This is the Trace Id: f0e7b6996da18446a44f75ecb05a1d54
Przejdź do głównej zawartości Security Insider Cyber Pulse Raport firmy Microsoft na temat ochrony zasobów cyfrowych Krajobraz zagrożeń Nowe trendy Zarejestruj się, aby otrzymywać CISO Digest Rozwiązania zabezpieczające firmy Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Rzeczywistość mieszana Microsoft HoloLens Microsoft Viva Obliczenia kwantowe Edukacja Motoryzacja Usługi finansowe Administracja publiczna Opieka zdrowotna Produkcja Handel detaliczny Znajdź partnera Zostań partnerem Sieć partnerów Microsoft Marketplace Firmy oprogramowania Blog Microsoft Advertising Centrum deweloperów Dokumentacja Wydarzenia Licencje Microsoft Learn Microsoft Research Wyświetl mapę witryny

Iran odpowiedzialny za ataki na Charlie Hebdo

Udostępnij
Zbliżenie na planetę

Dzisiaj Centrum analizy cyberzagrożeń (DTAC, Digital Threat Analysis Center) firmy Microsoft przypisuje niedawną operację wywierania wpływu, której celem był francuski magazyn satyryczny Charlie Hebdo, irańskiej państwowej grupie hakerskiej. Firma Microsoft nazywa tę grupę hakerską NEPTUNIUM, ale została ona również zidentyfikowana przez Departament Sprawiedliwości Stanów Zjednoczonych jako Emennet Pasargad.

Na początku stycznia wcześniej nieznana grupa online nazywająca sama siebie „Holy Souls”, którą teraz możemy zidentyfikować jako NEPTUNIUM, oświadczyła, że przechwyciła dane osobowe ponad 200 000 klientów Charlie Hebdo po „uzyskaniu dostępu do bazy danych”. Jako dowód grupa Holy Souls opublikowała próbkę danych, która obejmowała arkusz kalkulacyjny z wyszczególnieniem imion i nazwisk, numerów telefonów oraz adresów zamieszkania i adresów e-mail osób, które subskrybują wydawnictwo lub zakupiły od niego produkty. Te informacje uzyskane przez irańską grupę hakerską mogły narazić subskrybentów magazynu na ryzyko stania się ofiarą fizycznych lub internetowych ataków ze strony organizacji ekstremistycznych.

Sądzimy, że ten atak był reakcją rządu irańskiego na konkurs rysunków satyrycznych przeprowadzony przez Charlie Hebdo. Miesiąc przed przeprowadzeniem ataku przez grupę Holy Souls magazyn ogłosił, że będzie przeprowadzać międzynarodowy konkurs na rysunki satyryczne, w których Najwyższy Przywódca Iranu, Ali Khamenei, ma zostać „ośmieszony”. Wydanie ze zwycięskimi rysunkami miało zostać opublikowane na początku stycznia, w terminie zbiegającym się w czasie z ósmą rocznicą ataku dwóch azylantów zainspirowanych bojownikami Al-Kaidy na Półwyspie Arabskim (AQAP) na biura magazynu.

Grupa Holy Souls wystawiła pamięć podręczną zawierającą dane na sprzedaż za 20 bitcoinów (ówczesny równoważnik około 340 000 USD). Opublikowanie całej pamięci podręcznej zawierającej skradzione dane — przy założeniu, że hakerzy faktycznie mieli dane, które twierdzili, że posiadają — spowodowałoby masowy doxing czytelników publikacji, która była już obiektem pogróżek ekstremistów (2020) i śmiertelnych ataków terrorystycznych (2015). Aby rzekomo skradzione dane klientów nie zostały uznane za sfabrykowane, francuska gazeta Le Monde zdołała zweryfikować prawdziwość dokumentu opublikowanego przez Holy Souls „wśród wielu ofiar tego wycieku”.

Po opublikowaniu przez Holy Souls przykładowych danych w serwisie YouTube i na wielu forach dla hakerów wyciek nabrał rozgłosu poprzez skoordynowane działania na kilku platformach mediów społecznościowych. W tych działaniach nagłaśniających wykorzystano konkretny zestaw taktyk, technik i procedur (TTP) wywierania wpływu, które DTAC zaobserwowała wcześniej w irańskich operacjach wywierania wpływu polegających na zahakowaniu i wycieku danych.

Atak zbiegł się w czasie z krytyką rysunków satyrycznych ze strony irańskiego rządu. 4 stycznia irański minister spraw zagranicznych, Hossein Amir-Abdollahian, opublikował tweet: „Obraźliwe i nieuprzejme działania francuskiego wydawnictwa […] przeciwko duchowemu autorytetowi religijnemu i politycznemu nie pozostaną […] bez odpowiedzi”. Tego samego dnia irański minister spraw zagranicznych wezwał francuskiego ambasadora w Iranie w sprawie „zniewagi” ze strony magazynu Charlie Hebdo. 5 stycznia Iran zamknął francuski instytut badawczy w Iranie w ramach tego, co irański minister spraw zagranicznych nazwał „pierwszym krokiem” i zapowiedział, że będzie „prowadzić poważne dochodzenie w sprawie i podejmie odpowiednie środki”.

