Cybersecurity Privacy

ช่องโหว่ใน Microsoft Teams อาจทำให้บัญชีคุณถูกแฮกได้

Microsoft แก้ไขช่องโหว่ความปลอดภัยที่ทำให้แฮกเกอร์ใช้ไฟล์ภาพ GIF เพื่อแฮกบัญชี Microsoft Teams เพื่อขโมยข้อมูลได้

Microsoft แก้ไขช่องโหว่ความปลอดภัยที่ทำให้แฮกเกอร์ใช้ไฟล์ภาพ GIF เพื่อแฮกบัญชี Microsoft Teams เพื่อขโมยข้อมูลได้

นักวิจัยจาก CyberArk บอกว่าแฮกเกอร์สามารถแทรกซึมเข้าบัญชีและขโมยข้อมูลองค์กรจากบัญชี Microsoft Teams อย่าง ข้อมูลภายใน รหัสผ่าน แผนธุรกิจ และอื่นๆได้

จากสถานการณ์แพร่ระบาดของไวรัสโคโรน่าหรือ COVID-19 ทำให้หลายองค์กรต้องปรับตัวในการทำงานแบบไม่ทันได้ตั้งตัว เพื่อความปลอดภัยของบุคลากร แอปพลิเคชั่นหลายตัวอย่าง Zoom, Microsoft Teams หรือ Slack ก็กลายเป็นแอปพลิเคชั่นยอดนิยมไปโดยปริยาย

ทาง CyberArk อธิบายว่า “เราพบการใช้ช่องโหว่ในโดเมนย่อย (Sub-domain) เพื่อให้ไฟล์ภาพ GIF และเข้าควบคุมบัญชีของ Microsoft Teams” โดยโดเมนย่อยหรือ Sub-domain ดังกล่าวคือ aadsync-test.teams.microsoft.com และ data-dev.teams.microsoft.com

“หากผู้ใช้งานเปิดโดเมนดังกล่าว คุ๊กกี้ (Cookies) ของผู้ใช้จะส่งไปยังเซิร์ฟเวอร์ของแฮกเกอร์ และสามารถสร้างโทเคน Skype เพื่อนำไปใช้ขโมยข้อมูลบัญชีได้”

ทาง CyberArk ส่งข้อมูลให้กับทาง Microsoft เมื่อวันที่ 23 มีนาคม และทาง Microsoft ได้ดำเนินการแก้ไขโดยทันที และต่อมาได้ปล่อยแพทช์แก้ไขเมื่อวันที่ 20 เมษายน ที่ผ่านมา

คู่แข่งของ Microsoft Teams อย่าง Zoom ก็ยังมีปัญหาด้านความปลอดภัย ล่าสุดมีแฮกเกอร์นำบัญชีผู้ใช้มากกว่า 500,000 บัญชี ไปขายในตลาดมืด

Author: Amer Owaida
Source: https://www.welivesecurity.com/2020/04/27/microsoft-teams-flaw-gif-account-takeover/
Translated by: Worapon H.

%d bloggers like this: