Сбой MFA позволил инфостилеру осуществить взлом систем в 50 компаниях

По данным Hudson Rock, десятки организаций в мире стали жертвами кражи конфиденциальной корпоративной и клиентской информации из-за отсутствия многофакторной аутентификации (MFA) в их облачных системах.

Хак-группа, известная как Zestix (или Sentap), искала в даркнете журналы событий, содержащие учётные данные для популярных облачных сервисов обмена файлами — ShareFile, Nextcloud и OwnCloud. Впоследствии они были похищены и выставлены на продажу.

«Важнейшим выводом этого расследования является понимание того, как происходит отсрочка в реализации угрозы. Хотя некоторые учётные данные были получены с недавно заражённых машин, другие хранились в журналах годами, ожидая, пока злоумышленники воспользуются ими, — пояснили в Hudson Rock. — Это свидетельствует о повсеместном нарушении правил безопасности: пароли не менялись, а сессии никогда не аннулировались, превращая многолетнюю проблему в нынешнюю катастрофу».

Атакующие завладели нужными сведениями с помощью ряда вариантов инфостилеров, включая RedLine, Lumma и Vidar. Поскольку организации не использовали MFA, киберпреступники смогли проникнуть в систему через «парадную дверь» — не прибегая к эксплойтам или cookie. По всей видимости, члены группировки, движимые финансовыми мотивами, чувствуют себя комфортно, общаясь на закрытых форумах, где она выступает в роли посредника первичного доступа.

Среди пострадавших от Zestix упоминаются авиакомпания Iberia Airlines, юридическая фирма Burris & Macomber — консультант Mercedes-Benz USA, бразильская организация Maida Health и турецкая оборонная структура Integro Robotics. Эксперты рисуют мрачную картину на 2026 год при виде того, как крупные корпоративные взломы происходят без необходимости эксплуатации сложных уязвимостей нулевого дня, а всего лишь с помощью пароля трёхлетней давности.

Усам Оздемиров