Atak cechuje kilka elementów przypominających poprzednie ataki przeprowadzone przez irańskie państwowe grupy hakerskie, takich jak:

  • Haktywista przyznający się do cyberataku
  • Twierdzenie, że pomyślnie zniszczono witrynę internetową
  • Wyciek danych osobowych online
  • Używanie nieprawdziwych „marionetek” osób w mediach społecznościowych — kont mediów społecznościowych, na których są używane fikcyjne lub skradzione tożsamości do zaciemnienia rzeczywistego właściciela konta w celu popełnienia oszustwa — twierdzących, że pochodzą z kraju atakowanego przez hakerów w celu nagłośnienia cyberataku przy użyciu języka z błędami oczywistymi dla osób posługujących się nim natywnie
  • Podszywanie się pod autorytatywne źródła
  • Kontaktowanie się z organizacjami mediów informacyjnych

Przypisanie dokonywane przez nas dzisiaj jest oparte na szerszym zestawie analiz dostępnych dla zespołu DTAC firmy Microsoft, jednak obserwowany tutaj wzorzec jest typowy dla operacji sponsorowanych przez państwo irańskie. Te wzorce zostały również wskazane w opublikowanym przez FBI w październiku 2022 r. komunikacie dla sektora prywatnego (PIN) jako wykorzystywane przez podmioty powiązane z Iranem do prowadzenia operacji wywierania wpływu z wykorzystaniem cyberśrodków.

Kampania, której celem był magazyn Charlie Hebdo, wykorzystała dziesiątki kont marionetkowych w języku francuskim do nagłośnienia kampanii i rozpowszechniania antagonizujących przekazów. 4 stycznia konta, z których wiele miało niskie liczby obserwujących i obserwowanych oraz zostało niedawno utworzonych, zaczęło krytykować na Twitterze satyryczne rysunki przedstawiające Khameneiego. Co najważniejsze, zanim był dostępny jakikolwiek znaczący raport o domniemanym cyberataku, te konta opublikowały identyczne zrzuty ekranu zniszczonej witryny internetowej, które zawierały wiadomość w języku francuskim: „Charlie Hebdo a été piraté” („Charlie Hebdo został zahakowany”).

Kilka godzin po tym, jak marionetki zaczęły publikować tweety, dołączyły do nich co najmniej dwa konta mediów społecznościowych podszywające się pod francuskie autorytety — jedno udające prezesa firmy technologicznej, a drugie redaktora Charlie Hebdo. Te konta — oba utworzone w grudniu 2022 r., mające małą liczbę obserwatorów — zaczęły potem publikować zrzuty ekranu danych klientów Charlie Hebdo ujawnionych przez grupę Holy Souls. Od tego momentu konta zostały zawieszone przez serwis Twitter.

Fałszywe konto redaktora Charlie Hebdo w serwisie Twitter publikujące zrzuty ekranu ujawnionych danych klientów
Konto podszywające się pod redaktora Charlie Hebdo publikujące tweety o wyciekach

Wykorzystanie takich marionetkowych kont zostało zaobserwowane podczas innych operacji powiązanych z Iranem, w tym podczas ataku, do którego przyznała się organizacja Arlas Group,partner grupy Hackers of Savior, przypisanego przez FBI do Iranu w roku 2022. Podczas Mistrzostw Świata 2022 organizacja Atlas Group oświadczyła, że „spenetrowała infrastruktury” [dosłownie] i zniszczyła izraelską sportową witrynę internetową. Konta marionetkowe w języku hebrajskim oraz konto podszywające się pod reportera sportowego z popularnego izraelskiego kanału informacyjnego na Twitterze nagłośniły atak. Konto fałszywego reportera opublikowało wiadomość, że po podróży do Kataru doszedł on do wniosku, że Izraelczycy „nie powinni podróżować do krajów arabskich”.

Oprócz zrzutów ekranu z wyciekłych danych fałszywe konta publikowały drwiące wiadomości po francusku, w tym: „Moim zdaniem kolejnym tematem rysunków Charliego powinni być francuscy eksperci ds. cyberbezpieczeństwa”. Te same konta próbowały również nagłośnić informację o rzekomym włamaniu, odpowiadając w tweetach na publikacje i wypowiedzi dziennikarzy, w tym jordańskiego dziennika al-Dustour, algierskiego Echorouk oraz reportera „Le Figaro” Georgesa Malbrunota. Inne fałszywe konta twierdziły, że Charlie Hebfrado działał w imieniu francuskiego rządu i sugerowały, że rząd ten starał się odwrócić uwagę opinii publicznej od strajków.

