Lažne ponude za posao pretvaraju cloud IAM u prijetnju od 2 milijarde dolara

Nova taktika kibernetičkih napadača oslanja se na ono što se čini kao savršeno legitimna LinkedIn poruka regrutera.

1. Kako počinje napad
   • Razvojni inženjer primi „ponudu” i dobije zadatak preuzeti paket za provjeru kodiranja.
   • Instalirani Python ili npm paket nevidljivo izvuče sve dostupne cloud vjerodajnice – od GitHub tokena do AWS i Azure ključeva.
   • U roku od nekoliko minuta napadač se prijavljuje u interne oblačne sustave, dok sustavi e-poštanske zaštite ostaju slijepi.

2. ‘IAM pivot’ – nova omiljena ruta
   CrowdStrikeovo izvješće objavljeno 29. siječnja opisuje kako je tzv. „IAM pivot” postao industrijski razrađen napadni lanac. Zlonamjerni paketi, prikriveni unutar regrutacijskih testova, služe kao vrata prema potpunom kompromitiranju postavki upravljanja identitetima (IAM) u oblaku.

3. Primjer iz prakse
   Krajem 2024. napadači su na ovaj način pogodili jednu europsku fintech tvrtku. Nakon što su se domogli pristupa, preusmjerili su tok kriptovaluta u vlastite novčanike. Cijeli tijek – od ulaska do krađe – nije dotaknuo korporativni e-mail sustav i ostavio je minimalne digitalne tragove.

4. Financijski razmjeri
   Na CrowdStrikeovu podcastu „Adversary Universe” Adam Meyers, potpredsjednik za obavještajne aktivnosti, opisao je razmjere operacije: „Više od 2 milijarde dolara povezano je s kripto-operacijama koje vodi samo jedna napadačka skupina.”

5. Zašto obrana kasni
   • Tradicionalni alati za nadzor e-pošte ne vide poruke poslane putem društvenih mreža.
   • Sustavi za skeniranje ovisnosti mogu označiti sumnjive pakete, ali rijetko prate što se događa nakon instalacije.
   • Većina organizacija još uvijek ne prati promjene u IAM konfiguracijama u realnom vremenu.

6. Što stručnjaci preporučuju
   • Uvesti strožu provjeru svih razvojnih ovisnosti.
   • Ograničiti trajanje i opseg developerskih tokena.
   • Implementirati nadzor nad promjenama IAM prava i automatizirano alarmiranje.

Iako je tehnika nova, poruka je stara: ljudska znatiželja i povjerenje ostaju najslabija karika. Dok god je tako, lažne ponude za posao i dalje će otključavati milijarde dolara vrijedne napade u oblaku.