Группа BlackFile шантажирует компании в сфере ритейла и гостеприимства: как работают атаки

Новая угроза для ритейла и гостиничного бизнеса

Исследователи из Palo Alto Networks’ Unit 42 предупреждают о продолжающейся кампании группы BlackFile, которая активно атакует компании в сферах ритейла и гостеприимства с февраля 2024 года. Атаки носят характер социальной инженерии и включают имитацию сотрудников IT-поддержки.

Как работают атаки BlackFile

Злоумышленники используют голосовой фишинг и поддельные страницы для входа в корпоративные системы, чтобы похитить учетные данные. После этого они получают доступ к привилегированным аккаунтам, включая аккаунты топ-менеджеров.

По данным RH-ISAC, группа:

• Собирает внутренние справочники сотрудников для получения контактных данных руководителей.
• Использует социальную инженерию для дальнейшего компрометирования аккаунтов.
• Получает постоянный доступ к корпоративным ресурсам, включая SaaS-окружения, SharePoint и Salesforce.
• Похищает данные для последующего шантажа, включая номера телефонов сотрудников и бизнес-записи.

В некоторых случаях злоумышленники прибегают к «сватынгу» — ложным вызовам служб экстренного реагирования к офисам компаний, чтобы усилить давление на жертв.

Цели и масштабы атак

Основная цель BlackFile — заставить компании заплатить выкуп в размере от семизначных сумм. Группа также создала сайт для утечки данных, где публикует украденную информацию с компаний, которые отказываются платить.

Эксперты отмечают, что активность BlackFile пересекается с кампанией Cordial Spider, которую отслеживает CrowdStrike с октября 2023 года. Атаки носят оппортунистический характер и направлены на максимальное количество жертв.

Рекомендации по защите

RH-ISAC призывает компании:

• Усилить многофакторную аутентификацию для входящих звонков.
• Ограничить возможности IT-поддержки, которые можно выполнить за один звонок без эскалации.
• Проводить регулярные проверки привилегированных аккаунтов.

Вывод

BlackFile представляет серьезную угрозу для компаний в сферах ритейла и гостеприимства. Атаки носят комплексный характер и сочетают в себе социальную инженерию, фишинг и шантаж. Эксперты рекомендуют усилить меры безопасности и быть бдительными при обработке входящих запросов от «сотрудников поддержки».