Что произошло
Microsoft разобрала инфраструктуру распространения инфостилеров и кражи учётных данных. Это усиливает важность защиты сессий, паролей и административного доступа.
Почему это важно
Инцидент показывает, что сильная техническая защита не компенсирует слабый процесс подтверждения личности. Доступ к учётной записи часто становится первым шагом к более глубокому компромиссу.
Что стоит проверить
- MFA и восстановление доступа
- Процедуры проверки личности службой поддержки
- Сессии и привилегированный доступ
- Устойчивую к фишингу аутентификацию, где это возможно
- Логи изменений аккаунтов и ролей
Что это означает на практике
Инфостилеры превращают локальную компрометацию устройства в проблему для всей корпоративной среды, потому что крадут пароли, cookies, токены и другие данные сессий. Даже после смены одного пароля часть украденных артефактов может оставаться полезной, если процессы отзыва сессий и секретов построены слабо.
Компании стоит понимать, какие типы учётных данных дают доступ извне, где используются долгоживущие токены и как быстро можно отозвать сессии. На аудите полезно проверять MFA, политики токенов, доступ к VPN и облаку, сервисные учётные записи и возможность обнаружить вход с необычного устройства или контекста.
Что даёт аудит
На аудите полезно проверять не отдельный индикатор, а весь путь: внешний сервис, идентификацию, права, данные, соседние системы и способность команды заметить попытку злоупотребления.