularne skanowanie repozytoriów kodu i plików konfiguracyjnych pod kątem przypadkowo opublikowanych kluczy może zapobiec ich wykorzystaniu przez przestępców. W przypadku wykrycia naruszenia należy niezwłocznie unieważnić skompromitowane dane uwierzytelniające.

Więcej informacji na temat kampanii phishingowych wykorzystujących Amazon SES można znaleźć w raporcie Kaspersky opisanym przez BleepingComputer. Warto również zapoznać się z wytycznymi bezpieczeństwa AWS dotyczącymi ochrony danych uwierzytelniających.

W obliczu rosnącej liczby ataków wykorzystujących zaufane usługi, firmy muszą zmienić swoje podejście do bezpieczeństwa poczty elektronicznej. Sama reputacja nadawcy nie wystarczy – konieczne jest połączenie odpowiednich konfiguracji, monitorowania i edukacji pracowników. Tylko w ten sposób można skutecznie bronić się przed coraz bardziej wyrafinowanymi kampaniami phishingowymi.