חוקר אבטחה חשף באג ב-Outlook שיכול לאפשר לכל אחד להתחזות לחשבונות דואר אלקטרוני של מיקרוסופט, מה שנותן לניסיונות דיוג אווירה של לגיטימציה להערים על מטרות תמימות. אזהרה דחופה ניתנה לכ-400 מיליון המשתמשים של אאוטלוק מכיוון שהחולשה נותרה ללא תיקון.
Vsevolod Kokorin, חוקר אבטחה ב-SolidLab, השמיע לראשונה אזעקה לגבי באג זיוף הדוא"ל הזה בפוסט ב- איקס (לשעבר טוויטר) בשבוע שעבר. הוא אמר שהוא חשף את הנושא למיקרוסופט, רק כדי שהחברה תבטל את הדו"ח שלו לאחר שאמרה שהיא לא יכולה לשחזר את ממצאיו. מתוסכל, קוקורין פנה ל-X כדי להזהיר אחרים תוך שהוא מסרב בצדק לספק את הפרטים הטכניים הדרושים לניצול הפגיעות.
כפי שהוכח בצילומי מסך ששיתף, הבאג מאפשר לכל אחד להתחזות לחשבון תאגידי רשמי של Microsoft בעת שליחת אימייל למשתמש אחר ב-Outlook. בעדכון, הוא אמר כי מיקרוסופט הכירה בבעיה, אם כי ציר הזמן המועד שבו הוא יתוקן עדיין לא ברור. הוא גם אמר ל-TechCrunch שייתכן שמיקרוסופט נתקלה בציוץ שלו, שכן מאז היא פתחה מחדש את אחד הדיווחים שהגיש לפני מספר חודשים. פנינו למיקרוסופט להערה ונעדכן את הסיפור הזה ברגע שנשמע.
אני רוצה לשתף את המקרה האחרון שלי:> מצאתי נקודת תורפה שמאפשרת שליחת הודעה מכל user@domain> אנחנו לא יכולים לשחזר אותה > אני שולח סרטון עם הניצול, PoC מלא > אנחנו לא יכולים לשחזר אותו בשלב זה, החלטתי להפסיק את התקשורת עם מיקרוסופט. pic.twitter.com/mJDoHTn9Xv14 ביוני 2024
כיצד להגן על עצמך מפני באג זיוף חדש של Outlook
בהתחשב בעובדה ששחקנים גרועים צריכים לשלוח דוא"ל לחשבון Outlook אחר כדי לנצל את הבאג הזה, כל 400 מיליון משתמשי Outlook נמצאים בסיכון לניסיונות דיוג מחשבונות ארגוניים של Microsoft במראה לגיטימי אחרת. למרות שאיננו יודעים עדיין מתי הוא יתוקן, אם אתה משתמש ב-Outlook, ישנם כמה אמצעי זהירות שאתה יכול לנקוט בינתיים כדי להישאר בטוחים.
למרבה הצער, זה מסתכם בעיקר בעצה עתיקת היומין לשמור על ערנות. מומלץ מאוד להישאר ערני לכל הודעה שאתה מקבל שנראה כאילו מגיעה מ-Microsoft. קוקורין המליצה לכל משתמשי Outlook להתעייף בעת פתיחת הודעות דוא"ל חדשות ולהימנע מלחיצה על קישורים מוזרים. שקול להירשם גם לאחד מפתרונות תוכנת האנטי-וירוס הטובים ביותר, שרבים מהם נותנים לך גישה ל-VPN, מנהל סיסמאות ותוספות אחרות שיעזרו לך להישאר בטוח באינטרנט.
