Microsoft folosește tactici de decepție pentru a combate atacurile de phishing, creând „tenanți” falsi în Azure, care par autentici, pentru a atrage infractorii cibernetici și a colecta informații despre activitățile lor. Aceste tenanți par să aibă acces la servicii Microsoft și sunt creați pentru a imita medii reale de lucru, facilitând cercetarea tacticilor utilizate de infractori.
Ross Bevington, inginer principal de securitate la Microsoft, a dezvăluit aceste tehnici în cadrul conferinței BSides Exeter, explicând cum echipa sa folosește decepția pentru a împiedica atacatorii să aibă succes. Scopul acestor „honeypot” este de a aduna informații valoroase despre infrastructura și metodele utilizate în campaniile de phishing, de la actori cibernetici de nivel scăzut până la grupuri sponsorizate de state, cum ar fi grupul Nobelium (Midnight Blizzard) din Rusia.
Spre deosebire de metodele tradiționale, în care cercetătorii instalează capcane și așteaptă ca atacatorii să le găsească, Microsoft își ia o abordare activă, vizitând site-uri de phishing identificate de Defender și introducând credențiale false asociate cu acești tenanți fictivi. Acești tenanți sunt concepuți cu informații credibile, astfel încât atacatorii să nu suspecteze nimic, iar Microsoft poate monitoriza fiecare mișcare a lor.
În prezent, Microsoft monitorizează aproximativ 25.000 de site-uri de phishing zilnic, alimentând aproximativ 20% dintre acestea cu credențiale false. Odată ce atacatorii intră în tenanții falși, Microsoft înregistrează detalii precum adresele IP, tipul de browsere folosite, locațiile și comportamentul lor, inclusiv dacă folosesc VPN-uri sau VPS-uri.
O caracteristică inovatoare a acestei tehnici este faptul că răspunsurile din mediile fictive sunt încetinite intenționat, forțând atacatorii să piardă timp prețios. Aceștia pot ajunge să petreacă până la 30 de zile într-un astfel de mediu înainte de a realiza că au fost păcăliți. Între timp, Microsoft adună date valoroase, care pot fi folosite pentru a preveni atacuri viitoare și pentru a îmbunătăți securitatea generală.
Această metodă de decepție ajută Microsoft să dezvolte profiluri complexe ale grupurilor cibernetice și să contribuie la identificarea atacatorilor motivați financiar sau a celor sponsorizati de stat.