Według FBI jednym z celów irańskich operacji wywierania wpływu było „podważenie zaufania publicznego do bezpieczeństwa sieci i danych ofiary, a także skompromitowanie firm będących ofiarami i krajów będących celem ataku”. W istocie przekaz w ataku, którego celem był magazyn Charlie Hebdo, przypomina ten z innych kampanii powiązanych z Iranem, takich jak te, do których przyznała się grupa Hackers of Savior, podmiot powiązany z Iranem — w kwietniu 2022 r. twierdził ona, że zinfiltrowała infrastrukturę cybernetyczną głównych izraelskich baz danych i opublikowała wiadomość ostrzegającą Izraelczyków „Nie ufajcie swoim centrom rządowym”.

Niezależnie od tego, co można sądzić o decyzjach redakcyjnych Charlie Hebdo, ujawnienie informacji o danych osobowych dziesiątek tysięcy klientów tego magazynu stanowi poważne zagrożenie. Zostało to podkreślone 10 stycznia w ostrzeżeniu o „odwecie” względem wydawnictwa od przywódcy Korpusu Strażników Rewolucji Islamskiej Iranu, Hosseina Salamiego, który przywołał przykład autora Salmana Rushdie ugodzonego wielokrotnie nożem w roku 2022. Salami dodał: „Rushdie już nie wróci”.

Przypisanie, którego dokonujemy dzisiaj, jest oparte na Strukturze przypisywania DTAC.

Firma Microsoft inwestuje w śledzenie i udostępnianie informacji o operacjach wywierania wpływu przez państwa narodowe, aby umożliwić klientom i demokracjom na całym świecie chronienie się przed atakami podobnymi do tego, którego ofiarą padł magazyn Charlie Hebdo. Będziemy nadal publikować analizy podobne do tej, gdy zaobserwujemy podobne operacje przeprowadzane przez rządy i grupy przestępcze z całego świata.

Macierz przypisywania operacji wywierania wpływu 1

Macierz wykresu Operacje wywierania cyberwpływu

Powiązane artykuły

Obrona Ukrainy: wczesne wnioski z wojny cybernetycznej

Najnowsze ustalenia z naszych bieżących analiz zagrożeń związanych z wojną między Rosją a Ukrainą oraz szereg wniosków z pierwszych czterech miesięcy tej wojny podkreślają potrzebę ciągłych i nowych inwestycji w technologię, dane i partnerstwa służące wspieraniu rządów, przedsiębiorstw, organizacji pozarządowych i uniwersytetów.
Dowiedz się więcej

Cyberochrona

Zespół ds. rozwiązań zabezpieczających firmy Microsoft przeprowadził ankietę wśród ponad 500 specjalistów ds. zabezpieczeń, aby przeanalizować trendy wyłaniające się w tej dziedzinie i największe obawy dyrektorów ds. bezpieczeństwa informacji (CISO).
Dowiedz się więcej

Wyniki analiz na podstawie bilionów sygnałów dotyczących zabezpieczeń dziennie

Eksperci firmy Microsoft ds. bezpieczeństwa naświetlają obecny krajobraz zagrożeń, zapewniając szczegółowe informacje o wyłaniających się trendach, jak i utrzymujących się historycznie zagrożeniach.
Dowiedz się więcej

Obserwuj rozwiązania zabezpieczające firmy Microsoft

Surface Pro Surface Laptop Poznaj Copilot Microsoft 365 Poznaj produkty Microsoft Profil konta Centrum pobierania Pomoc techniczna Microsoft Store Zwroty Śledzenie zamówienia Recykling Gwarancje handlowe Microsoft Education Urządzenia dla instytucji edukacyjnych Microsoft Teams dla Instytucji Edukacyjnych Microsoft 365 Education Office Education Szkolenia i możliwości rozwoju dla nauczycieli Oferty dla uczniów i rodziców Azure dla uczniów
Microsoft AI Rozwiązania zabezpieczające firmy Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft Copilot Microsoft Teams Deweloper Microsoft Microsoft Learn Pomoc techniczna do aplikacji z platformy handlowej opartych na AI Społeczność Microsoft Tech Microsoft Marketplace Microsoft Power Platform Firmy oprogramowania Visual Studio Praca Informacje o firmie Microsoft Aktualności Ochrona prywatności Inwestorzy
Polski (Polska) Zasady prywatności dotyczące zdrowia użytkowników Skontaktuj się z Microsoft Ochrona prywatności Zarządzaj plikami cookie Zasady użytkowania Znaki towarowe Informacje o naszych reklamach EU Compliance DoCs